|
|
www.lissyara.su
—> статьи
—> FreeBSD
—> Security
—> mpd5 + сжатие и шифрование
Установка VPN сервера mpd5 + сжатие и шифрование
Автор: Cancer.
На днях появилась задача в Офисе настроить VPN сервер. Выбрал что то по проще а именно mpd.
Задачи:
Удаленно иметь доступ к сети Офиса (192.168.10.0/24), для того что бы бухгалтер, менеджер, я и другие сотрудники с ноутбука и не только с ноута, с ОСями Linux, FreeBSD, Windows XP, Windows Vista, Windows 7 могли бы подключаться к корпоративной сети и иметь доступ к программам 1С Торговля, Бухгалтерия по RDP, так же к файлопомойке и многому другому, ну в общем ко всей корпоративной сети.
Так как тарифный план нашего провайдера ЮТК дороговат и не анлим, понадобилось сжатие трафика, ну и конечно же шифрование.
Итого: нужен доступ к корпоративной сети, сжатием трафика и шифрование.
Конфигурация сервера:
Celeron-1700Hz,DDR-256Mb,HDD-20Gb=> 2 сетевых интерфейса rl0 и rl1
rl0 192.168.10.11 (в локалку смотрит)
rl1 192.168.1.11 (в модем смотрит)
FreeBSD 6.2
Получается так INTERNET-----(Модем)---rl1(Server_VPN)rl0-----LAN
Первым делом убеждаемся что у нас в rc.conf включено
//> cat /etc/rc.conf | grep gateway
gateway_enable="YES"
| если нету, то добавляем в /etc/rc.conf
//> echo 'gateway_enable="YES"' >> /etc/rc.conf
| и даем команду (перезапуск сетевых служб)
Далее устанавливаем MPD
//> cd /usr/ports/net/mpd5
/usr/ports/net/mpd5/> make config
|
+--------------------------------------------------------------------+
| Options for mpd 5.4 |
| +----------------------------------------------------------------+ |
| | [ ] NG_CAR Use ng_car kernel module from port (< 7.0 only)| |
| | [ ] NG_IPACCT Use ng_ipacct kernel module from port | |
| | | |
| | | |
| | | |
| | | |
+-+------v(+)------------------------------------------------------+-+
| [ OK ] Cancel |
+--------------------------------------------------------------------+
|
/usr/ports/net/mpd5/> make install clean
|
//> cd /usr/local/etc/mpd5
|
Создаем конфиг VPN сервера mpd.conf и файл где храниться будут логины и пароли mpd.secret
/usr/local/etc/mpd5/> touch mpd.conf
/usr/local/etc/mpd5/> touch mpd.secret
|
Далее даем права тольно на чтение -r--r----- для повышения безопасности.
//> chmod 440 /usr/local/etc/mpd5/mpd.conf
//> chmod 440 /usr/local/etc/mpd5/mpd.secret
|
И рисуем конфиг нашего VPN сервера
//> ee /usr/local/etc/mpd5/mpd.conf
|
#################################################################
#
# MPD configuration file
#
# This file defines the configuration for mpd: what the
# bundles are, what the links are in those bundles, how
# the interface should be configured, various PPP parameters,
# etc. It contains commands just as you would type them
# in at the console. Lines without padding are labels. Lines
# starting with a "#" are comments.
#
# $Id: mpd.conf.sample,v 1.46 2009/04/29 11:04:17 amotin Exp $
#
#################################################################
startup:
# Задаем пароль для доступа в web-intarface
# т.е меняем password на свой пароль
set user admin password admin
# set user password cancer
# configure the console
set console self 127.0.0.1 5005
set console open
# configure the web server
set web self 0.0.0.0 5006
set web open
default:
load pptp_server
pptp_server:
