Debian VPN server howto

[Verwijderd]

Vandaag heb ik een VPN servertje opgezet om te kunnen gamen over internet zonder dat de key's gecheckt worden een afgeschermt "intranet" te maken thuis. Hieronder het stappenplan. K dacht dat het misschien ook handig kan zijn voor anderen, vandaar dat ik het even post. Bovendien heeft iemand misschien wel op- en/of aanmerkingen voordat ik dit op een dedicated servertje ga installeren aan het eind van de week. (heb het nu op een virtueel machientje getest)

===============================
- Ga naar http://cdimage.debian.org/debian-cd/current/i386/iso-cd/ om de netinst.iso te downloaden.

- Installeer dit volgens het klik-klik-ok principe.

- Start het systeem, log in als root, en doe het volgende:
aptitude install pptpd
(misschien vraagt ie nog een keertje om de netinst.iso cd)

- onderaan toevoegen in /etc/pptpd.conf
localip <IP adres van de server in je vpn>
remoteip <IP range voor ip adressen die uitgegeven worden>

Bijvoorbeeld:
localip 192.168.254.240
remoteip 192.168.254.241-250

- Onderaan toevoegen aan /etc/ppp/chap-secrets
user123 pptpd password123 *

Waar user123 de username is, password123 is het password van user123, en * betekend dat het niet boeit van welk ip hij komt. Hier kun je dus ook een vast IP adres van iemand zetten. Als je meerdere users wilt, kun je deze gewoon op een nieuwe regel zetten.

reboot debian


Op je windows machine:
- Rechtsklik op "My Network Places" en kies "properties"
- klik in het linker menuutje op "create a new connection"
- De New Connection Wizard start.
- Bij het welcome scherm klik je "next"
- Kies "connect to the network at my workplace"
- "Virtual Private Network Connection"
- Geef een naam voor je verbinding
- "Do not dial the initial connection"
- Geef het IP adres van je server op. Op de Debian typ je "ifconfig" als root, en je ziet het ip adres bij eth0 staan.
- "add a shortcut......" aanvinken voor de makkelijkheid.

Nu komt er een popupje voor username en password. Voer deze in (dat zijn dus de gegevens die je in /etc/ppp/chap-secrets hebt gezet). Druk nog niet op connect. Doe eerst even:
- klik op "properties"
- Tabblaadje "Networking"
- dubbelklik "internet protocol (tcp/ip)
- "advanced"
- "use default gateway on remote network" uitvinken.
- 3 keer op "ok" klikken, en daarna op "connect".


!!!! Niet vergeten !!!!
- Mocht je servertje achter een router staan, forward even port 1723 (tcp) naar je debian servertje.
- Regel even dat je dhcp server (meestal op je router) een vast ip adres geeft aan je debian servert.

[toevoeging]
daft_dutch wees mij er terecht op dat de clients niet met elkaar kunnen communiceren. Dit is te verhelpen door het volgende commando uit te voeren op de Debian VPN server:
echo "ip_forward=yes" > /etc/network/options
[/toevoeging]

[ Voor 4% gewijzigd door Verwijderd op 26-08-2008 16:38 ]

[gertvdijk]

Niet om je af te kraken, maar unencryted VPN is niet echt meer van deze tijd. Daarnaast vraag ik me af in hoeverre en simpele PPTP VPN genoemd mag worden. Waarom gebruik je niet gewoon OpenVPN?

[Verwijderd]

gertvdijk schreef op maandag 25 augustus 2008 @ 19:36:
Niet om je af te kraken

Zo vat ik het ook helemaal niet op! :-)

maar unencryted VPN is niet echt meer van deze tijd.

Omdat mijn grootste geheim op mijn game pc mijn britney spears mp3'tjes zijn, geef ik niet zo heel veel om encryptie op dit deel van mijn netwerk. Maar wel een goed punt. Ik begreep uit de config files zoals deze standaard worden geinstalleerd, dat pptpd middels mppe geencrypt is. Ok, het is MS spul, maar encryptie is encryptie toch? :-)

Daarnaast vraag ik me af in hoeverre en simpele PPTP VPN genoemd mag worden.

Het is volgens mij gewoon een VPN, omdat het netwerk over het internet loopt.

Waarom gebruik je niet gewoon OpenVPN?

Luiheid... pptpd is minder werk... :-P

[Dothan]

gertvdijk schreef op maandag 25 augustus 2008 @ 19:36:
Niet om je af te kraken, maar unencryted VPN is niet echt meer van deze tijd. Daarnaast vraag ik me af in hoeverre en simpele PPTP VPN genoemd mag worden. Waarom gebruik je niet gewoon OpenVPN?

