[VPN] Client achter Speedtouch 510v4 werkt niet

[Arnout]

Ik heb een VPN server draaiend op Debian. Deze server is tevens NAT gateway voor een bedrijfsverzamelgebouw.

Ik heb VPN deze week opgezet met behulp van Poptop, pppd en de mppe/mppc patches, volgens deze howto.
Werkt allemaal erg goed.

Ik heb verschillende tests gedaan, onder andere:
-bij mij thuis, vanaf XP, via een debian NAT gateway en Wanadoo ADSL, werkt prima.
-bij mijn ouders vandaan, vanaf XP, via een debian NAT gateway en Chello Classic, werkt prima.
-bij een bedrijf vandaan, Windows Server 2003, achter een debain NAT gateway en een Speedtouch 510v4 in sip_spoof mode en Planet ADSL, werkt prima.

Zelfs als ik ben verbonden met de VPN server en ik verbind de Windows 2003 server ook met het VPN, dan kan ik via Windows share namen (SMB, bijv. \\server01) de andere VPN clients bereiken en bestanden verzenden en ontvangen.

Nu het probleem: ik probeerde gisteren iemand te laten verbinden met het VPN (de echte user zeg maar, met XP). Dit lukte niet, hij kreeg fout 619 (heel algemeen). Hij heeft een Speedtouch 510v4 modem, via ADSL van Planet, in de standaard KPN ADSL mode (NAT, DHCP intern, etc).

Ik heb toen een tcpdump gemaakt van de verbinding en het blijkt dat wanneer de VPN server overschakelt op GRE (UDP, IP protocol 47), de andere kant hier geen gehoor op geeft.

In een speciaal document van Thomson over de Speedtouch en NAT, wordt beschreven dat hij hier wel ondersteuning voor heeft (lijkt me ook niet echt spannend eigenlijk).
Ik heb ook duidelijk gevraagd of er een firewall actief is, dat is niet het geval (maar zelfs een firewall zou dit moeten kunnen accepteren).

Voor de duidelijkheid: de VPN server lijkt goed te werken (3 tests succesvol), maar een bepaalde config bij een client zorgt ervoor dat VPN verbindingen niet lukken. Ik denk zelf dat serverside alles ok is. Het gaat hier om PPTP VPN, niet L2TP/IPsec.

Wat kan hier aan de hand zijn? Alvast bedankt.

[ Voor 3% gewijzigd door Arnout op 07-04-2005 09:23 ]

[Arnout]

Dit is een dump als er een goede VPN verbinding wordt opgebouwd:

code:

