[Debian] VPN met Win2k client

[jelmervos]

Ik heb een Debian (2.2.19) gateway met ipchians die mijn internet deelt over het interne netwerk (192.168.0.x).

Nu wil ik met een Windows 2000 client (=192.168.0.5) achter die gateway een VPN verbinding opzetten met een server ergens op internet.

Hoe doe ik dit, omdat ik iets moet instellen op mijn Debian router, maar ik kom veel verschillende oplossingen tegen. Wat is het simpelst, want om nou voor zoiets mijn kernel opnieuw te compilen.

Alvast bedankt voor reacties.

[_cyclops_]

http://www.linuxdoc.org/HOWTO/VPN-HOWTO.html

dude?!

[Thijs B]

VPN vanaf/naar windows 2000 via een ipchains of andere NAT router is niet zo simpel. Je kan wel de juiste portjes doorsturen enzo maar dan ben je er nog niet.

Ik heb zo iets ook nodig maar het werkt niet.
Zover ik heb begrepen kan je met het vpn protocol geen verbinding maken als de route via een NAT router naar internet gaat.

Het heeft iets met de security van VPN te maken als je de windows 2000 client direct aan internet hangt werkt het wel.

Je bent dus verplicht om de vpn verbinding op te zetten vanaf je linux bak naar de vpn server ergens op internet daarna kan je het verkeer van je windows 2000 client gewoon met route naar die vpn verbinding sturen..

In theorie klinkt het eenvoudig maar ik ben al weken aan het klooien om zo iets aan de praat te krijgen

Ohja deze howto http://www.linux.com/howto/VPN-Masquerade-HOWTO.html heb je iets meer aan maar waarschijnlijk had je die zelf ook al gevonden.

[jelmervos]

Yep, die sites had ik zelf ook al gevonden.

Maar ik vond het vreemd dat eigenlijk zoiets simpels niet zomaar kan. Maar nu ik over die beveiliging denk weet ik wel waarom het zo moet. ABN AMRO heeft/had hetzelfde met hun bank pakket, dat wil ook niet zomaar via een NAT router.

Maarja, hopen dat het me ooit gaat lukken.

[igmar]

Maar ik vond het vreemd dat eigenlijk zoiets simpels niet zomaar kan. Maar nu ik over die beveiliging denk weet ik wel waarom het zo moet. ABN AMRO heeft/had hetzelfde met hun bank pakket, dat wil ook niet zomaar via een NAT router.

?? Het ABN pakket gebruikt een iets verbouwde vorm van FTP, en gaat prima door een NAT router heen. IPSEC AH crypt het IP adres, en dat word door NAT veranderd waardoor de authenticatie niet goed gaat.

[igmar]

Nu wil ik met een Windows 2000 client (=192.168.0.5) achter die gateway een VPN verbinding opzetten met een server ergens op internet.

Definieer VPN ? Ik versta daar IPSec onder, maar l2tp word ook VPN genoemd (onterecht, maar da's wat anders).

IPSec gaat niet vanachter NAT, l2tp is gewoon GRE + wat poortjes, en moet geen probleem zijn (details onder voorbehoud, mijn geheugen heeft zo z'n grenzen ;P)

[jelmervos]

Dat over ABN was geheel offtopic, niet bedoeld om dieper op in te gaan.

Het is gewoon de VPN verbinding zolas Windows 2000 die kent, dat is volgens mij gewoon L2TP of PPTP, toch?

Op vrijdag 01 maart 2002 19:31 schreef igmar het volgende:

[..]

IPSec gaat niet vanachter NAT, l2tp is gewoon GRE + wat poortjes, en moet geen probleem zijn (details onder voorbehoud, mijn geheugen heeft zo z'n grenzen ;P)

Ervaring? Misschien weet je ergens een duidelijk uitleg ofzo?

[JayTaph]

IPSec gaat niet vanachter NAT

IPSec werkt perfect samen met NAT, alleen ben je gebonden aan ESP ipv AH.

[jelmervos]

Maar iemand nog een idee hoe ik dit aan de praat kan krijgen?

Want om nou alleen voor een VPN verbinding te moeten inbellen met een modem.

[bodiug]

Ik gebuik frees/wan dit werkt prima.

Op windows wel de high encryption pack installeren.

[igmar]

IPSec werkt perfect samen met NAT, alleen ben je gebonden aan ESP ipv AH.

En dat is dus in een heleboel gevallen niet wenselijk, aangezien blindvaren op alleen ESP nogal wat problemen heeft. D'r zit niet voor niks AH in het IPSEC protocol.

[igmar]

Maar iemand nog een idee hoe ik dit aan de praat kan krijgen?

Want om nou alleen voor een VPN verbinding te moeten inbellen met een modem.

1) VPN op de gateway installeren
2) l2tp gebruiken
3) ESP gebruiken ipv AH

ik zou voor 1 of 2 gaan, maar dat is persoonlijke voorkeur.