# Определяем диапазон выдаваемых IP удалённым клиентам
# у меня с ...200 по ...220
set ippool add poolsat 192.168.10.200 192.168.10.220
create bundle template B
set iface enable proxy-arp
set iface idle 0
set iface enable tcpmssfix
set ipcp yes vjcomp
# IP адрес сервера, который мы будем показывать клиентам
# в моем случае 192.168.10.254 (можно не реальный IP)
set ipcp ranges 192.168.10.254/32 ippool poolsat
# Здесь указываем DNS сервер
set ipcp dns 192.168.10.1
# Здесь указываем Wins сервер
set ipcp nbns 192.168.10.1
# Enable Microsoft Point-to-Point encryption (MPPE)
set bundle enable compression
set ccp yes mppc
set mppc yes compress e40 e56 e128 stateless
# Create clonable link template named L
create link template L pptp
# Set bundle template to use
set link action bundle B
# Multilink adds some overhead, but gives full 1500 MTU
set link enable multilink
set link yes acfcomp protocomp
set link no pap chap eap
set link enable chap
set link enable chap-msv1
set link enable chap-msv2
# We reducing link mtu to avoid GRE packet fragmentation.
set link mtu 1460
set link keep-alive 10 60
# Configure PPTP and open link
# Тут указываем IP сетевой карты или имя интерфейса (rl1) смотрящего в интернет
set pptp self rl1
# Allow to accept calls
set link enable incoming
|
Записываем в файл логины и пароли для доступа к VPN серверу
//> ee /usr/local/etc/mpd5/mpd.secret
|
#################################################################
#
# MPD secrets file
#
# This file contains login, password pairs, called "secrets".
# Entries are used for authentication in either or both directions,
# as well as telnet console login.
#
# For example, to use the "MyLogin" secret, use this command:
#
# set bundle authname MyLogin
#
# Each entry may have a third field containing an IP address range
# specifying the allowable address assignments for that # peer.
#
# NOTE: this file should not be readable by anyone except root!
#
# $Id: mpd.secret.sample,v 1.2 2007/01/27 13:28:44 amotin Exp $
#
#################################################################
#Пользователь Пароль Выдаваемый пользователю IP
user1 "password" 192.168.10.198
user2 "password2" 192.168.10.199
# Этим 2 пользователям выдаются динамический IP адреса с ...200 по ...220
# т.е те которые в момент подключения не заняты
user3 "password3" *
user4 "password4" *
|
Добавим в строки в syslog.conf для того что бы можно было смотреть логи нашего сервера
!mpd
*.* /var/log/mpd.log
| Создаем файл где куда будут записывать логи mpd
//> touch /var/log/mpd.log
| Даем права только root для чтения и записи в mpd.log
//> chmod 600 /var/log/mpd.log
| Перезапускаем syslogd
//> /etc/rc.d/syslogd reload
|
Добавляем mpd в автозапуск
//> echo 'mpd_enable="YES"' >> /etc/rc.conf
|
Запускаем MPD5
//> /usr/local/etc/rc.d/mpd5 start
Starting mpd5.
//>
| Смотрим в процессы
|
14405 ?? Is 0:00,02 /usr/local/sbin/mpd5 -p /var/run/mpd5.pid -b
|
Если стоит на сервере фаерволл pf или еще какой, нужно открыть порт 1723
pass in quick on $ext_if proto tcp from any to self port 1723
|
Сервер уже должен работать, только пока без сжатия
Настраиваем сжатие
Качаем mppc-1.0.tgz и кладем его в /usr/home/
Модули компрессии MPPC
|
файл
|
скачан
|
размер
|
размещён
|
примечание
|
|
|
3235
|
4.8kb
|
2009-01-28
|
Модули компрессии mppc-1.0.tgz
|
|
Распаковываем содержимое mppc-1.0.tgz и сразу же кладем сюда /usr/src/sys/net/
/usr/home/> tar -xvf mppc-1.0.tgz -C /usr/src/sys/net/
|
Правим Makefile для того что бы активировать сжатие
//> ee /usr/src/sys/modules/netgraph/mppc/Makefile
# поменять
NETGRAPH_MPPC_COMPRESSION?= 0
# на
NETGRAPH_MPPC_COMPRESSION?= 1
| Переходим в директорию
//> cd /usr/src/sys/modules/netgraph/mppc
| И устанавливаем
/usr/src/sys/modules/netgraph/mppc/> make && make install && make clean
|
Далее выполняем это действие для тех у кого FreeBSD 6.2 или менее, для тех у кого FreeBSD 6.3 и выше, пропускает только это действие, так как с 6.3 поддержка уже включена.
Добавляем соответствующие строки.