23:11:56.211226 IP server.xs4all.nl.ssh > gv-mx-122a.adsl.wanadoo.nl.2095: P 1709268029:1709268141(112) ack 4144152274 win 7504
23:11:56.233812 IP gv-mx-122a.adsl.wanadoo.nl.2095 > server.xs4all.nl.ssh: . ack 112 win 15888
23:11:56.233857 IP server.xs4all.nl.ssh > gv-mx-122a.adsl.wanadoo.nl.2095: P 112:224(112) ack 1 win 7504
23:11:56.359492 IP gv-mx-122a.adsl.wanadoo.nl.2095 > server.xs4all.nl.ssh: . ack 224 win 15776
23:12:03.700499 IP gv-mx-122a.adsl.wanadoo.nl.2362 > server.xs4all.nl.1723: S 1810780627:1810780627(0) win 16384 <mss 1460,nop,no
23:12:03.700580 IP server.xs4all.nl.1723 > gv-mx-122a.adsl.wanadoo.nl.2362: S 174860721:174860721(0) ack 1810780628 win 5840 <mss
23:12:03.723843 IP gv-mx-122a.adsl.wanadoo.nl.2362 > server.xs4all.nl.1723: P 1:157(156) ack 1 win 17520: pptp CTRL_MSGTYPE=SCCRQ
23:12:03.723896 IP server.xs4all.nl.1723 > gv-mx-122a.adsl.wanadoo.nl.2362: . ack 157 win 5840
23:12:03.725965 IP server.xs4all.nl.1723 > gv-mx-122a.adsl.wanadoo.nl.2362: P 1:157(156) ack 157 win 5840: pptp CTRL_MSGTYPE=SCCR
23:12:03.753431 IP gv-mx-122a.adsl.wanadoo.nl.2362 > server.xs4all.nl.1723: P 157:325(168) ack 157 win 17364: pptp CTRL_MSGTYPE=O
23:12:03.759684 IP server.xs4all.nl.1723 > gv-mx-122a.adsl.wanadoo.nl.2362: P 157:189(32) ack 325 win 6432: pptp CTRL_MSGTYPE=OCR
23:12:03.759959 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 0 ack 4294967295 gre-ppp-payload
23:12:03.782984 IP gv-mx-122a.adsl.wanadoo.nl.2362 > server.xs4all.nl.1723: P 325:349(24) ack 189 win 17332: pptp CTRL_MSGTYPE=SL
23:12:03.785960 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 0 gre-ppp-payload
23:12:03.786170 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 1 ack 0 gre-ppp-payload
23:12:03.806153 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 1 ack 1 gre-ppp-payload
23:12:03.806338 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 2 ack 1 gre-ppp-payload
23:12:03.822235 IP server.xs4all.nl.1723 > gv-mx-122a.adsl.wanadoo.nl.2362: . ack 349 win 6432
23:12:03.905965 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 ack 2 no-payload
23:12:06.759874 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 3 gre-ppp-payload
23:12:06.779765 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 2 ack 3 gre-ppp-payload
23:12:06.780017 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 4 ack 2 gre-ppp-payload
23:12:06.780046 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 5 gre-ppp-payload
23:12:06.780947 IP gv-mx-122a.adsl.wanadoo.nl.2362 > server.xs4all.nl.1723: P 349:373(24) ack 189 win 17332: pptp CTRL_MSGTYPE=SL
23:12:06.780987 IP server.xs4all.nl.1723 > gv-mx-122a.adsl.wanadoo.nl.2362: . ack 373 win 6432
23:12:06.782438 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 3 gre-ppp-payload
23:12:06.782629 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 6 ack 3 gre-ppp-payload
23:12:06.784627 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 4 gre-ppp-payload
23:12:06.784981 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 7 ack 4 gre-ppp-payload
23:12:06.800158 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 5 ack 4 gre-ppp-payload
23:12:06.803612 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 6 ack 5 gre-ppp-payload
23:12:06.805478 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 8 ack 6 gre-ppp-payload
23:12:06.805505 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 9 gre-ppp-payload
23:12:06.829014 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 7 ack 9 gre-ppp-payload
23:12:06.829271 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 10 ack 7 gre-ppp-payload
23:12:06.830959 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 8 gre-ppp-payload
23:12:06.831134 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 11 ack 8 gre-ppp-payload
23:12:06.832190 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 9 gre-ppp-payload
23:12:06.832568 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 12 ack 9 gre-ppp-payload
23:12:06.848214 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 10 ack 10 gre-ppp-payload
23:12:06.848475 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 13 ack 10 gre-ppp-payload
23:12:06.852140 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 11 ack 12 gre-ppp-payload
23:12:06.852588 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 14 ack 11 gre-ppp-payload
23:12:06.871865 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 12 ack 14 gre-ppp-payload
23:12:06.872067 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 15 ack 12 gre-ppp-payload
23:12:06.892057 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 13 ack 15 gre-ppp-payload
23:12:06.941769 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 ack 13 no-payload
23:12:08.792758 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 14 gre-ppp-payload
23:12:08.793138 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 16 ack 14 gre-ppp-payload
23:12:08.812380 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 15 ack 16 gre-ppp-payload
23:12:08.812821 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 17 ack 15 gre-ppp-payload
23:12:08.832582 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 16 ack 17 gre-ppp-payload
23:12:08.838345 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 18 ack 16 gre-ppp-payload
23:12:09.550858 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 ack 18 no-payload
23:12:09.554500 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 17 gre-ppp-payload
23:12:09.554725 IP 192.168.1.150.bootpc > 255.255.255.255.bootps: BOOTP/DHCP, Request, length: 300
23:12:09.555922 IP server.xs4all.nl > gv-mx-122a.adsl.wanadoo.nl: call 0 seq 19 ack 17 gre-ppp-payload
23:12:09.556350 IP gv-mx-122a.adsl.wanadoo.nl > server.xs4all.nl: call 4096 seq 18 gre-ppp-payload
23:12:09.556800 IP 192.168.1.150.netbios-ns > 255.255.255.255.netbios-ns: NBT UDP PACKET(137): REGISTRATION; REQUEST; BROADCAST

En dit als het fout gaat:

code:

