VPN através IPTABLES

[lanmenezes]

Colegas, o problema é o seguinte:
Tenho na minha rede um Conectiva 10 com iptables e squid. Tenho que configurar uma VPN com uma rede de terceiro, que será usada da seguinte forma:
02 ou três usuários farão acessos esporádicos a essa vpn durante o dia.
Para isso liberei no firewall o acesso à vpn (porta 1723, protocolo gre).
Nas máquinas windows dos usuários, criamos conexões para que estes possam estabelecer a vpn com a empresa. Até que está dando certo, mas quando um usuário está com a conexão vpn estabelecida e um segundo usuário tenta estabelecer a vpn, trava as duas.

Regras do firewall:
$IPTABLES -A TCP_IN_FORWARD -p TCP -i $LAN_IFACE --dport 1723 -j ACCEPT #vpn
$IPTABLES -A TCP_IN_FORWARD -p TCP -i $LAN_IFACE --dport 500 -j ACCEPT #vpn
$IPTABLES -A TCP_IN_FORWARD -p 47 -j ACCEPT #vpn

[lucianogf]

tente liberar uma certa faixa de IPs para a VPN e faça o teste..

se conectar normalmente, veja quais portas estão sendo usadas..

então você libera tais portas...

[Brenno]

Colegas, o problema é o seguinte:
Tenho na minha rede um Conectiva 10 com iptables e squid. Tenho que configurar uma VPN com uma rede de terceiro, que será usada da seguinte forma:
02 ou três usuários farão acessos esporádicos a essa vpn durante o dia.
Para isso liberei no firewall o acesso à vpn (porta 1723, protocolo gre).
Nas máquinas windows dos usuários, criamos conexões para que estes possam estabelecer a vpn com a empresa. Até que está dando certo, mas quando um usuário está com a conexão vpn estabelecida e um segundo usuário tenta estabelecer a vpn, trava as duas.

Regras do firewall:
$IPTABLES -A TCP_IN_FORWARD -p TCP -i $LAN_IFACE --dport 1723 -j ACCEPT #vpn
$IPTABLES -A TCP_IN_FORWARD -p TCP -i $LAN_IFACE --dport 500 -j ACCEPT #vpn
$IPTABLES -A TCP_IN_FORWARD -p 47 -j ACCEPT #vpn

por que não fecha vpn no seu firewall e destribui a conexão somente para as máquina da sua rede interna que tenha autorização?

[lanmenezes]

Já tentei liberar dois ips de passar tudo pelo firewall e não deu certo.

[lanmenezes]

Não entendi. Todas as conexões passam pelo firewall. Se eu fechar a vpn, não vai passar e como vou distribuir a conexão para as maquinas da rede interna? Vc diz liberar as portas da vpn por ip no firewall? Até que poderia dar certo, mas como os usuários trocam de máquina freqüentemente, ida dar um trabalhão a manutenção disto. Toda hora ia ter que ficar mudando ip de acesso. Não é possível que não tenha jeito.
De qualquer forma obrigado pela atenção.

[Brenno]

Não entendi. Todas as conexões passam pelo firewall. Se eu fechar a vpn, não vai passar e como vou distribuir a conexão para as maquinas da rede interna? Vc diz liberar as portas da vpn por ip no firewall? Até que poderia dar certo, mas como os usuários trocam de máquina freqüentemente, ida dar um trabalhão a manutenção disto. Toda hora ia ter que ficar mudando ip de acesso. Não é possível que não tenha jeito.
De qualquer forma obrigado pela atenção.

Configure DHCP, muito facil rápido e simples, nele você amarra o ip ao mac, então no seu firewall você fecha a vpn, e via nat você compartilha a conexão dessa vpn somente para essas máquinas, ponto final eheheh

abraço

[lucianogf]

cara...

você fez o que eu falei? liberar uma certa faixa de IPs e testar as conexões com a VPN???

alguns programas não usam apenas uma porta, geralmente usa uma porta baixa e uma alta...

[lanmenezes]

Configure DHCP, muito facil rápido e simples, nele você amarra o ip ao mac, então no seu firewall você fecha a vpn, e via nat você compartilha a conexão dessa vpn somente para essas máquinas, ponto final eheheh

abraço

Brenno,
O usuário mudando de máquina, muda de mac. O trabalho é o mesmo. Mas o problema nem é esse...
Quero entender como vc compartilha a conexão da vpn via nat.
Já existe um nat com iptables compartilhando a internet para rede toda. Tenho que liberar a vpn no iptables, senão ninguém conecta. Hj uma máquina conecta, mas se uma segunda tenta, não conecta e derruba a outra. Eu não quero uma vpn permanente de servidor para servidor, pois os usuários se conectam por breves períodos, várias vezes ao dia, ok?

Obrigado pela atenção.

[lucianogf]

cara...

você fez o que eu falei? liberar uma certa faixa de IPs e testar as conexões com a VPN???

alguns programas não usam apenas uma porta, geralmente usa uma porta baixa e uma alta...

corrigindo...

libere uma faixa de "portas" e não de IPs...