Установка VPN сервера mpd5 + сжатие и шифрование

+--------------------------------------------------------------------+ | Options for mpd 5.4 | | +----------------------------------------------------------------+ | | | [ ] NG_CAR Use ng_car kernel module from port (< 7.0 only)| | | | [ ] NG_IPACCT Use ng_ipacct kernel module from port | | | | | | | | | | | | | | | | | | +-+------v(+)------------------------------------------------------+-+ | [ OK ] Cancel | +--------------------------------------------------------------------+

################################################################# # # MPD configuration file # # This file defines the configuration for mpd: what the # bundles are, what the links are in those bundles, how # the interface should be configured, various PPP parameters, # etc. It contains commands just as you would type them # in at the console. Lines without padding are labels. Lines # starting with a "#" are comments. # # $Id: mpd.conf.sample,v 1.46 2009/04/29 11:04:17 amotin Exp $ # ################################################################# startup: # Задаем пароль для доступа в web-intarface # т.е меняем password на свой пароль set user admin password admin # set user password cancer # configure the console set console self 127.0.0.1 5005 set console open # configure the web server set web self 0.0.0.0 5006 set web open default: load pptp_server pptp_server: # Определяем диапазон выдаваемых IP удалённым клиентам # у меня с ...200 по ...220 set ippool add poolsat 192.168.10.200 192.168.10.220 create bundle template B set iface enable proxy-arp set iface idle 0 set iface enable tcpmssfix set ipcp yes vjcomp # IP адрес сервера, который мы будем показывать клиентам # в моем случае 192.168.10.254 (можно не реальный IP) set ipcp ranges 192.168.10.254/32 ippool poolsat # Здесь указываем DNS сервер set ipcp dns 192.168.10.1 # Здесь указываем Wins сервер set ipcp nbns 192.168.10.1 # Enable Microsoft Point-to-Point encryption (MPPE) set bundle enable compression set ccp yes mppc set mppc yes compress e40 e56 e128 stateless # Create clonable link template named L create link template L pptp # Set bundle template to use set link action bundle B # Multilink adds some overhead, but gives full 1500 MTU set link enable multilink set link yes acfcomp protocomp set link no pap chap eap set link enable chap set link enable chap-msv1 set link enable chap-msv2 # We reducing link mtu to avoid GRE packet fragmentation. set link mtu 1460 set link keep-alive 10 60 # Configure PPTP and open link # Тут указываем IP сетевой карты или имя интерфейса (rl1) смотрящего в интернет set pptp self rl1 # Allow to accept calls set link enable incoming

################################################################# # # MPD secrets file # # This file contains login, password pairs, called "secrets". # Entries are used for authentication in either or both directions, # as well as telnet console login. # # For example, to use the "MyLogin" secret, use this command: # # set bundle authname MyLogin # # Each entry may have a third field containing an IP address range # specifying the allowable address assignments for that # peer. # # NOTE: this file should not be readable by anyone except root! # # $Id: mpd.secret.sample,v 1.2 2007/01/27 13:28:44 amotin Exp $ # ################################################################# #Пользователь Пароль Выдаваемый пользователю IP user1 "password" 192.168.10.198 user2 "password2" 192.168.10.199 # Этим 2 пользователям выдаются динамический IP адреса с ...200 по ...220 # т.е те которые в момент подключения не заняты user3 "password3" * user4 "password4" *

options NETGRAPH options NETGRAPH_ETHER options NETGRAPH_SOCKET options NETGRAPH_TEE options NETGRAPH_MPPC_ENCRYPTION options NETGRAPH_MPPC_COMPRESSION options NETGRAPH_BPF options NETGRAPH_IFACE options NETGRAPH_KSOCKET options NETGRAPH_PPP options NETGRAPH_PPTPGRE options NETGRAPH_TCPMSS options NETGRAPH_VJC options NETGRAPH_ONE2MANY options NETGRAPH_RFC1490 options NETGRAPH_TEE options NETGRAPH_TTY options NETGRAPH_UI

nikll, 2009-01-29 в 10:38:09

Красивая законченная статья для новичков без лишней воды... хендбук однака :). Правда это уже 30..ная статья на эту тему, автор напиши чтоинбудь новое чтоли...