23:07:48.575527 IP nat-mo3.aster.pl.50530 > server.xs4all.nl.15118: S 2501110851:2501110851(0) win 16384 <mss 1400,nop,nop,sackOK
23:07:48.576457 IP server.xs4all.nl.1024 > resolver.xs4all.nl.domain:  24381+% [1au] PTR? 232.39.76.212.in-addr.arpa. (55)
23:07:48.622531 IP resolver.xs4all.nl.domain > server.xs4all.nl.1024:  24381 1/0/0 (74)
23:07:51.490739 IP nat-mo3.aster.pl.50530 > server.xs4all.nl.15118: S 2501110851:2501110851(0) win 16384 <mss 1400,nop,nop,sackOK
23:07:52.634176 IP ip9135777e.speed.planet.nl.13764 > server.xs4all.nl.1723: S 608183986:608183986(0) win 65535 <mss 1460,nop,nop
23:07:52.634233 IP server.xs4all.nl.1723 > ip9135777e.speed.planet.nl.13764: S 4200753781:4200753781(0) ack 608183987 win 5840 <m
23:07:52.635383 IP server.xs4all.nl.1024 > resolver.xs4all.nl.domain:  45977+% [1au] PTR? 158.121.53.145.in-addr.arpa. (56)
23:07:52.647703 IP resolver.xs4all.nl.domain > server.xs4all.nl.1024:  45977 1/0/0 (85)
23:07:52.656329 IP ip9135777e.speed.planet.nl.13764 > server.xs4all.nl.1723: P 1:157(156) ack 1 win 65535: pptp CTRL_MSGTYPE=SCCR
23:07:52.656411 IP server.xs4all.nl.1723 > ip9135777e.speed.planet.nl.13764: . ack 157 win 5840
23:07:52.658526 IP server.xs4all.nl.1723 > ip9135777e.speed.planet.nl.13764: P 1:157(156) ack 157 win 5840: pptp CTRL_MSGTYPE=SCC
23:07:52.683698 IP ip9135777e.speed.planet.nl.13764 > server.xs4all.nl.1723: P 157:325(168) ack 157 win 65379: pptp CTRL_MSGTYPE=
23:07:52.690177 IP server.xs4all.nl.1723 > ip9135777e.speed.planet.nl.13764: P 157:189(32) ack 325 win 6432: pptp CTRL_MSGTYPE=OC
23:07:52.690486 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 0 ack 4294967295 gre-ppp-payload
23:07:52.714234 IP ip9135777e.speed.planet.nl.13764 > server.xs4all.nl.1723: P 325:349(24) ack 189 win 65347: pptp CTRL_MSGTYPE=S
23:07:52.753407 IP server.xs4all.nl.1723 > ip9135777e.speed.planet.nl.13764: . ack 349 win 6432
23:07:55.691025 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 1 gre-ppp-payload
23:07:58.691596 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 2 gre-ppp-payload
23:08:01.692142 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 3 gre-ppp-payload
23:08:04.692679 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 4 gre-ppp-payload
23:08:07.693226 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 5 gre-ppp-payload
23:08:10.693766 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 6 gre-ppp-payload
23:08:13.694312 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 7 gre-ppp-payload
23:08:16.694854 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 8 gre-ppp-payload
23:08:19.695399 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 9 gre-ppp-payload
23:08:22.702834 IP server.xs4all.nl > ip9135777e.speed.planet.nl: call 1272 seq 10 gre-ppp-payload
23:08:22.708704 IP server.xs4all.nl.1723 > ip9135777e.speed.planet.nl.13764: F 189:189(0) ack 349 win 6432
23:08:22.727923 IP ip9135777e.speed.planet.nl.13764 > server.xs4all.nl.1723: F 349:349(0) ack 190 win 65347
23:08:22.727975 IP server.xs4all.nl.1723 > ip9135777e.speed.planet.nl.13764: . ack 350 win 6432

[Arnout]

Niemand? Jammer zeg, heb ik es een keer wat....

Ik heb zelf nog even een testje gedaan met de XP SP2 firewall en als deze aanstaat, zelfs met uitzonderingen negeren, doet een VPN verbinding het prima, ook i.c.m. met een iptables NAT gateway.

[Tropos]

Ik weet eerlijk gezegd bijna niets over VPN technieken, maar aangezien niemand anders reageert, wil ik er wel iets over zeggen. Ik meen namelijk wel eens ergens gelezen te hebben dat de speedtouch gateways in router-mode, geen GRE VPN ondersteunen. IP-sec daarentegen wel. Ik heb dat gelinkte document kort bekeken, maar daar zie ik dus niet expliciet staan dat GRE wel ondersteund wordt, i.t.t. IP-sec.

Wellicht heb ik het volledig mis hoor, maar je zou het nog even goed kunnen uitzoeken en evt. contact kunnen opnemen met de speedtouch helpdesk:
http://www.speedtouch.nl/contacts.html

[DukeBox]

Er is wel een bekend iets met die thomson 510 dingen.. iets met spoof geloof ik. Opzich zou het niets ermee te maken hebben, maar als je dat aanzet werkt gre wel.

[Arnout]

Ok, in ieder geval bedankt voor de antwoorden.

sip_spoof en dhcp_spoof ken ik wel goed, ik heb het hier en daar ook draaien. Thuis heb ik mijn eigen speedtouch in de bridge stand staan, d.w.z. ik moet zelf inbellen en krijg op mijn linux machine een inbelverbinding.

Ik zal eerst zelf even er langs met mijn laptop en dan kijken of ik het probleem kan elimineren, misschien firmware even upgraden, daarna zal ik contact opnemen met thomson.

