PPTP VPN vanuit CentOS 7 met Static IP

[Daffie]

Voor een POC (jawel, dezelfde als deze ) probeer ik ook direct vanuit CentOS 7 een PPTP VPN verbinding op te zetten. Dit gaat in principe goed, maar ik loop tegen een probleempje aan.

Het netwerk waar de CentOS server direct op aangesloten is, is een 192.168.x.x /16 netwerk.
Het netwerk welke hij via de VPN kan benaderen is een 192.168.11.x /24 netwerk.
Zo out-of-the-box gaat dit niet werken, immers CentOS weet niet welke route hij moet pakken als ik naar een host in het 192.168.11.x netwerk wilt, dus kiest hij z'n default route, en dat werkt niet.

Dit is natuurlijk prima op te lossen met een static route! Echter, moet ik voor een static route, wel een static IP address hebben (want je moet bij het invullen van een static route entry ook aangeven via welk IP-adres dit naar buiten moet, zover ik weet).

Nu heb ik na wat google'n gevonden dat je in /etc/ppp/chap-secrets in de 4e kolom een IP-adres kan invullen die voor die VPN verbinding gebruikt moet worden. Heb ik gedaan, maar hij luistert daar gewoon niet naar. Hij blijft voor de VPN verbinding een IP adres gebruiken die door de VPN server uitgedeeld wordt.

Heeft iemand een idee waarom hij dit niet uit het config bestand lijkt te pakken?

[Hero of Time]

Gokje, routes die in je localnet vallen worden niet toegepast of krijgen een andere metric waardoor het effectief niet gebruikt wordt.

Zoals je in je vorige topic netjes aangaf is PPTP niet ideaal. En je liep al te klooien om het werkend te krijgen terwijl je blind staarde op de specs dat het "50 Simultaneous VPN Tunnels, including up to 25 SSL VPN" aan kan, moet je je wel heel goed beseffen wat voor VPN het ondersteund.

Ik zou eerder kijken naar een protocol dat wel fatsoenlijk werkt en veel duidelijker is.

[Daffie]

Hero of Time schreef op vrijdag 14 september 2018 @ 10:12:
Gokje, routes die in je localnet vallen worden niet toegepast of krijgen een andere metric waardoor het effectief niet gebruikt wordt.

Zoals je in je vorige topic netjes aangaf is PPTP niet ideaal. En je liep al te klooien om het werkend te krijgen terwijl je blind staarde op de specs dat het "50 Simultaneous VPN Tunnels, including up to 25 SSL VPN" aan kan, moet je je wel heel goed beseffen wat voor VPN het ondersteund.

Ik zou eerder kijken naar een protocol dat wel fatsoenlijk werkt en veel duidelijker is.

Ik krijg bijna het idee dat het gebrek aan kennis over VPN's en dergelijke me hier kwalijk genomen wordt, maar is er mee werken niet juist de manier om er ervaring mee op te doen?

[Room42]

PPTP is gewoon geen protocol meer om ervaring mee op te doen. Je leert dan een verouderd, gekraakt protocol. Daarom kun je je beter verdiepen in iets dat wél veilig is.

[Hero of Time]

Daffie schreef op vrijdag 14 september 2018 @ 11:10:
[...]


Ik krijg bijna het idee dat het gebrek aan kennis over VPN's en dergelijke me hier kwalijk genomen wordt, maar is er mee werken niet juist de manier om er ervaring mee op te doen?

Enigszins wel ja, omdat je met oude, onveilige meuk bezig bent. Je gaf zelf al aan dat het onveilig is en toch wil je er mee door blijven werken. Stug door blijven gaan, na herhaaldelijk aangeven iets beters te gebruiken wordt je dan wel kwalijk genomen.

Beetje hetzelfde idee als je met RH 4 wilt gaan werken, terwijl RHEL 7 er is. Moet je ook niet doen.

[Thralas]

Daffie schreef op vrijdag 14 september 2018 @ 09:25:
Heeft iemand een idee waarom hij dit niet uit het config bestand lijkt te pakken?

Nee, maar waarom los je niet je werkelijke probleem op?

Also, PPTP in 2018 deployen verdient wel een twijfelachtige prijs. Doe jezelf een lol en gebruik een NUC of Raspberry Pi met Wireguard.

[Daffie]

Ik heb het uiteindelijk kunnen oplossen. er is blijkbaar een ip-up.local en een ip-down.local, die aangeroepen worden als de verbinding respectievelijk up en down gaat.

Voor de ip-up.local:

vim /etc/ppp/ip-up.local

code:

#!/bin/bash
ip route add [network]/[netmask] via $5 dev $1

En voor de ip-down.local:

vim /etc/ppp/ip-down.local

code:

#!/bin/bash
ip route del [network]/[netmask] via $5 dev $1

Via deze website:

code:

# When the ppp link comes up, this script is called with the following
# parameters
#       $1      the interface name used by pppd (e.g. ppp3)
#       $2      the tty device name
#       $3      the tty device speed
#       $4      the local IP address for the interface
#       $5      the remote IP address
#       $6      the parameter specified by the 'ipparam' option to pppd

Ik ga de betrokkenen nog eens op het hart drukken dat PPTP geen goede keus is.

[Hero of Time]

Leuk, heb je nu een paar uur gestoken in een oplossing die je effectief nooit zal gaan inzetten. Zit je straks weer te stoeien met een andere oplossing, zoals OpenVPN of IPSec+L2TP. Je had je tijd beter kunnen besteden door gelijk een fatsoenlijke oplossing te gebruiken.
Nooit luisteren naar stakeholders als het om een technische implementatie als dit gaat. Ze hebben er vaak de ballen verstand van en snappen niet dat onveilige VPN oplossingen ook prachtige wegen naar binnen zijn waardoor opeens alle bedrijfsgegevens op straat liggen. Maar ja, er gaat niets kritieks over de lijn, toch?