Cancer, 2009-01-29 в 10:43:23

Так а что еще нужно? Если будут предложения и у меня возможность, то думаю сделаю.

Алексей, 2009-01-29 в 11:02:35

Огромное спасибо. У меня очень небольшой опыт общения с FreeBSD, и мне просто как воздух нужны подобные статьи, где все расписано максимально подробно, чтобы почти копипастом можно было реализовать, а потом уже, когда задача выполнена разбираться и экспериментировать.

Misha, 2009-01-29 в 11:12:54

Если есть желание то попробуй IPSEC c XP, интересная тема.

zxc, 2009-01-29 в 11:40:02

А для 7ки как я понял патчик mppc уже не подойдет?

lol, 2009-01-29 в 12:56:23

Очь хорошая статья, еще бы по больше тем с учетом трафика и резать скорость;)

Andy2k, 2009-01-29 в 13:36:02

Оба-на! Земеля :-)! Молоток, отличная статья!

abigor, 2009-01-29 в 16:19:10

to zxc а там вроде уже есть этот патч, и ни чего дополнительно делать не надо, я по началу даж не понял зачем автор накладывал патчи, только в конце увидел что у него фря 6 ветки. ------------------------ а так если честно, ни чего нового, можно просто написать, для это используем в mpd.conf данный раздел :) там же уже все до нас сделано, надо только ip поменять, и выбрать чего тебе надо :)

Sadok, 2009-01-29 в 17:05:06

2 Misha Если есть желание то попробуй IPSEC c XP, интересная тема. Только для статических внешних адресов с 2-х сторон, еа сколько я помню...

Le1, 2009-01-29 в 18:01:24

Хорошая, статья ничего не могу сказать, но папазивает плагиатом, тут уже сто раз описывалось это, я сам 2 статьи про mpd5 написал, а так отлично :)

Arch, 2009-01-29 в 18:34:58

Вы уж простите, товарищи, но openvpn на практически любой системе запускается с намного меньшим геморроем и не требует никакого пересбора ядер но умеет и шифрование и компрессию.И кстати работает по TCP или UDP.Что ценно, а то некоторые уродские провайдеры любят давить "посторонние" протоколы. Итого - IMHO статья про то как сделать геморройно и неуниверсально.А зачем так если можно в разы проще?

Misha, 2009-01-30 в 10:15:54

Sadok, я могу ошибаться но недостатков динамического IP мождно избежать с помощью 0.0.0.0:500(или подсеть), но это маленький недостаток не безопасности. Поправьте если я неправ.

Chubais, 2009-01-31 в 22:47:41

еще нада gateway_enable="YES" в /etc/rc.conf

берсерк, 2009-02-01 в 22:13:40

спасибо честно спер скриншоты =)

alik, 2009-02-02 в 13:31:33

mppc - сжатие КРУТО! Автору вери респект!!!!!!!!!

Cancer, 2009-02-03 в 14:10:43

берсерк спасибо честно спер скриншоты =) Сам делал =)? думаю этого хватит

Sun, 2009-02-05 в 10:30:10

Спасибо автору зачетная статья помогла:)

Grishin_U_S, 2009-02-05 в 14:05:41

А точно миру нужно читать mpd.secret ??? >>> chmod 444 /usr/local/etc/mpd5/mpd.secret <<<< сомневаюсь

Cancer, 2009-02-05 в 14:17:20

Это точно =) исправил.! Да и конфиг тоже не к чему

Garfield, 2009-02-05 в 18:25:08

Автор за статью - зачод. Молодец!!! Побольше таких статей. To Arch Ждем от вас статью про openVPN, чтобы вот так просто можно было поднять. и с комментариями :)

alik, 2009-02-19 в 13:56:38

Ребята подскажите как мне сделать так чтобы прослушивание было на всех интерфейсах???? set pptp self 192.168.1.11 set pptp self 0.0.0.0?????

vec135, 2009-02-24 в 14:34:04

default: load pptp_server_ext load pptp_server_int pptp_server_ext: ... set pptp self 192.168.1.11 pptp_server_int: ... set pptp self x.x.x.x

Gold, 2009-04-29 в 6:37:06

Чего то покрайне мере на 7.1 компресия не работает..... дважды настраивал на 2-х БСД и ничего.... клиент комприсирует... а сервер просто молчит в ответ...