PPTP is wel sneller, raad je dan ssl aan? ipsec is helemaal moeilijk te installeren. Jammer dat die routers zo duur zijn en daar moet je hun eigen software installeren. Ik zou ook wel goed werkende VPN willen, ik ga dat van de TS proberen, maar wat is er zo onveilig aan?

[SpamLame]

Dothan schreef op maandag 25 augustus 2008 @ 22:32:
[...]


PPTP is wel sneller, raad je dan ssl aan? ipsec is helemaal moeilijk te installeren. Jammer dat die routers zo duur zijn en daar moet je hun eigen software installeren. Ik zou ook wel goed werkende VPN willen, ik ga dat van de TS proberen, maar wat is er zo onveilig aan?

Router die dat kunnen hoeven niet duur te zijn, zeker niet als je de 2dehands markt op gaat voor een linksys, draytek of zyxel. Hier heb je geen aparte software voor nodig.
Overigens licht het eraan wat je definitie van duur is.

Aanprijsmodus, 'k heb nog een draytek 2600G liggen die je overnemen kan.

[ Voor 5% gewijzigd door SpamLame op 25-08-2008 22:37 ]

[gertvdijk]

Hmm... er lijkt wel een vorm van encryptie op te kunnen inderdaad. Maar ik kan nergens terugvinden waar en hoe je de encryptie kan instellen (varianten, lengte sleutel, etc).

[Dothan]

Die draytek 2600G kan geen internet van 16mbit aan, ik heb nu een linksys RVS4000 maar daar moet ik per se die linksys client installeren. Wat zijn de systeem eisen van die Debian VPN server?

[gertvdijk]

Dothan schreef op maandag 25 augustus 2008 @ 22:48:
Die draytek 2600G kan geen internet van 16mbit aan, ik heb nu een linksys RVS4000 maar daar moet ik per se die linksys client installeren. Wat zijn de systeem eisen van die Debian VPN server?

Elke bak nieuwer dan 10 jaar oud kan dat fatsoenlijk, zo ongeveer.

[Verwijderd]

gertvdijk schreef op maandag 25 augustus 2008 @ 22:39:
Hmm... er lijkt wel een vorm van encryptie op te kunnen inderdaad. Maar ik kan nergens terugvinden waar en hoe je de encryptie kan instellen (varianten, lengte sleutel, etc).

gecopy/paste uit /etc/ppp/pptpd-options

# Encryption
# Debian: on systems with a kernel built with the package
# kernel-patch-mppe >= 2.4.2 and using ppp >= 2.4.2, ...
# {{{
refuse-pap
refuse-chap
refuse-mschap
# Require the peer to authenticate itself using MS-CHAPv2 [Microsoft
# Challenge Handshake Authentication Protocol, Version 2] authentication.
require-mschap-v2
# Require MPPE 128-bit encryption
# (note that MPPE requires the use of MSCHAP-V2 during authentication)
require-mppe-128
# }}}

[Dothan]

Bij localip heb je daar het ip-adres van de server ingevuld? Bij remoteip weet je toch niet wat het ip is van de client? je hebt daar een range ingevuld van je thuisnetwerk? dan kan je er niet mee van buitenaf mee connecten.

[daft_dutch]

Moet er nog niet wat bij over routering en of brigdeing.
In deze configuratie wordt er "Volgens mij" alleen een "een of meer" verbinding direct met de server gemaakt.
Test even of meerdere clients elkaar kunnen pingen. een gateway van en naar een lokaal netwerk kan ook.

als de TC het start msg mooi bij werkt. en alle nos tweakers helpen is het en Howto die veel mensen kan helpen.

Verwijderd schreef op maandag 25 augustus 2008 @ 17:12:
reboot debian

code:

t# /etc/init.d/pptpd restart

gertvdijk schreef op maandag 25 augustus 2008 @ 22:50:
[...]
Elke bak nieuwer dan 10 jaar oud kan dat fatsoenlijk, zo ongeveer.

een 386 met linux route 10mbit per seconde. Heb ik eens vroegar gehoord.