//> ee /usr/src/sys/conf/files
|
net/mppcc.c optional netgraph_mppc_compression
net/mppcd.c optional netgraph_mppc_compression
|
Собираем ядро с поддержкой сжатия
Теперь нужно собрать ядро с поддержкой сжатия MPPC
Подробнее от том как собирать ядро и что оно о себе представляет тут или читаем handbook
Добавляем эти опции в ядро
//> ee /usr/src/sys/i386/conf/GENERIC
|
options NETGRAPH
options NETGRAPH_ETHER
options NETGRAPH_SOCKET
options NETGRAPH_TEE
options NETGRAPH_MPPC_ENCRYPTION
options NETGRAPH_MPPC_COMPRESSION
options NETGRAPH_BPF
options NETGRAPH_IFACE
options NETGRAPH_KSOCKET
options NETGRAPH_PPP
options NETGRAPH_PPTPGRE
options NETGRAPH_TCPMSS
options NETGRAPH_VJC
options NETGRAPH_ONE2MANY
options NETGRAPH_RFC1490
options NETGRAPH_TEE
options NETGRAPH_TTY
options NETGRAPH_UI
|
И собираем ядро
/usr/src/> make buildkernel KERNCONF=GENERIC && \
make installkernel KERNCONF=GENERIC && shutdown -r now
|
После сборки ядра сервер перезагрузится.После перезагрузки сжатие работает =), остается настроить клиента и подключаться.
Настраиваем клиента на Windows
Шаг 1
Шаг 2
Шаг 3
Шаг 4
Шаг 5
Шаг 6
Шаг 7
Шаг 8
Шаг 9
Шаг 10
Шаг 11
Шаг 12
Шаг 13
Документация:
http://mpd.sourceforge.net/doc5/mpd.html
http://www.lissyara.su/?id=1680
http://mavhome.dp.ua/MPPC/
Ссылка на обсуждение: http://forum.lissyara.su/viewtopic.php?f=3&t=14833.
|
размещено: 2009-01-28,
последнее обновление: 2011-06-17,
автор: Cancer
|
|
|
|
2014-07-27, lissyara
gmirror
Удалённое создание софтверного зеркала средствами gmirror, на диске разбитом с использованием gpart. Использование меток дисков для монтирования разделов.
2013-08-20, zentarim
Scan+Print server FreeBSD 9
Настройка сервера печати и сервера сканирования под управлением операционной системы FreebSD 9 для МФУ Canon PIXMA MP540
2011-11-20, BlackCat
Разъём на WiFi-карту
Делаем съёмной несъёмную антену на WiFi-карте путём установки ВЧ-разъёма
2011-09-14, manefesto
Настройка git+gitosis
Настройка системы контроля версия исходного кода в связке git+gitosis+ssh
2011-08-14, zentarim
Wi-FI роутер + DHCP + DNS
Настройка Wi-Fi роутера на Freebsd 8 + DNS сервер + DHCP сервер: чтобы Wi-Fi клиенты были в одной подсети с проводными, проводные и беспроводные клиенты получали адреса автоматически по DHCP, кэширующ
2011-06-15, -ZG-
Охранная система на FreeBSD+LPT
В этой статье описана попытка реализации простой охранной системы на базе FreeBSD с подключением к ней охранных устройтсв на LPT порт и видеорегистрацией.
2011-03-13, terminus
ng_nat
Описание работы ng_nat, практическое использование, достоинства и недостатки в сравнении с ipfw nat
2011-02-20, Капитан
Nagios+Digitemp
Статья описывает создание системы оповещения о превышении температуры в специальных помещениях на основе Nagios с использованием программы Digitemp.
2011-02-17, Le1
Zyxel Configuration
Скрипт для массового изменения конфига свичей Zyxel. Берет из файла iplist список ip-шек, заходит последовательно на каждый и выполняет комманды из файла commands, записывая происходящее в лог файл.
2011-02-16, fox
hast carp zfs ucarp cluster
HAST (Highly Available Storage), CARP, UCARP, ZFS, Cluster настройка и одаптация плюс личные размышления…
2011-02-04, BlackCat
Восстановление ZFS
История о том, как был восстановлен развалившийся RAIDZ ZFS-пул (перешедший в FAULTED) с помощью скотча и подручных средств. Или о том, какие приключения ожидают тех, кто не делает резервных копий.
2011-02-03, Капитан
1-Wire
Статья описывает самостоятельное изготовление контроллера DS9097 для съёма показаний с датчиков температуры DS1820 с помощью программы Digitemp.
2011-01-28, Капитан
Температура в серверной
Статья описывает построение системы наблюдения за температурой в помещении серверной с использованием программы Digitemp и выводом графиков в MRTG
2011-01-21, m4rkell
Syslog server
Как то буквально на днях, у нас завалилось, что то в еве) или не в еве не суть. Суть в том, что когда захотели снять логи с хостов esx обнаружили, что хранят эти негодяи логии только за последнии сутк
2011-01-07, lissyara
Canon/gphotofs
Монтирование цифровых фотоаппаратов Canon (PTP) как файловой системы, автоматизация этого процесса через события devd и внешние скрипты.