Snaut, 2009-05-15 в 16:11:00

Интересно как у вас получилось сжатие после установки mpd. Насколько я понял mpd при сборке проверяет какие модули подгружены в ядро и только от этого пляшет

karagodov, 2009-06-08 в 23:32:38

to Gold: надо ставить патч в 7.1 mppc нету, но есть комментарий о надежде, что они когда-нибудь там появятся за подробностями на сайт автора mppc (искать в гугле) to alik: да, set pptp self 0.0.0.0 to vec135: нет, set pptp self 0.0.0.0

karagodov, 2009-06-08 в 23:33:48

alik, 2009-08-18 в 10:13:29

Ребята никак не могу привязать все это на два интерфейса. вот это default: load pptp_server_ext load pptp_server_int pptp_server_ext: set pptp self 192.168.1.11 pptp_server_int: set pptp self x.x.x.x не помогает. Пробовал менять set pptp self em0 на интерфейсы все равно не получалось. Ребята подскажите как мне все таки настроить mdp5 на 2 интерфейса.

cthtuf, 2009-09-18 в 12:47:29

alik, просто перед секцией "set pptp self..." поставь # у меня все отлично работает для обоих интерфейсов

chocopie, 2009-09-21 в 7:04:42

Статья правильная, но шифрование, используя материал отсюда не запустить...

Алексей, 2009-09-24 в 13:07:31

Господа, есть один существенный баг у MPD5, уже полгода ище решения и не могу найти!!! При включенном брандмауере Windows на клиентской тачке коннект устанавливются, но начинаются жуткие тормоза!!! Пингую какую-ниб тачку в локалке (в удаленной локале где находится сервак с поднятым MPD5), пинги выпадают, от 30 до 50% потерь((( Прописывание исключение в брандмауер, дополнительных правил и т.п. НИ К ЧЕМУ НЕ ПРИВОДИТ!!! Выход один - откдючать брандмауер, что не удобно (ну попробуй левому чуваку, который работает удаленно с моей локалкой объяснить, что нужно выключать брандмауер!!!).... Как быть, что делать?? Как настроить MPD или этот гребанный брандмауер на нормальную работу????

Cancer, 2009-09-24 в 13:27:33

А с чего ты решил что дело в mpd???? Скорее всего в брандмауэре!!!!!

Алексей, 2009-09-24 в 13:59:28

Я так тоже думаю, но настроить его НИКАК НЕ ПОЛУЧАЕТСЯ... Я его настройки уже менял вдоль и поперек, результата нет.

Freez, 2009-10-21 в 12:41:34

в винде есть брандмауер? О_о То что там есть язык не поворачивается так назвать!

Leech, 2009-12-11 в 23:20:32

Не забудьте отключить антиспуфинг на внешнем интерфейсе который примерно вот так может выглядеть table <blacklist> {0.0.0.0/8, 127.0.0.0/8, 10.0.0.0/8, 172.16.0.0/12, 192.0.2.0/24, 192.168.0.0/16, 169.254.0.0/16, 224.0.0.0/3, 255.255.255.255/32} block drop in log quick on $ext_if from <blacklist> to any

Slugger, 2010-01-14 в 17:08:10

Спасибо! Хорошая статья. Очень помогла!

Klop, 2010-01-28 в 9:21:33

На pf открытие порта 1723 не достаточно. Нужно разрешить протокол gre на локальном интерфейсе. Насколько, помню- в ipfw аналогично.

Roman, 2010-02-06 в 23:14:35

Привет. Есть небольшая проблема, наверное только у меня. Изначально использовал mpd5 в качестве клиента, все работало. Появилась необходимость поднять впн сервер, все делал по инструкции, но ничего не получается. При запуске, демон пытается запустится как клиент, сервер не запускается. Netstat, говорит, что демона на порту 1723 нет. Пробовал запускать демон, не мгого по другому: mpd5 -b -f /usr/local/etc/mpd5/mpd.conf, результат отрицательный. В лог фиал демон ничего не пишет. ОС на сервере FreeBSD 7.0 в фаирвол добавлены правила ipfw add allow tcp from me 1723 to any keep-state ipfw add allow gre from any to any Ребята подскажите в чем может быть проблема.