[Verwijderd]

als het nou over ipsec / des/3des vpn ging had ik nog wel een paar tips voor je ... maar met pptp heeft het bij mij altijd gewerkt over een speedtouch modem.

suc6

[Arnout]

Gisteravond een nieuwe test gedaan: met een laptop (XP) vanachter dezelfde modem en verbinding werkt het ook niet, weer fout 619.

Fout 619 duidt erop dat GRE pakketten niet doorkomen, dus dat wijst wederom in de richting van de modem. Ik ga er binnenkort langs om de modem onder handen te nemen, evt. nieuwe firmware erop zetten en default settings terug zetten.

[Tropos]

Tsja, nogmaals sprekende zonder weinig ervaring met VPN verbindingen ...

Maar ... 'default' betekent in 'router' modus. Dus voor zover ik herinner en heb gelezen geen GRE ondersteuning. Dus .. dat lukt niet. Dus je stapt ter plaatse ook over op 'spoof' mode of je stapt over op IP-sec.

[Verwijderd]

als je die modem gewoon in bridge mode zet weet je genoeg.

[fonias]

Ik weet niet of het mogelijk is met de 510 maar ik heb zelf de 570 en deze werkt wel icm vpn pptp GRE47.

GRE47 moet je wel dan ff instellen via telnet.
Als je deze niet insteld kun je idd geen vpn pptp verbinding tot stand brengen.

Nadeel van de speedtouch is wel als je te snel achter elkaar een vpn verbinding wilt maken dat deze eruit klapt, heb ik iig zelf ervaren.

[Arnout]

Ik zal dat nog eens proberen.

Sowieso zou ik mijn test moeten uitbreiden met een Speedtouch in "router" mode.

Alhoewel, het Thomson document vermeld dat er _geen_ instellingen benodigd zijn om outbound VPN te realiseren. Inbound (logisch) wel.

Ik heb flink gegoogled hierop. Wat mij opvalt: ik vind overwegend hits die gaan over een VPN server achter een speedtouch, er zijn maar heel weinig hits over een VPN client achter een speedtouch. Dit lijkt erop dat het gewoon "out-of-the-box" werkt.

mash_man: modem in bridge stand zetten is niet echt een optie, dan moeten ze zelf inbellen op de pc, das voor een tweaker wel te doen, maar voor normale users is het juist zo fijn dat de speedtouch de inbelverbinding lekker zelf regelt.

[ Voor 22% gewijzigd door Arnout op 07-04-2005 09:26 ]

[Maxxi]

Waarom wil je zn VPN opzetten? om te gamen?

want dan zijn er ook veel betere/makkelijkere altanatieven
http://delamitri.sohosted...Game%20Tools/Gametunnels/
2 verschillende gametunnels

Succes

[htca]

Ik heb hetzelfde probleem gehad, ik moest GRE,ESP en IKE unbinden en UDP poort 500 openzetten en mappen naar het interne ip adres.
Met name dat laatste was erg vervelend, als ik op mijn laptop wilde werken, moest ik eerst de router opnieuw configgen en andersom natuurlijk ook.
Nu heb ik een Cisco router, geen centje pijn meer.

[Arnout]

Dan begint het er toch op te lijken dat de speedtouch port forwarding nodig heeft om een vpn client verbinding te laten maken?
_{weer een reden om je speedtouch puur als modem in te stellen en een debian box neer te zetten voor routing}

Maxxi: De verbinding is niet voor gamen bestemd; ik wil toegang geven tot windows shares op een windows server, via VPN.

[ Voor 20% gewijzigd door Arnout op 07-04-2005 11:22 ]

[htca]

Arnout schreef op donderdag 07 april 2005 @ 11:21:
_{weer een reden om je speedtouch puur als modem in te stellen en een debian box neer te zetten voor routing}

Tja als je dat echt wilt, moet je dat doen, maar je hebt niet voor niets een router. Je kunt ook kijken of je een andere router kunt aanschaffen. Want als je een jaar die debian bak laat aanstaan, dan heb je die kosten er al uit.

[Arnout]

Probleem dit weekend opgelost.

Het bleek dat er tussen de Speedtouch en de client, nog een Edimax Access Point / Router stond, welke ook NAT/DHCP deed. Daardoor ging de VPN verbinding niet werken (NAT over NAT).

Edimax omgezet naar access point only mode, en probleem was opgelost.
Ook nog even de Speedtouch een firmware upgrade gegeven.

Owja, dit had ik dus kunnen ontdekken door een ipconfig te doen (dan had ik kunnen zien dat de client geen standaard speedtouch subnet had (10.0.0.x)) of door een traceroute te doen (1 extra hop van de Edimax). Volgende keer dus beter m'n best doen!

[ Voor 30% gewijzigd door Arnout op 31-05-2005 10:35 ]