2010-12-13, Al
IPSec
Описание принципов работы IPSEC и способов аутентификации.
2010-12-07, manefesto
FreeBSD on flash
Было принято решении переехать на USB Flash и установить минимальный джентельменский набор для работы своего роутера. Делаем =)
2010-12-05, Fomalhaut
root ZFS, GPT
Инструкция по установке FreeBSD с использованием в качестве таблицы разделов GPT и в качестве основной файловой системы - ZFS
2010-09-05, Cancer
Настройка аудиоплеера на ximp3
Цели: Простенький аудиоплеер, для того что бы тетя продавец в магазине утром пришла нажала на кнопку Power и заиграла в зале музыка, так же был доступ по сети, общая шара куда можно заливать музыку, к
2010-08-31, Cancer
Установка и настройка OpenVPN
На днях появилась задача - объединить головной офис и 3 филиала в одну сеть через интернет посредством OpenVPN, чтобы люди могли подключаться через RDP к базам 1С на серверах.
2010-08-25, manefesto
freebsd lvm
Использование linux_lvm для работы с LVM разделами из-под FreeBSD. Проблемы которые возники при монтирование lvm раздела
2010-04-30, gonzo111
proftpd file auth"a
Proftpd - квоты и авторизация из файлов, без использования базы данных и/или системных пользователей
2010-04-22, lissyara
tw_cli
Пошаговая инструкция по восстановлению RAID на контроллере 3ware, из которого выпал один диск. Настройка мониторинга состояния рейда и отчётов о его состоянии на email.
2010-04-14, fox
MySQL Master+Master
MySQL (Master Master) and (Master Slave) Как настроить репликацию…
2010-03-09, terminus
DNS zones
Краткий ликбез про управление DNS зонами. Примеры проведения делегирования прямых и обратных DNS зон.
2010-03-09, aspera
Squid+AD (group access)
Настройка прокси сервера SQUID с автроризацией пользователей в AD. Разделение пользователей на группы
2010-03-02, BlackCat
Шлюз: Часть 4
Настройка дополнительных сервисов: синхронизация времени (OpenNTPD), клиент DynDNS.org.
2010-03-01, BlackCat
Шлюз: Часть 3
Настройка DHCP и DNS серверов для работы внутри частной сети, c поддержкой внутренних (частных зон) DNS, а так же интеграция DHCP и DNS сервисов.
2010-03-01, BlackCat
Шлюз: Часть 2
Конфигурация МСЭ pf для проброса портов с изменением порта назначения и без, а так же поддержки активного режима FTP и ограничения максимального размера сегмента
2010-03-01, BlackCat
Шлюз: Часть 1
Быстрая настройка шлюза/маршрутизатора с установлением PPPoE-соединения, поддержкой NAT и DNS-forwarding.
2010-02-23, Morty
darkstat
Простая считалка траффика, со встроенным веб-сервером. Очень маленькая, может делать отчеты трафика по хостам, портам, протоколам, а также строить графики
2010-01-23, gonzo111
squid+sams+sqstat
Пилим squid и sams - примеры конфигов с объяснениями. Установка SqStat.
2009-12-19, schizoid
mpd5 + radius + ng_car + Abills
Настройка pppoe-сервера с биллинговой системой Abills и шейпером ng_car
2009-11-16, lissyara
UFS->ZFS
Удалённая миграция с UFS на ZFS. Загрузка с раздела zfs. Настройка для работы с малым количеством памяти под архитектурой i386.
2009-11-13, gx_ua
fusefs-ntfs
Установка, настройка и использование fusefs-ntfs, драйвер NTFS, предназанченного для монтирования NTFS разделов под FreeBSD
2009-11-12, Morty
LiveCD
Создание собственного LiveCD с необходимыми вам изменениями, автоматизирование данного процесса, а так же вариант скоростной сборки СД.
2009-09-27, lissyara
Samba как PDC
Контроллер домена - аналог M$ NT4 домена под самбой, без использования LDAP и прочей хиромантии. Просто и быстро =)
2009-08-30, terminus
ipfw nat
Подробное руководство по ipfw nat, сложные случаи конфигурации.
2009-08-24, levantuev
HotSpot
Установка Hotspot системы в общественное заведение.