[Falcon]

Hey Jelmer (ken hem )

Heb je in je NAT je GRE Protocol wel aanstaan..of gerouterd...(create protocol=gre inside_addr=10.0.0.150 outside_addr=(IP adress van die VPN server)(geen port voor gre) ?

En daarnaast moet ook poort PPTP ftp/1723 open hebben staan. En door gelust naar je client toe...(doorgelust=gerouterd

Sommige dingen heb ik even op gezocht maar verder denk ik dat hier wel ergens de oplossing tussen zit. Greets

[jelmervos]

Bedankt.

Zal nog even zoeken, en kijken of het gaat lukken.

Was dit topic helemaal vergeten.

[Falcon]

Kijk even www.hottopics.nl.. handig tooltje

[jelmervos]

Heb nu een nieuwe kernel draaien met iptables en dat werkt echt zeer goed, maar hoe nu verder.

Ik lees ook dat ik op de client PPTP moet gebruiken, maar hoe. Als apparaatnaam zie ik steeds WAN-miniport (L2TP) staan, klopt dat?

[jelmervos]

Heb het even vanaf een XP machine hier geprobeerd, wil ook niet, maar die probeert wel via PPTP.
Ik zie dan ook via TCPDUMP dat hij probeerd te verbinden met de VPN server. Dit gebeurd NIET bij de Windows 2000 client.

[siepeltjuh]

Beknopt overzicht installatie VPN (poptop)

DOEL:
VPN (poptop) server op Debian installeren om daar vervolgens W2k/xp user mee te laten verbinden.
De Xp client heeft verder geen configuratie nodig en beschikt over mschap_v2 en MPPE encryptie.

Waarom:
Ik heb er zelf heel lang over gedaan om het aan de praat te krijgen. Dit is vooral te danken aan het
feit dat MPPE (de benodigde encryptie) nog niet standaard aanwezig is in de kernel. En omdat er door
een licentie verandering wijzigingen zijn doorgevoert in poptop. (bv mschap_v2 en chapms_v2)

Alles met een # moet je in je console invoeren zoals het er letterlijk staat

Log in als gewone user.

#apt-get install kernel-package ncurses-dev fakeroot wget bzip2 ppp pptpd kernel-patch-mppe ee
<alle benodigde pakketen installeren>

#cd /usr/src

#wget http://www.kernel.org/pub.../v2.6/linux-2.6.8.tar.bz2
<kernel source downloaden>

#tar xjf linux-2.6.8.tar.bz2
<kernel source uitpakken>

#cd linux-2.6.8/
#/usr/src/kernel-patches/all/apply/mppe
<mppe patch doorvoeren>

<Heb je nog geen custom kernel config dan vind je de standaard meestal in /boot (bv /boot/config-2.6.7-i386)>

#make menuconfig
<selecteer atlernate configuration file en geef het pad op naar de kernel config file.>
<neem je tijd om alle opties door te lopen, vergeet niet onder netwerk ppp de optie "ppp_mppe" als module te selecteren>

#make dep
#make-kpkg clean
#fakeroot make-kpkg --revision=mijneerstekernel.1 kernel_image
< nu wordt je kernel gecompileerd als dit fout gaat moet je het voglende doen : >

#make clean
<en dan vanaf make menuconfig alles opnieuw>

#cd ../

#dpkg -i kernel-image-2.6.8_mijneerstekernel.1_i386.deb
<de kernel installeren>

#reboot

#uname -a
<na de reboot om tekijken of je de goeie kernel hebt geladen>

#ee /etc/pptpd.conf

wijzig het config bestand van poptop
de ip adressen mogen niet op hetzelfde subnet zitten als je netwerk.
dit moet erin staan:

speed 115200
option /etc/ppp/pptpd-options
localip 192.168.210.127
remoteip 192.168.210.128-160

#ee /etc/ppp/pptpd-options

de opties moeten ook aangepast worden dit moet erinstaan:

debug
auth
require-mschap-v2
+mschap
+mschap-v2
require-mppe
#+mppe-128
+mppe-40
nomppe-stateful
proxyarp
noipx
nodefaultroute
lock


#ee /etc/modutils/aliases

< dit toevoegen aan het bestand : >

alias ppp-compress-18 ppp_mppe

#/sbin/update-modules
<als laatste om de modules in het geheugen te laden>

#/etc/init.d/pptpd restart
<en klaar>

[ Voor 4% gewijzigd door siepeltjuh op 09-09-2004 02:22 ]

[Verwijderd]

Goed verhaal,een paaar kleine aanvullingen,
Vergeet vooral geen user aan te maken in /etc/ppp/chap-secrets.
voeg zoiets toe :
# vi /etc/ppp/chap.secrets
"Username" * "password" *

Kernel-patch-mppe is er niet voor woody maar als je die hier download (uit unstable) en die uitpakt met dpkg -X /dir/dir en op zijn plaats zet gaat het ook.

[Verwijderd]

dubbel

[ Voor 97% gewijzigd door Verwijderd op 09-09-2004 10:36 ]