PPTP Server auf der Fritzbox funktioniert

[morph027]

Wenn du die Box nur als Client für einen bereits existierenden PPTP-Server nutzen willst, reicht es, wenn du pppd 2.4.3 unter "Package selection" > "Testing" auswählst. Du musst aber trotzdem den Kernel ersetzen (Wegen den eingepatchten MPPC/MPPE-Funktionen)

 

[wonderdoc]

Danke für die Info.
Also ist der Linux pptp-Client der pppd.
Replace Kernel hatte ich gemacht.
Ist mit PPTP-Server/Client eigentlich auch eine komplexere VPN-Vernetzung möglich?
Sprich eine Vernetzung mehrere Client und Server-Boxen.
Wie ist es dann mit dem Routing, kann man dort mit fester DHCP Vergabe arbeiten?

mfg
Wonderdoc

 

[morph027]

Ein komplexeres Netz sollte machbar sein...Müsste man nur schauen, dass dann nicht alle Boxen über die Server-Box ins Netz wollen (oder sollen die das?). Ich weiß nicht, wie sich der pppd im dsmod da verhält, aber letztlich ists nur ein Routen-Eintrag. Wegen DHCP, ich denke, dafür ist trotzdem der multid zuständig, da gibts hier nen Thread für feste Vergabe. Ist die Frage, wem du feste DHCP-Adressen geben willst? Den normalen Clients (PCs, IP-Phones) oder den im VPN-befindlichen Client-Boxen. Die könntest du sinnvollerweise auch fest einstellen. Und die Clients hinter der Box beziehen ja ihre Adresse jeweils vom multid der eigenen Box, also nicht vom PPTP-Server.

 

[wonderdoc]

Ok, hier mal ein kongretes Szenario.
Momentan habe ich 2 FBs über OpenVPN statik-Key miteinander verbunden. Alle Rechner, etc können sich auf beiden Seiten verbinden.
Will man mehrere Clients bei OpenVPN auf einen Server gleichzeitig betreiben muß man umständlich mit Zertifikaten arbeiten.

Meine Idee zu PPTP:
Eine FB ist pptp-Server, die Andere ist pppt Client und baut einen Tunnel zum Server auf.
Zusätzlich könnte ich mich dann übers internet mit meinen Laptop auf den Server einwählen.
OK, so weit so gut.
Nun, dann gibt es noch einen Kumpel, welche dann auch den PPTP-Server auf seiner FB laufen hat, damit er sich auch übers INet in sein Netzwerk einwählen kann.
Ich würde mich nun gerne bei Bedarf über meine FB(PPTP-Clientbox) parallel mit seinen Server verbinden wollen, so daß ich auch zugriffe auf seine Netzwerk-Clients hätte.

Kann der pppd-Client überhaupt mehrere Verbindungen parallel zu verschiedene Servern aufbauen?

mfg
Wonderdoc

 

[RalfFriedl]

Zusammenhang zwischen PPTP und PPP

PPP (Point to Point Protokoll) ist ein Protokoll, um über eine Verbindung IP-Pakete auszutauschen. Es handelt sich dabei immer um eine Verbindung zwischen genau zwei Geräten. Im Protokoll ist festgelegt, wie die beiden IP-Adressen, Kompression und andere Parameter aushandeln können.

Das Programm, um dies unter Linux zu unterstützen, heißt pppd. Beim PPP gibt es keine Trennung zwischen Client und Server, es wird auf beiden Seiten das gleiche Programm verwendet. Der einzige Unterschied ist, daß eine Seite die Verbindung aufbaut, während die andere Seite auf eine Verbindung wartet. Sobald die Verbindung vorhanden ist, sind beide Seiten gleichberechtigt. Das ändert nichts daran, daß häufig die beiden Seiten unterschiedlich konfiguriert sind.

Ursprünglich war PPP vor allem für Verbindungen über serielle Leitungen gedacht. Inzwischen gibt es auch PPP über Ethernet (PPPoE), oder in diesem Zusammenhang PPP über PPTP. PPTP stellt in diesem Fall den Transportkanal für die PPP-Verbindung dar. Für PPTP gibt es unter Linux zwei Programme. Einmal den pptp, der eine PPTP-Verbindung zu einem Rechner aufbaut, und den pptpd, der auf Verbindungen von anderen Rechnern wartet. In beiden Fällen wird nach Aufbau der PPTP-Verbindung das Programm pppd benötigt, um IP-Parameter auszuhandeln und Daten zu übertragen.

@wonderdoc
Ein pppd kann nur eine Verbindung aufbauen, es handelt sich dabei um eine Verbindung zwischen zwei Punkten (Rechnern/Routern).
Du kannst aber mit mehreren gleichzeitig laufenden pppd-Programmen beliebig viele PPP-Verbindungen zwischen verschiedenen Systemen aufbauen (genug Speicher und CPU-Leistung vorausgesetzt).