Amnesiac@localhost, 2010-02-06 в 23:20:49

2Roman: В форум!

Klop, 2010-02-07 в 4:50:42

Roman, как сказано уже, в форуме спроси. А вообще, во первых, запусти его не в бекграунде, чтобы видеть, что происходит в консоли. И в фаере правило не будет работать, соединение инициирует клиент. Надо так: ipfw add allow tcp from any to me dst-port 1723 keep-state

Roman, 2010-02-12 в 21:10:59

Статья хорошая, разобрался в своей проблеме, все работает. Но, чтобы больше никто на мои грабли не встал: Если у вас FreeBSD 7.0, обновите порты т.к корректно все будет работать, только с версией MPD 5.4 P.S Автору спасибо.

Mongol, 2010-04-11 в 2:21:27

Использую РРТР-сервер на связке FreeBSD 8.0+mpd 5.3. Все прекрасно работает, однако есть одна очень серьезная проблема - при стопе или рестарте mpd (/usr/local/etc/rc.d/mpd5 restart или stop) или просто "killall mpd5" все клиенты Windows не отваливаются как должно быть, а завершают соединение - И НЕ ПЕРЕЗВАНИВАЮТ! (в настройках виндового подключения установлена галка "перезвонить при разрыве соединения"). Если отключить клиента через веб-интерфейс [Close] - то именно отваливается и перезванивает. Как сделать, чтобы MPD5 при остановке или перезагрузке не посылал клиентам команду завершения, а просто обрывал соединение?

server801, 2010-04-13 в 10:32:38

на FreeBSD 8.0 компрессия будет работать?

vAsya, 2010-04-29 в 16:40:28

Не подскажите как включить в лог-файл mpd, запись реальных IP-адресов клиента, по умолчанию отображаются только локальные?

Grass_snake, 2010-04-30 в 12:28:18

Необходимо заметить, что если устанавливать MPD5 на BSD версии 8.0, то возникает ситуация когда устанавливается связь, а пинговать можно только сам MDP сервер. Ни пинги, ни какие-либо подключения к другим хостам внутренней сети не возможны. Причём, на предыдущих версиях BSD (7.3-PRERELEASE, как минимум) всё работает отлично. Всё дело в том, что по каким-то причинам не проходят ARP-запросы к подключённым VPN клиентам. Опция "set iface enable proxy-arp" в конфигурации MPD никак не помогла. Решение есть. Надо просто этим клиентам выделять адреса из другой подсети. К примеру, внутренняя сеть имеет адресацию 192.168.1.0/24 . Для клиентов MDP выделяется что-нибудь вроде такого: 192.168.x.0/24 . Ну и в правилах PF-а не забыть сделать разрешение для новой подсети.

Ostrik, 2010-05-10 в 18:01:26

Grass_snake, решение для FreebSD 8.0 другое - обновить ее до STABLE!

prince, 2010-05-21 в 16:51:05

server801, На 8.0RELEASE компрессия не работает. Приходилось пересобирать модуль

rubsd, 2010-05-27 в 11:32:59

to Ostrik, почитай про то, в чем разница между RELEASE и STABLE. :)))

станислав, 2010-08-09 в 22:55:48

Спасибо, Сергей. По статье все завелось легко и просто на 7.0 release . В силу некоторых причин пересобрать ядро невозможно, поэтому обошелся без сжатия... в ipfw после правил natd добавил только это allow ip from any to me dst-port 1723 allow gre from any to any allow ip from any to any via ng0

oD, 2010-12-15 в 23:44:12

Спасибо! похоже все пашет :)) не хочется вешать слушать на * - у меня 3 интерфейса и порядка 20 IPшников на них... а надо слушать на 2х адресах всего... будем искать...

Den, 2010-12-22 в 15:34:47

На 8.1 без компрессии пашеть як заводной! пасиб за статью!

