Srodne teme
Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.

VPN kroz 1841 ruter

[es] :: Enterprise Networking :: VPN kroz 1841 ruter

[ Pregleda: 1394 | Odgovora: 12 ]

 Postavi temu Odgovori

Autor
Pretraga teme: Traži
Markiranje Štampanje RSS

Marvin Freestyle
Marvin Freestyle
New York City

Član broj: 4724
Poruke: 315
*.carboncg.netifice.com.

ICQ: 35128967


Profil

icon VPN kroz 1841 ruter12.10.2007. u 22:10

Pokusavam da propustim TCP port 1723 i GRE protokol 47 kroz Cisco 1841, da bi korisnici sa druge strane rutera (off-site) mogli da se VPN-om zakace na Windows 2003 RRAS server sa "ove strane" rutera. Propustiti TCP 1723 nije problem, ali nikako mi ne ide sa GRE 47.

Nemam previse iskustva sa Cisco-om. Svaka pomoc bi bila dobrodosla.

Hvala
.:. LoOps Of iNfInitY .:.

Sinologic 16, Burdine Intelligent Translator, SoGo7 Data Gloves, GPL Stealth Module, Thompson Eye Phone
12.10.2007. u 22:10 

optix
Beograd

Moderator
Član broj: 7009
Poruke: 889
*.yubc.net.

Jabber: optix@elitesecurity.org


Profil

icon Re: VPN kroz 1841 ruter12.10.2007. u 22:17
Propustiti kroz sta? NAT ili Firewall, ili oba?
$ uname -a
IRIX64 ferrari 6.5 6.5.30f 07202013 IP35 mips
12.10.2007. u 22:17 

Marvin Freestyle
Marvin Freestyle
New York City

Član broj: 4724
Poruke: 315
*.carboncg.netifice.com.

ICQ: 35128967


Profil

icon Re: VPN kroz 1841 ruter12.10.2007. u 22:31
NAT

Kao sto rekoh, nemam previse iskustva sa Ciscom, ali po nekada sam bio u situaciji da moram neke stvari da uradim. Na primer, morao sam da propustim TCP 3389 za RDP. To sam odradio ovako:

ip nat inside source static tcp 10.1.1.11 3389 interface Serial0/0/0 3389

(10.1.1.11 je privatna IP RRAS-a, S0/0/0 je WAN interface)

Pokusao sam da slicnu stvar primenim na GRE ali bez uspeha.

.:. LoOps Of iNfInitY .:.

Sinologic 16, Burdine Intelligent Translator, SoGo7 Data Gloves, GPL Stealth Module, Thompson Eye Phone
12.10.2007. u 22:31 

optix
Beograd

Moderator
Član broj: 7009
Poruke: 889
*.yubc.net.

Jabber: optix@elitesecurity.org


Profil

icon Re: VPN kroz 1841 ruter12.10.2007. u 23:45
Hm, ne znam sta si tacno pokusavao... ali, PPTP (Point-to-point tunneling protocol koji pokusavas da namestis) ce funkcionisati tako sto propustis TCP konekciju ka serveru na portu koji si vec spomenuo, 1723.
Problem dalje moze da pravi firewall ukoliko postoji na ruteru, ili mrezi pre njega (PIX/ASA...). Ukoliko je to slucaj, reci sta tacno imas ispred i/ili sta je tacno podeseno kao ACL na ruteru.

Sam forward porta je:
Code:

ip nat inside source static tcp 10.1.1.11 1723 interface Serial0/0/0 1723


$ uname -a
IRIX64 ferrari 6.5 6.5.30f 07202013 IP35 mips
12.10.2007. u 23:45 

Marvin Freestyle
Marvin Freestyle
New York City

Član broj: 4724
Poruke: 315
*.cable.mindspring.com.

ICQ: 35128967


Profil

icon Re: VPN kroz 1841 ruter13.10.2007. u 00:55
Hvala na brzom odgovoru Optix.

Nemam PIX/ASA uredjaja u mrezi. T1 u 1841 pa Catalyst 2960 i to je to. Port forward za TCP 1723 sam odradio upravo tako. Medjutim klijenti i dalje ne prolaze do RRAS-a. A ne prolaze zato sto pored TCP 1723 moram da propustim i GRE protocol 47, sto i ne znam kako da uradim.

Poksacu da okacim config ASAP.
.:. LoOps Of iNfInitY .:.

Sinologic 16, Burdine Intelligent Translator, SoGo7 Data Gloves, GPL Stealth Module, Thompson Eye Phone
13.10.2007. u 00:55 

optix
Beograd

Moderator
Član broj: 7009
Poruke: 889
*.yubc.net.

