VPN door firewall

[VIsje]

Hallo,

Ik wil graag VPN'en. Maar ik zit hiero achter een firewall
met ipchains en het lukt me niet om te connecten.
Als ik via telefoonlijn doe lukt het wel dus het ligt aan me firewall.
Wie iemand hoe ik dit moet oplossen?

[Verwijderd]

In principe kan dat niet of is het erg moeilijk.
Simpelweg door de manier waarop een vpn werkt.

Wat je kunt proberen is om een patch te installeren op je kernel, die dat goed mogelijk zou moeten maken.
http://freshmeat.net/projects/linuxvpnmasquerade/

[Aaargh!]

zit er alleen een firewall tussen of ook een stukje NAT ?

[Brahiewahiewa]

Je moet protocol 47 oftewel GRE aanzetten.

[VIsje]

Ik zit op een widowsXP pc.
Hij kan wel de server zien maar met password en username check gaat het verkeert

WindowsXP -> linux firewall -> het internet -> VPN server

[Verwijderd]

De firewall van XP kun je niet gebruiken als je PC via ADSL (VPN) met het WWW verbonden is! Het hoe en waarom vindt je bij "help"en ondersteuning" van XP! Firewalls geven problemen met ADSL(VPN).

'k zou eens bij FAQ kijken bij de ADSL providers...

[VIsje]

de linux firewall is met kabel en de windows pc zit daar aan via hub

[Verwijderd]

tja van kabel weet ik niets. Zone alarm op een Windows PC met kabel werkt bij mijn kennisen vlekkeloos...


Of ze VPN gebruiken weet ik niet. Ik dacht dat VPN alleen gebruikt werd bij ADSL verbindingen.....

[Brahiewahiewa]

http://www.impsec.org/linux/masquerade/ip_masq_vpn.html#HOWTO

[igmar]

Je moet protocol 47 oftewel GRE aanzetten.

Zal je weinig goed doen. Het eigenlijke probleem is dat NAT de ipadressen veranderd en dat vind IPSEC niet zo leuk. GRE heeft hier geen zak mee te maken.

[Brahiewahiewa]

Op vrijdag 11 januari 2002 23:50 schreef igmar het volgende:
[..]
Zal je weinig goed doen. Het eigenlijke probleem is dat NAT de ipadressen veranderd en dat vind IPSEC niet zo leuk. GRE heeft hier geen zak mee te maken.

Hmmz, VIsje beweert dattie op een WinXP masjien werkt, dus hij kan kiezen uit L2TP of PPTP. L2TP (of IPSec) is inderdaad niet te NATten, maar PPTP wel. En PPTP gebruikt dus GRE.

[VIsje]

Ik kan idd PPTP kiezen bij windows XP
maar hoe moet ik dat dan precies configureren in de firewall die poort 47 GRE?

[Verwijderd]

Zit je misschien aangesloten op een kabelprovider-netwerk?
Ik heb zoiets ook gehad, kon wel aanmelden bij mijn VPN, maar kreeg daarna peer-timeout. Bleek dat die geweldige (NOT!) kabelprovider quicknet genaamd, de "uitgaande" poorten lager dan 1024 dicht heeft gezet om ftp-servers/web-servers etc etc tegen te gaan. Met mijn modempje naar een "gratis" provider ging het wel. (is misschien iets om ook naar te kijken bij aanschaf van een abonnement...)

[VIsje]

Heb hiero chello liggen. En volgens mij heeft die gewoon alle poorten open

[rstegers]

Het idee achter een firewall is dat de toegang tot het interne netwerk gecontroleerd en beveiligd wordt. Even los van de vraag of het mogelijk is, is het maar de vraag of het gewenst is dat je een tunnel naar buiten legt.

[Verwijderd]

Ik neem aan dat je linux firewall kernel 2.2 draait? Er is een kernelmodule beschikbaar om pptp clients goed achter een NAT machine te laten werken. kernelmodule vind je hier: http://www.e-infomax.com/ipmasq/appsup.html

[edit]
even wat onzin weggehaald.

[VIsje]

heb hier RedHat 6.2 met kernel 2.2.12-20 draaien.
Zal die patch ff downloaden en installeren

[Verwijderd]

Update maar heel snel je kernel, want die bevat een remote root exploit! Download dan ook even alle andere updates van redhat, want redhat 6.2 is oud en bevat een hoop security bugs.

[edit]
nog wat onzin weggehaald. Kernel module blijkt toch een kernel patch te zijn.

[Tachyon]

Probeer anders eens Smoothwall als firewall. Daar zit een ingebouwde VPN-module in.