Corky, 2011-01-09 в 23:02:51

Спасибо за статью. У меня сжатие заработало только на WinXPSP3 клиенте. Win7 подключается, но траффик не ходит. Отключаю сжатие - все работает. $ uname -rs FreeBSD 7.1-RELEASE-p16

phantom, 2011-02-14 в 5:32:11

Если адрес провайдером раздаётся динамический, то более элегантным решением будет: set pptp self имя_интерфейса

andy, 2011-02-27 в 3:32:48

8.2 релиз, клиент win7, компрессия не работает. точнее соединение устанавливается, в свойствах видно, что компрессия используется, но трафика нет. В клиенте отключаешь компрессию , трафик идет.

Дмитрий, 2011-10-18 в 22:32:08

Помогите, не могу разобраться. Настроил все по данной статье. сервер у меня в интернете. назначил set ippool add poolsat 10.30.1.50 10.30.1.99 и set ipcp ranges 10.30.1.1/32 ippool poolsat так же присутствует строка set iface enable proxy-arp Проблема вот в чем. Подключаю 2 клиента. Пинг от любого клиента к серверу есть. ОТ КЛИЕНТА К КЛИЕНТУ - НЕТУ!!! А цель собственно - локалка через глобалку.

kub, 2011-10-18 в 23:25:59

Дмитрий, netstat -nr и думать до просветления

JsN, 2011-10-21 в 8:12:24

на 21.10.2011 - 8.2 Stable AMD64 При подключении клиентского компа, ядро уходит в панику. 8.2 Release x86 - работает без сбоев.

Pawell, 2012-01-22 в 22:41:51

Спасибо! Настроил все работает при том, что DHCP на роутере стандартном, на фрю просто перекинуты нужные порты и все отлично сработало по этой же инструкции 1 в 1 только ip вручную назначил всем чтобы не было конфликтов. Подключаюсь с макоси )

dms, 2012-03-07 в 19:58:47

Прошу помощи.Всё настроил по статье.Запускаю на клиентах,конектиться.Но не все машины друг-друга пингуют.На pf открыт порт 1723

ATHEIST, 2013-02-18 в 13:46:07

ПРОБЛЕМА ДОСТУПА В ЛОКАЛКУ С VPN РЕШАЕТЬСЯ СТАТИЧНЫМИ IP уберите * и пропишите в secret.conf статику и вопрос отпадет!

Евгений, 2013-04-25 в 2:44:35

Непонятный баг: подключение работает, но после подключения с другого компьютера с тем же логином и паролем (естественно после отключения предыдущего компьютера) не могу подключиться ни с одного ни с другого компьютера

German, 2013-06-24 в 12:23:05

Подскажите пожалуйста, между клиентами которые подключены к серверу впн (сервер в интернете) нетбиос должен работать или нет ? Спрашиваю потому, что у меня между ними проходит только пинг. Если должен работать нетбиос, то буду добиваться результата. Всем спасибо заранее. Freebsd 8.2 Release Mpd5 pptp + PF.

Devapath, 2013-11-27 в 18:31:49

Если у вас выскакивают ошибки: CCP: SendResetReq #3 link 0 (Opened) На второй стороне туннеля: CCP: rec'd Reset Request #3 (Opened) Можете либо отключить сжатие, убрав строку (set bundle enable compression) либо прибегнуть к способу описанному в статье: http://dadv.livejournal.com/187619.html

netmaster, 2014-03-10 в 17:12:00

как мне сделать так чтобы прослушивание было на всех интерфейсах? Кажется это поведение по умолчанию, если set pptp self не указан.

Cancer, 2014-03-10 в 17:13:16

Вроде нужно указать set pptp self 0.0.0.0

`Оставьте свой комментарий:`
`Ваше имя: *`
`e-mail:`
`жирный` `наклонный` `подчёркнутый` `ссылка` `цвет`	Товарищщи! Это поля для ввода комментариев к статье, а не для вопросов. Сюда пишите найденные баги, или какие-то фичи :) Для вопросов есть форум!
`Нынешний год: *`

`Установка VPN сервера mpd5 + сжатие и шифрование`

`Ставим VPN сервер MPD5`

`Настраиваем сжатие`

`Собираем ядро с поддержкой сжатия`

`Настраиваем клиента на Windows`

`Шаг 1`

`Шаг 2`

`Шаг 3`

`Шаг 4`

`Шаг 5`

`Шаг 6`

`Шаг 7`

`Шаг 8`

`Шаг 9`

`Шаг 10`

`Шаг 11`

`Шаг 12`

`Шаг 13`