Jabber: optix@elitesecurity.org


Profil

icon Re: VPN kroz 1841 ruter13.10.2007. u 01:32
Generic Routing enkapsuliran saobracaj se inicira sa druge strane, sa servera, tako da se tu nema sta 'propustati' sa stanovista NAT-a

Ako se sesija ne uspostavlja zbog GRE-a, to je onda, najverovatnije, zato sto nesto (firewall, acl...) blokira GRE.


Citat:

Poksacu da okacim config ASAP.

Bilo bi korisno.
$ uname -a
IRIX64 ferrari 6.5 6.5.30f 07202013 IP35 mips
13.10.2007. u 01:32 

jogurt
Zoran Milenković
DATATEK d.o.o., sistem/network inženjer
Beograd

Član broj: 13800
Poruke: 410
*.vdial.verat.net.

Jabber: jogurt@elitesecurity.org
ICQ: 309530264


Profil

icon Re: VPN kroz 1841 ruter13.10.2007. u 21:08
Na tvom mestu proverio bih access liste da li propustaju GRE? Obicno u inbound smeru na outside interfejsu bi trebalo da imas ACL sa pravilom

Code:
access-list xyz permit gre any host _PPTP_SRV_ADDRESS_

ili slicno

Pozdrav
Z

"Computer science is as much about computers as astronomy is about telescopes." -- Dijkstra
13.10.2007. u 21:08 

Marvin Freestyle
Marvin Freestyle
New York City

Član broj: 4724
Poruke: 315
*.cable.mindspring.com.

ICQ: 35128967


Profil

icon Re: VPN kroz 1841 ruter14.10.2007. u 18:26
Evo config-a.

Code:
show running
yourname#show running-config 
Building configuration...