En Ja dit is een VPN niet een zeer veilige maar dat is voor deze toepassing niet vereist.
gemak en performance wel wat ook top is.
het unencrypted wachtwoord is alleen voor root leesbaar

[Verwijderd]

Of je gebruikt Hamachi, veel simpeler als het gaat om gamen

[Verwijderd]

daft_dutch schreef op dinsdag 26 augustus 2008 @ 00:58:
Moet er nog niet wat bij over routering en of brigdeing.
In deze configuratie wordt er "Volgens mij" alleen een "een of meer" verbinding direct met de server gemaakt.
Test even of meerdere clients elkaar kunnen pingen. een gateway van en naar een lokaal netwerk kan ook.

Ghehe, je hebt gelijk. Ik kon wel pingen tussen de clients, maar toen ik even verder keek dan mijn neus lang was, kwam ik erachter dat de pakketjes niet over het vpn, maar over het netwerk van vmware gingen... Ik ga even wat klooien met route tabellen enzo, en kom hier op terug...

[alt-92]

gertvdijk schreef op maandag 25 augustus 2008 @ 22:39:
Hmm... er lijkt wel een vorm van encryptie op te kunnen inderdaad. Maar ik kan nergens terugvinden waar en hoe je de encryptie kan instellen (varianten, lengte sleutel, etc).

Standaard is tegenwoordig 128bits, en het is RC4 dus zeg maar ofje dat goed genoeg vind.
Ik gebruik het in ieder geval niet meer, maar doe liever l2tp (ipsec).

[Verwijderd]

daft_dutch schreef op dinsdag 26 augustus 2008 @ 00:58:
Moet er nog niet wat bij over routering en of brigdeing.
In deze configuratie wordt er "Volgens mij" alleen een "een of meer" verbinding direct met de server gemaakt.
Test even of meerdere clients elkaar kunnen pingen. een gateway van en naar een lokaal netwerk kan ook.

Ik heb in de /etc/sysctl.conf het hekje weggehaald voor de regel:
net.ipv4.conf.default.forwarding=1

Daarna heb ik gereboot. Het werkte nog niet. Ik had verwacht dat deze actie zou resulteren in een "1" in het file /proc/sys/net/ipv4/ip_forward, maar dat was helaas niet waar... Nadat ik een "echo 1 > /proc/sys/net/ipv4/ip_forward" deed, kon ik wel pingen tussen de clients.

Nu kan ik wel een truukje verzinnen om deze echo elke keer tijdens het opstarten te doen, maar das niet echt netjes... Mocht iemand van jullie hier een idee over hebben, ik hoor het graag! Tot die tijd zoek ik even verder...

[blaataaps]

/etc/init.d/network ofzo kan hem ook nog veranderen, een grep op ip_forward in /etc/init.d (of desnoods /etc/) vertelde mij volgens mij altijd welk script er alsnog met z'n vingers aanzat.

[Verwijderd]

Goed commentaar. Ik was vergeten te zeggen dat ik zelf ook al even had gekeken hiernaar, en niets kon vinden...

juultje:/etc# grep -R ip_forward *
init.d/networking:ip_forward() {
init.d/networking: if echo 1 > /proc/sys/net/ipv4/ip_forward; then
init.d/networking: doopt ip_forward no
rc0.d/S35networking:ip_forward() {
rc0.d/S35networking: if echo 1 > /proc/sys/net/ipv4/ip_forward; then
rc0.d/S35networking: doopt ip_forward no
rc6.d/S35networking:ip_forward() {
rc6.d/S35networking: if echo 1 > /proc/sys/net/ipv4/ip_forward; then
rc6.d/S35networking: doopt ip_forward no
rcS.d/S40networking:ip_forward() {
rcS.d/S40networking: if echo 1 > /proc/sys/net/ipv4/ip_forward; then
rcS.d/S40networking: doopt ip_forward no
juultje:/etc#

Elk script dat er iets mee zou kunnen doen, kan er alleen maar een 1 van maken, en geen 0...

edit:

Gevonden. In Debian moet je dit kennelijk regelen door een file /etc/network/options aan te maken, en daar "ip_forward=yes" in te zetten.
Na dit, kon ik nog steeds niet pingen, maar dat bleek een fedora probleempje. De routetabel was niet aangepast. Onder Windows was deze wel goed aangepast. Omdat het in het straks in het echt toch alleen maar om Windows machines zal gaan, boeit dit verder niet. Mochten anderen dit wel met een linux client doen, dan moet er een nieuwe route toegevoegd worden. Ik deed het met "route add -host 192.168.254.242 gw 192.168.254.240"

[ Voor 25% gewijzigd door Verwijderd op 26-08-2008 16:27 ]