Dotaz: Směrování provozu přes vpn, pptp

[Krosa]

Zdravím,

ve své místní síti (kde je pc s win10 a s internetem) nemáme veřejnou IP a někdy z venku potřebuji (ne jenom já) vzdáleně přistupovat ke službám, které tam běží. Na firemním PC (debian 10), kde veřejná IP je (a tento pc je o město vedle), je spuštěn vpn server (protokol PPTP, balík pptpd), čehož jsem využil tak, že jsem se k němu (s pc z toho lanu) připojil a prostě v iptables (podle několika portů) na něho přesměroval provoz. Problém ale je, že ač to funguje, tak samozřejmě úplně všechno, i to, co není potřeba, teče přes firemní PC, což není vůbec dobré. Dřív to bylo řešeno programem hamachi/radmin VPN, kde to plnilo funkci s tím rozdílem, že hlavní provoz nešel přes jejich servery, fungovalo to pěkně odděleně a žádná IP adresa se nemaskovala. Bohužel ne každý, kdo se ke službám potřeboval dostat, toto měl nainstalované, takže se od toho upustilo. Moje otázka teda zní, je možné být připojen k vpn serveru, ale současně přes něho netahat veškerý provoz? A když ne s PPTP, co s použitím jiného protokolu? Nějaké nápady, jak to udělat? Uvítal bych i doporučení nějaké té literatury, nejsem v tom zběhlý.

iptables -t nat -A PREROUTING -i ens3 -p tcp --dport 666 -j DNAT --to 192.168.8.10:666
iptables -A FORWARD -i ens3 -d 192.168.8.10 -p tcp --dport 666 -j ACCEPT
iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE

seznam rozhraní: https://pastebin.com/NmHTDwG6

Děkuji za případnou pomoc, hezký den.

Odpovědi

[trekker.dk]

Co se provozu zvenku týče, tak ne. Jestli chcete aby byly služby na vaší místní síti bez veřejné IP dostupné přes firemní IP, která veřejná je, a zároveň aby na klientské straně nebylo potřeba nic upravovat a řešit, jak se probouchat přes nějaké NATy, musí komunikace od klientů přes internet téct přes tu veřejnou IP. To, že existuje nějaký tunel, klienti nevidí.

(V jednom směru by to šlo zprasit, že byste se tomu tunelu vyhnul, ale je to taková prasárna, že to tady ani nebudu popisovat, i kdyby to náhodou fungovalo.)

Jestli máte problém s tím, že z místní sítě pak teče veškerý provoz přes to firemní PC - ne jenom ten, který odpovídá na požadavky, co přišly zvenku - tak to by jít vyřešit mělo. Na to by mělo stačit nastavit si ve směrovací tabulce záznam tak, aby data pro IP adresy tunelu šla do toho tunelu (to už tam bude) a aby výchozí brána byla brána vaší místní sítě. Na firemním PC pak do netfilteru přidejte pravidlo, které udělat SNAT (MASQUERADE) paketů, které do tunelu odchází.

PC v místní síti tak dostane požadavky z IP adresy, která bude patřit opačnému konci toho tunelu (firemnímu PC), takže odpovědi pošle tam. Všechen ostatní provoz do internetu půjde přes běžné připojení k internetu. Nevýhodou je samozřejmě to, že na tom místním pc neuvidíte skutečnou IP klienta, který se připojil k té firemní IP

[X]

Nainstaluj si na Win10 TeamViewer a mas vyreseno. Zvladne to i uplny laik a nepotrebujes k tomu ani "pc o město vedle".

[Jendа]

Licence TV stála asi 14000 Kč.

[X]

Pro nekomercni ucely je zdarma a pro laika, ktery se jednou za cas potrebuje podivat na dokumenty/mail na desitkach uplne v pohode.

[Jendа]

To nevypadá jako případ tazatele.

[Jendа]

(a současně to neřeší „(ne jenom já) vzdáleně přistupovat ke službám, které tam běží“, protože to nedokáže vystavit nějaký TCP port volně do netu, ne?)

[X]

Tak ani pres VPN to nemas "volne do netu", ale pokud to na portu 666 neni Doom, tezko rict. Osobne tyhle diry do vnitrni site nepovazuji za spravnou cestu. Jako spravce firemni site bych to nechtel. Co to je skutecne se asi nedozvime..

[Jendа]

Tak ani pres VPN to nemas "volne do netu"

Má, dělá DNAT/port forward.

Osobne tyhle diry do vnitrni site nepovazuji za spravnou cestu. Jako spravce firemni site bych to nechtel.

Záleží na použití, často se to musí dělat prostě kvůli tomu, že nejsou veřejné adresy ani port forward od ISP.

[Jendа]

Btw. když jsme u těch děr: TeamViewer umožní vzdálenému serveru plnou kontrolu nad počítačem pouze na základě čísla relace (které zná) a čtyřmístného PINu (u kterého navíc kvůli tomu, že je to uzavřený software, nikdo neví, jestli se skutečně generuje a ověřuje pouze na klientovi), right?

[X]

Tak jednoduche to neni. Potrebujes jen v defaultu znat desetimistne ID protistrany a heslo z nahodnych 8 znaku..

[Jendа]

Potrebujes jen v defaultu znat desetimistne ID protistrany

To server zná, protože musí vědět kam požadavky směrovat.

a heslo z nahodnych 8 znaku

Aha, tak v tom případě OK (pokud se fakt ověřuje na klientovi, což nikdo neví).

[X]

Vis co, uplne bezny uzivatel nic nevi, nic neresi a chce rychle reseni. Tento SW se pouziva celkem dost casto a na ruznych mistech, ani by jsi tomu neveril.. ale, priste uz to radsi vytahovat nebudu ;) ..

[X]

Jen aby bylo jasno. Znovu rikam, ze tyhle diry do vnitrni site na klientskych stanicich nepovazuji za spravnou cestu a je uplne jedno jestli je to TeamViewer,nebo jakykoli jiny tunel, vcetne VPN..

[Jendа]

Moje otázka teda zní, je možné být připojen k vpn serveru, ale současně přes něho netahat veškerý provoz?

Ano, samozřejmě, prostě si nechceš nastavit defaultní routu přes ten VPN server. To je dokonce rozumný default. Například na OpenVPN si zkontroluj volby redirect-gateway (NEchceš ji mít zapnutou), na klientovi případně route-nopull.

[GeorgeWH]

https://manpages.debian.org/testing/ppp/pppd.8.en.html

nodefaultroute
    Disable the defaultroute option. The system administrator who wishes to
    prevent users from adding a default route with pppd can do so by placing
    this option in the /etc/ppp/options file.

Pripadne na winshit klientoch (ale ci to funguje, tak to netusim):

(PowerShell) Set-VpnConnection -Name "myVPN" -SplitTunneling $True

BTW, nikto sa este nepozastavil nad tym, ze pouziva(s) staru deravu VPN-ku.

[JLL]

Jde to v pohodě, akorát se na tom hraničním routeru musí udělat source NAT - aby ten cílový počítač viděl jeho ip, a provoz zpět se routoval zase na tento router. Běžně to tak používám.

[Jendа]

WTF.

Tazatel má VPN klienta v síti za NATem, a potřebuje na něj z VPN serveru naforwardovat port. Co s tím mají společného nějaké hraniční routery kdekoli?