Current configuration : 6433 bytes
!
version 12.4
no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
service password-encryption
service sequence-numbers
!
hostname yourname
!
boot-start-marker
boot-end-marker
!
security authentication failure rate 3 log
security passwords min-length 6
logging buffered 51200 debugging
logging console critical
enable secret *****
!
 --More--         no aaa new-model
!
resource policy
!
clock timezone PCTime -5
clock summer-time PCTime date Apr 6 2003 2:00 Oct 26 2003 2:00
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
no ip source-route
ip cef
!
!
ip tcp synwait-time 10
!
!
no ip bootp server
ip domain name yourdomain.com
ip name-server 205.214.51.16
ip ssh time-out 60
ip ssh authentication-retries 2
 --More--         ip ddns update method sdm_ddns1
 DDNS both
!
!
!
!
crypto pki trustpoint TP-self-signed-3056399463
 enrollment selfsigned
 subject-name cn=IOS-Self-Signed-Certificate-3056399463
 revocation-check none
 rsakeypair TP-self-signed-3056399463
!
!
crypto pki certificate chain TP-self-signed-3056399463
 certificate self-signed 01
  3082024F 308201B8 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 
  31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274 
  69666963 6174652D 33303536 33393934 3633301E 170D3036 30323033 30343030 
  32355A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649 
  4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D33 30353633 
  39393436 3330819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281 
  8100B916 0139520A 2446C917 751CF5FF F28C5AE8 E73E4A64 BE7D1139 DBA6DFBE 
  5AE13222 A97A43A2 51302BC4 2F0227AB 620633C2 362FDDF0 11E8A7FB 5AE728FF 
 --More--           02ECCF99 728A0AFE 0161E25E 49D4F6FA 490B3DFF FB4ECA76 898F5DE8 245459A7 
  193BF7F5 42F347D7 5BBD2275 ABB3F7B1 5DBFE39F 0485DA6E 039A5640 D550831E 
  520F0203 010001A3 77307530 0F060355 1D130101 FF040530 030101FF 30220603 
  551D1104 1B301982 17796F75 726E616D 652E796F 7572646F 6D61696E 2E636F6D 
  301F0603 551D2304 18301680 1427F30F 118094EC 9B613F5B E60A2DE1 52CCBE09 
  FA301D06 03551D0E 04160414 27F30F11 8094EC9B 613F5BE6 0A2DE152 CCBE09FA 
  300D0609 2A864886 F70D0101 04050003 81810052 B9579348 B6772CD2 FE23BB0B 
  F4FB6E10 4566B0BA 93A4865B 93BD64A2 B86A3F89 CDC483A7 D6D7DF0F F25F0F97 
  9019F2B2 B5AF91D7 9C91F30C B85FDDE7 DE20A422 5FBC1963 82A09AE9 7287F827 
  90536A31 B1AC5CE4 5349C6D5 BA33EDE0 045EB331 9B8A8D6F 5F3069CD D472467D 
  14B9B87B EACA8435 6919DAF9 411E0770 E23834
  quit
username admin privilege 15 secret *****
!
! 
!
!
!
interface FastEthernet0/0
 description $ETH-SW-LAUNCH$$INTF-INFO-FE 0$$ES_LAN$$FW_INSIDE$$ETH-LAN$
 ip address 10.1.1.1 255.255.255.0
 no ip redirects
 no ip unreachables
 --More--          no ip proxy-arp
 ip nat inside
 ip virtual-reassembly
 ip route-cache flow
 duplex auto
 speed auto
 no mop enabled
!
interface FastEthernet0/1
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip route-cache flow
 shutdown
 duplex auto
 speed auto
 no mop enabled
!
interface Serial0/0/0
 ip address ***** 255.255.255.252
 no ip redirects
 no ip unreachables
 --More--          no ip proxy-arp
 ip nat outside
 ip virtual-reassembly
 ip route-cache flow
!
ip classless
ip route 0.0.0.0 0.0.0.0 209.101.45.21
!
ip http server
ip http authentication local
ip http secure-server
ip http timeout-policy idle 5 life 86400 requests 10000
ip nat pool test 216.132.233.160 216.132.233.191 prefix-length 24
ip nat inside source list 110 interface Serial0/0/0 overload
ip nat inside source list 199 pool test overload
ip nat inside source static tcp 10.1.1.11 1723 interface Serial0/0/0 1723
ip nat inside source static tcp 10.1.1.11 3389 interface Serial0/0/0 3389
ip nat inside source static tcp 10.1.1.197 407 216.132.233.189 407 extendable
ip nat inside source static tcp 10.1.1.197 1417 216.132.233.189 1417 extendable
ip nat inside source static tcp 10.1.1.197 1418 216.132.233.189 1418 extendable
ip nat inside source static tcp 10.1.1.197 1419 216.132.233.189 1419 extendable
ip nat inside source static tcp 10.1.1.197 1420 216.132.233.189 1420 extendable
ip nat inside source static tcp 10.1.1.197 2525 216.132.233.189 2525 extendable
 --More--         ip nat inside source static tcp 10.1.1.197 8181 216.132.233.189 8181 extendable
ip nat inside source static tcp 10.1.1.198 407 216.132.233.190 407 extendable
ip nat inside source static tcp 10.1.1.198 1417 216.132.233.190 1417 extendable
ip nat inside source static tcp 10.1.1.198 1418 216.132.233.190 1418 extendable
ip nat inside source static tcp 10.1.1.198 1419 216.132.233.190 1419 extendable
ip nat inside source static tcp 10.1.1.198 1420 216.132.233.190 1420 extendable
ip nat inside source static tcp 10.1.1.198 2525 216.132.233.190 2525 extendable
ip nat inside source static tcp 10.1.1.198 8181 216.132.233.190 8181 extendable
ip nat outside source static tcp 216.132.233.189 8181 10.1.1.197 8181 extendable
!
ip access-list extended DNS
 remark SDM_ACL Category=1
 permit ip host 205.214.51.16 any
!
logging trap debugging
access-list 199 deny   tcp host 10.1.1.197 eq smtp any
access-list 199 deny   tcp host 10.1.1.197 eq 407 any
access-list 199 deny   tcp host 10.1.1.197 eq 1417 any
access-list 199 deny   tcp host 10.1.1.197 eq 1418 any
access-list 199 deny   tcp host 10.1.1.197 eq 1419 any
access-list 199 deny   tcp host 10.1.1.197 eq 1420 any
access-list 199 deny   tcp host 10.1.1.198 eq smtp any
access-list 199 deny   tcp host 10.1.1.198 eq 407 any
 --More--         access-list 199 deny   tcp host 10.1.1.198 eq 1417 any
access-list 199 deny   tcp host 10.1.1.198 eq 1418 any
access-list 199 deny   tcp host 10.1.1.198 eq 1419 any
access-list 199 deny   tcp host 10.1.1.198 eq 1420 any
access-list 199 permit ip 10.1.1.0 0.0.0.255 any
access-list 199 permit tcp any eq 3389 any eq 3389
access-list 199 permit tcp any any eq 1723 log-input
access-list 199 permit gre any any log-input
no cdp run
!
!
control-plane
!
banner login ^CAuthorized access only!
 Disconnect IMMEDIATELY if you are not an authorized user!^C
!
line con 0
 login local
 transport output telnet
line aux 0
 login local
 transport output telnet
line vty 0 4
 --More--          privilege level 15
 login local
 transport input telnet ssh
line vty 5 15
 privilege level 15
 login local
 transport input telnet ssh
!
scheduler allocate 4000 1000
end

yourname# 


Pozdrav



optix: izbacene sifre i ip

[Ovu poruku je menjao optix dana 14.10.2007. u 22:49 GMT+1]
.:. LoOps Of iNfInitY .:.