Du kannst auch gleichzeitig einen PPTP-Server laufen lassen und über den PPTP-Client Verbindungen aufbauen, aber besser nicht beides zur gleichen Gegenstelle.

 

[morph027]

Jupps, in die Richtung dachte ich auch. Einfach mal eine PPTP-Verbindung mit der "Client"-Box aufbauen und dann mit ps schauen, wie der laufende Befehl heisst. Enstprechend angepasst sollte sich so auch ein 2. starten lassen.

Wenn ich mir das recht überlege, schreibt der pppd auch nur Config Dateien. Jetzt dürfte es fürs erste reichen, die Datei(en) um die zweite Verbindung zu erweitern und dann auf der Box den pptp starten. Falls das fluppt, müsste man sehen, inwiefern sich das ins WebIf einbauen lässt.

 

[Blackbird1234]

HIho, folgendes Problem. Ich habs es geschafft, den PPTP Client zu installieren und zu konfigurieren. Er verbindet sich auch zu einem PPTP Server. Wenn alles funktioniert, kann ich das auch als Paket packen (Einbindung ins Webinterface etcpp) , denke ich . Das Routing habe ich auch soweit im Griff, das ich von der FBOX in die Welt komme. Wenn ich nun aber von meinem Client hinter der Box einen Ping mache läuft die IP Adresse nicht übers NAT. D.h ich gehe in die Welt mit einer 192er IP. Dadurch kommt natürlich ein Ping nicht mehr zurück. Ich vermute das die FBox das NAT nur auf dem DSL Interface macht aber ich gehe ja über ppp0 nach drausse.

Kann man das irgendwie anpassen oder brauch ich dafür unbedingt die IP-Tables? Problem ist natürlich, das es stabil laufen soll .

MFG Blackbird

 

[RalfFriedl]

Wie sieht denn Dein Routing-Tabelle auf der Box aus?
Je nachdem, was Du genau vorhast, ist iptables nicht unbedingt notwendig.

 

[morph027]

Normalerweise sollte als Default-Route das Gateway (PPTP-Server) reichen, oder? (So verstehe ich Ralf )

 

[RalfFriedl]

Es kommt sehr darauf an, was man vorhat.
Soll der PPTP Zugang den Internet-Zugang ersetzten?
Soll eine Verbindung zwischen zwei Standorten hergestellt werden?

Das eingebaute NAT der Box wird vermutlich vom Programm dsld gemacht und betrifft nur das Interface dsl. Wenn NAT über ppp0 laufen soll, wird iptables gebraucht.
Die Frage ist, ob es sinnvoll ist, und dafür kommt es auf den beabsichtigten Einsatzzweck an.

 

[Blackbird1234]

Es kommt sehr darauf an, was man vorhat.
Soll der PPTP Zugang den Internet-Zugang ersetzten?

Jupp genau das ist das Ziel.
Meine Routingtable wurde durch folgendes erweitert

$PPTP-Server = 10.20.134.254

route add $PPTP-Server dev dsl
route del default
route add default dev ppp0

Der gesamte Traffic soll über ppp0 gehen.

Ich hatte auch schon eine Anleitung gefunden, wo es darum ging die ar7.cfg anzupassen um eine 2. NAT IP auf dem WAN Interface zu aktivieren. Die Frage ist ob das bei meinem Konstrukt möglich ist, die interne Firewall der FB zu benutzen ( wenn ich das richtig verstanden habe wird die ja in der ar7.cfg konfiguriert) oder ob ich wirklich auf iptables zurückgreifen muss. Hab bei IP-Tables nur die Sorge das es zu instabil wird.

MFG Blackbird

 

[RalfFriedl]

Soweit ich weiß, wird die ganze Firewall und NAT Funktionalität der Box vom dsld realisiert, und der hat mit dem Interface ppp0 nichts zu tun.
Hast Du die Möglichkeit, auf dem PPTP-Server eigene Einstellungen vorzunehmen? Die Adresse des PPTP-Server deutet darauf hin, daß es sich hierbei nicht um einen externen Rechner handelt.
Wenn der PPTP-Server selbst NAT bereitstellt und Du dort eine Route auf das interne Netz der Box einstellen kannst, müßte es gehen.
Ansonsten brauchst Du iptables für NAT und Firewall. Anscheinend läuft iptables mit dem neuen ds-mod besser.

 

[Blackbird1234]

Soweit ich weiß, wird die ganze Firewall und NAT Funktionalität der Box vom dsld realisiert, und der hat mit dem Interface ppp0 nichts zu tun.
Hast Du die Möglichkeit, auf dem PPTP-Server eigene Einstellungen vorzunehmen? Die Adresse des PPTP-Server deutet darauf hin, daß es sich hierbei nicht um einen externen Rechner handelt.
Wenn der PPTP-Server selbst NAT bereitstellt und Du dort eine Route auf das interne Netz der Box einstellen kannst, müßte es gehen.
Ansonsten brauchst Du iptables für NAT und Firewall. Anscheinend läuft iptables mit dem neuen ds-mod besser.