2009-08-18, lissyara
diskless
Создание бездисковых терминалов под управлением FreeBSD - с загрузкой по сети. Используются для старта rdesktop и подключения к виндовому серверу терминалов.
2009-07-29, BAV_Lug
Видеонаблюдение
Настройка бюджетного варианта видеонаблюдения на удаленном объекте
2009-07-22, Cancer
OpenLDAP адресная книга
Настройка и создание адресной книги на базе OpenLDAP + phpLDAPadmin
2009-06-30, SergeySL
AimSniff
Руководство по созданию системы мониторинга ICQ-переписки на базе AimSniff, использующей базу данных MySQL для хранения и Web-интерфейс WAS (Web Aim Sniff) для просмотра перехваченных сообщений
2009-06-25, atrium
Управление правами доступа
Полномочия пользователей и файлов, принадлежащих им, формирует концепцию ОС UNIX.
2009-06-16, DNK
Exim+PgSQL
Установка почтовой системы exim+pgsql на FreeBSD 7.1
2009-05-30, mvalery
HDD(mbr) -> HDD(gpt)
Как разбить диск размером более 2TB на разделы, сделать загрузочным, а затем перенести на него информацию с рабочей системы — донора.
2009-05-22, Cancer
SendXMPP
Отправка сообщений на Джаббер сервер по средствам SendXMPP
2009-05-11, Raven2000
Network UPS Tools
Network UPS Tools представляет собой набор программ, которые обеспечивают общий
интерфейс для мониторинга и администрирование UPS оборудования.
2009-04-29, m0ps
IPSEC over GRE with RIP
Пример IPSEC over GRE и динамическим роутингом (RIP), с ADSL в качестве последней мили на оборудовании Cisco.
2009-04-24, WhiteBear777
qemu network
Появилась необходимость поставить на БСД эмулятор(qemu) и настроить в качестве гостевой ОС Windows XP, предоставив ей выход в локалку и в сеть internet...
2009-04-22, vp
freebsd + huawei 162 gsm modem
В статье описывается простой способ подключения модема huawei 162 к freebsd + первичная настройка smstools
2009-04-12, mvalery
Мониторинг RAID
Мониторинг из командной строки RAID компаний AMCC 3ware, HighPoint, Dell (Perc 5/i и PERC 6/i) и LSI (MegaRAID SAS 8408E и SAS1078)
2009-04-09, texnotronic
RAID1 via LAN
Функциональности DRBD во FreeBSD можно добиться примонтировав блочное устройство по сети при помощи GEOM Gate (ggate) и добавив его в зеркало с локальным диском средствами gmirror.
2009-04-03, Raven2000
Оптимизация хоста для CMS
В последнее время на старый и не очень быстрый ПК (Celeron 800 RAM 256) мною было навешано с десяток сайтов и некоторые были из серии тяжелых CMS. И так нам дано FreeBSD 7.1 и ~10 сайтов/CMS.
2009-04-01, atrium
VSFTPD + AD && MySQL
Настройка самого безопасного сервера FTP - vsftpd.
2009-03-31, Dron
Peoplenet + C-motech (3G)
Описание подключения к сети Peoplenet посредством 3G модема С-motech CCu-650U на FreeBSD
2009-03-25, lissyara
mod_auth_external
mod_auth_external - авторизация пользователей в apache c помощью внешней программы - например, системных пользователей.
2009-03-24, gx_ua
Lightsquid
Частично lightsquid может заменить sams: быстрая и простая инсталляция, быстрый парсер, cgi скрипт для динамической генерации отчета, нет привязки к БД, различные графические отчеты, мультиязычный инт
2009-03-18, LHC
Установка Zabbix-1.6
Установка и первоначальная настройка системы мониторинга Zabbix (версия 1.6)
2009-03-16, Cancer
Принт-Сервер Samba+LPD & AD
Простейшая настройка Принт-Сервера на FreeBSD используя Samba+LPD & AD
2009-03-04, Mad_caterpillar
ipsec_vpnc
Настройка VPN IPSec концентратора на FreeBSD 6.2 для клиента cisco с использованием ipsec-tools и авторизацией в активной директории
2009-02-18, Andy
Free-SA
Программа анализирует log файлы Squid'а и формирует по ним отчет.
2009-02-02, Cancer
Openfire Jabber Server
Установка Jabber сервера на примере Openfire
2009-01-28, Cancer
mpd5 + сжатие и шифрование
Установка VPN сервера mpd5 + сжатие и шифрование
|
Комментарии пользователей [64 шт.]