Sinologic 16, Burdine Intelligent Translator, SoGo7 Data Gloves, GPL Stealth Module, Thompson Eye Phone
14.10.2007. u 18:26 

jogurt
Zoran Milenković
DATATEK d.o.o., sistem/network inženjer
Beograd

Član broj: 13800
Poruke: 410
*.vdial.verat.net.

Jabber: jogurt@elitesecurity.org
ICQ: 309530264


Profil

icon Re: VPN kroz 1841 ruter14.10.2007. u 20:32
Konfiguracija deluje OK. Bas imam slicnu situaciju kod jednog klijenta: PPTP server na priv adresi u DMZ-u, Cisco 1841 na kome je forwardovan port 1723 na javnu outside adresu, access lista na spoljnom interfejsu koja propusta gre i tcp/1723. I to radi, naravno.

Da li si probao da napravis test access-listu koja pusta sve po gre protokolu, tcp/1723 portu i ip protokolu, privezes je u in smeru za serijski interfejs, pokusas da uspostavis PPTP tunel i pratis sa sh ip access-list sta se desava? Da li GRE paketi uopste prolaze?

Vidim da nemas nikakvu ACL na spoljasnjem interfejsu, pa ako stavis test ACL permit tcp any any eq 1723 log, permit gre any any log i permit ip any any, neces napraviti nikakav problem.

Ajde probaj i javi da li si nesto uradio. Pretpostavljam da si proverio PPTP server i da on radi korektno.

Zoran
"Computer science is as much about computers as astronomy is about telescopes." -- Dijkstra
14.10.2007. u 20:32 

Marvin Freestyle
Marvin Freestyle
New York City

Član broj: 4724
Poruke: 315
*.cable.mindspring.com.

ICQ: 35128967


Profil

icon Re: VPN kroz 1841 ruter14.10.2007. u 21:15
RRAS radi interno (u lokalu). Pokusacu sutra da se poigram jos malo sa access-listama. Hvala na savetima.

Pozdrav
.:. LoOps Of iNfInitY .:.

Sinologic 16, Burdine Intelligent Translator, SoGo7 Data Gloves, GPL Stealth Module, Thompson Eye Phone
14.10.2007. u 21:15 

Marvin Freestyle
Marvin Freestyle
New York City

Član broj: 4724
Poruke: 315
*.carboncg.netifice.com.

ICQ: 35128967


Profil

icon Re: VPN kroz 1841 ruter16.10.2007. u 15:30
Samo da javim sta se desava. Kao sto je jogurt predlozio dodao sam sledecu access listu

permit tcp any any eq 1723
permit gre any any
permit ip any any

i dodelio je spoljnom interfejsu u inbound pravcu. Nakon ovoga korisnici su uspesno poceli da uspostavljaju VPN konekcije sa RRAS-om.

Hvala optix i jogurt na savetima i pomoci.

Pozdrav
.:. LoOps Of iNfInitY .:.

Sinologic 16, Burdine Intelligent Translator, SoGo7 Data Gloves, GPL Stealth Module, Thompson Eye Phone
16.10.2007. u 15:30 

Milan Andjelkovic
System Engineer, YUnet International
Beograd

Administrator
Član broj: 4476
Poruke: 3279
*.eunet.yu.

Jabber: mangel@elitesecuirty.org
ICQ: 289618701
Sajt: www.linkedin.com/in/milan..


Profil

icon Re: VPN kroz 1841 ruter16.10.2007. u 15:52
Hmm, vidiš, zanimljivo :)

jogurt je rekao da postaviš tu access listu radi debugovanja, tj. da bismo videli da li ti paketi uopšte stižu do rutera, a ne da bi konkretno time rešio problem. Otud i ona stavka log koju si propustio :) Ne znam šta da zaključim osim da je ovo slučajnost, ili da je saobraćaj zapravo bio zabranjen implicitno negde nekako pošto ovako na brzinu ne vidim da je to slučaj iz konfiguracije koju si poslao...
ex.mangel

"Sišla je stepeništem kao klavirom."

Stay in the house...

OV SM
LA PK
16.10.2007. u 15:52 

jogurt
Zoran Milenković
DATATEK d.o.o., sistem/network inženjer
Beograd

Član broj: 13800
Poruke: 410
*.net
Via: [es] mailing liste

Jabber: jogurt@elitesecurity.org
ICQ: 309530264


Profil

icon Re: VPN kroz 1841 ruter16.10.2007. u 23:27
Gremlini? U ruteru?! Treba ga pod hitno otkuvati u vreloj vodi ili ... da
apgrejdujes IOS :)
"Computer science is as much about computers as astronomy is about telescopes." -- Dijkstra
16.10.2007. u 23:27 

[es] :: Enterprise Networking :: VPN kroz 1841 ruter

[ Pregleda: 1394 | Odgovora: 12 ]

 Postavi temu Odgovori

Srodne teme
Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.