[VIsje]

Maar smoothwall is toch een linux opzich?? Dus moet ik hele HD weer formateren. Heb ik net me server op orde gemaakt

[igmar]

Hmmz, VIsje beweert dattie op een WinXP masjien werkt, dus hij kan kiezen uit L2TP of PPTP. L2TP (of IPSec) is inderdaad niet te NATten, maar PPTP wel. En PPTP gebruikt dus GRE.

Ah... VPN is IPSEC bij mij, niet bij M$ dus.
Ik heb het idee dat beide protocollen een client tunnelen naar
een netwerk, IPSEC tunnelt subnetten. Dat eerste noem ik gewoon een PPP variant, en geen VPN. Maar ja, M$ staat er bekend om dat ze termen en standaarden om zeep helpen

[Brahiewahiewa]

Op zaterdag 12 januari 2002 13:54 schreef igmar het volgende:

[..]

Ah... VPN is IPSEC bij mij, niet bij M$ dus.
Ik heb het idee dat beide protocollen een client tunnelen naar
een netwerk, IPSEC tunnelt subnetten. Dat eerste noem ik gewoon een PPP variant, en geen VPN. Maar ja, M$ staat er bekend om dat ze termen en standaarden om zeep helpen

Stoer hoor, maar het VPNC "believes that there are three major protocols for VPNs:

- IPsec
- L2TP running under IPsec
- PPTP

bron http://www.vpnc.org/vpn-standards.html

Maar ja die *nix mannetjes staan er om bekend dat ze MS gaan bashen als ze het niet meer begrijpen.

[VIsje]

Als ik die module ip_masq_vpn wil installeren en doe:
zcat patchfile.gz | patch -l -p0

krijg ik dit

can't find file to patch at input line 3
Perhaps you used the wrong -p or --strip option?
The text leading up to this was:

------------------------------
|*** ip_masq.c.orig Sat Nov 13 19:15:18 1999
|--- ip_masq.c Mon Nov 15 17:03:24 1999
------------------------------
File to patch:

[BlaTieBla]

Wat voor VPN server is het??

Cisco VPN concentrator?
Cisco PIX?
Checkpoint FW1 VPN?

Op somminge FW's moet je NAT tranversal aanzetten (op de VPN doos) om een VPN optezetten t.b.v. een tunnel (door NAT).
De term NAT Traversal is FW afhankelijk (vendors hebben hier vaak een eigen benaming voor)

Bij SecGo VPN en Checkpoint heet het in iedergeval Traversal (dacht ik)

[VIsje]

Het is een Suse 7.0 server met PoPToP.
En ik wil niet een vpn van linux server naar linux server.
Omdat de andere die hier aan het netwerk hangen er niks mee te maken hebben

[Verwijderd]

Op zaterdag 12 januari 2002 14:39 schreef VIsje het volgende:
Als ik die module ip_masq_vpn wil installeren en doe:
zcat patchfile.gz | patch -l -p0

krijg ik dit

can't find file to patch at input line 3
Perhaps you used the wrong -p or --strip option?
The text leading up to this was:

------------------------------
|*** ip_masq.c.orig Sat Nov 13 19:15:18 1999
|--- ip_masq.c Mon Nov 15 17:03:24 1999
------------------------------
File to patch:

In welke directory voor je die patch uit en met welke rechten (root)?

[VIsje]

in
/lib/modules/2.2.12-20/ipv4

als root
dat is de enige plaats waat de ipv4 directory staat
dus dat pad lijkt me goed

[Verwijderd]

Je moet natuurlijk wel je source patchen en niet je binary modules. Op de site ook dat je de patch moet draaien in /usr/src/linux/net/ipv4. Als je die dir niet hebt, dan heb je geen kernel source geinstalleerd en moet je die dus eerst downloaden.

Verder zou ik je toch dringend aanraden gelijk een nieuwe kernel te installeren gezien de 2.2.12 versie een root exploit bevat. Let er dan wel op dat je de goede patch voor de nieuwe kernel neemt, want er staan er verschillende op de site.

[VIsje]

ben nu kernel 2.4.17 aan het downloaden
vanaf http://www.kernel.org/

Nu ff nog kijken hoe ik dat moet doen.
En zit dan die VPN er gelijk in?

[Verwijderd]

Nee daar zit niet gelijk VPN support in. Je kan wel met iptables een VPN client achter je linuxbak masquaraden.

Houd er rekening mee dat je die 2.4.17 kernel niet zomaar met redhat 6.2 kunt gebruiken. Daarvoor is de distributie te oud en zul je erg veel moeten updaten. Misschien is een nieuwe versie van redhat installeren dan makkelijker.

[VIsje]

Mmmm.. ff overleggen dan met me broer
Dan ga ik er wel redhat 7.2 opzetten.

Allemaal hartelijk bedankt en vooral Balou voor de waaschuwing. Thnnxx....