OK, dann werde ich die iptables mal ausprobieren. Den PPTP Server kann ich zwar konfigurieren, ich kann aber kein NAT machen, da dort mehrere PPTP Tunnel existieren.

Danke schonmal

 

[Blackbird1234]

So ok, NAT funktioniert.. scheint auch stabil zu laufen mit den iptables... Aber natürlich isses dann doch alles nicht so einfach, denn nun funktioniert voip nur noch zum teil. D.h ich kann raustelefonieren aber ich kann nicht angerufen werden.

Der VOIP Call kommt über ppp0 rein, ich fürchte aber mal das der voipd auf dem dsl interface lauscht. Kann ich da durch eine ip forward roule eventuell eine Portweiterleitung definieren, die mir alles was an port X reinkommt an das DSL Interface leitet, bzw. local verarbeitet?

THX Blackbird

 

[RalfFriedl]

voipd ist nicht speziell an das dsl Interface gebunden.

Wie sehen Deine iptables Reglen aus?
Wenn noch nicht geschehen, solltest Du tcpdump, lsof und strace installieren, damit kannst Du genauer nachsehen, was passiert.

 

[gamf]

bist du dir sicher das der call über ppp0 reinkommt? Hast du das an deinem pptp server denn wirklich weitergeleitet? Oder hast du das villeicht vergessen?

 

[Blackbird1234]

voipd ist nicht speziell an das dsl Interface gebunden.

Wie sehen Deine iptables Reglen aus?
Wenn noch nicht geschehen, solltest Du tcpdump, lsof und strace installieren, damit kannst Du genauer nachsehen, was passiert.

Das mit dem dsld ist schon einmal eine positive nachricht.

iptables :

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

laut tcpdump kommt kein Call rein, wenn der Call rausgeht .. dann aber auch mit der richtigen IP Adresse (öffentliche IP des ppp0) , also sollte die Registrierung beim SIP Provider eigentlich richtig sein.

bist du dir sicher das der call über ppp0 reinkommt? Hast du das an deinem pptp server denn wirklich weitergeleitet? Oder hast du das villeicht vergessen?

hmmm, der PPTP Server vergibt an meine Fritz BOX eine öffentliche IP Adresse, er selbst hat auch eine öffentliche IP und es läuft auch keine Firewall. Eigentlich muss ich es doch in dem Konstrukt nicht weiterleiten. Wobei die Ausgabe meines tcpdumps darauf hinweisen könnte.

THX Blackbird


Nachtrag:

TCPDUMP


19:05:34.288611 IP (tos 0x0, ttl 64, id 41249, offset 0, flags [none], proto: U
DP (17), length: 32) 80.88.20.183.5060 > reg02.koeln.siplogin.de.5060: SIP, leng
th: 4
\000\000\000\000
19:05:34.295693 IP (tos 0x0, ttl 64, id 41250, offset 0, flags [none], proto: U
DP (17), length: 627) 80.88.20.183.5060 > reg02.koeln.siplogin.de.5060: SIP, len
gth: 599
SUBSCRIBE sip:

19:05:34.278918 IP (tos 0x0, ttl 55, id 0, offset 0, flags [DF], proto: UDP (17
), length: 459) reg02.koeln.siplogin.de.5060 > 80.88.20.183.5060: SIP, length: 4
31
SIP/2.0 200 OK

19:05:34.295693 IP (tos 0x0, ttl 64, id 41250, offset 0, flags [none], proto: U
DP (17), length: 627) 80.88.20.183.5060 > reg02.koeln.siplogin.de.5060: SIP, len
gth: 599

19:05:34.326837 IP (tos 0x0, ttl 55, id 0, offset 0, flags [DF], proto: UDP (17
), length: 366) reg02.koeln.siplogin.de.5060 > 80.88.20.183.5060: SIP, length: 3
38
SIP/2.0 200 Ok

 

[gamf]

also ist doch ganz klar. Für ankommende Gespräche kommen ja auch verbindungen rein, weil man dort ja die Verbindung nicht dafür offen hält, wäre viel zu aufwendig usw. Also zum anrufen kommt also ne vindung zu deinem pptp Server rein, so der weiss in deinem Fall nicht wohin damit. Also musst du diese auf deinen pptp client umleiten, welche ports das bei der Fritzbox genau sind weiss ich nicht. Wenn du als Server auch eine Fritzbox benutzt die auch voip nutzt, besonders halt einkommende Gespräche, sieht es für dich sehr schlecht aus, weil du dann dein routing etwas kompliziert oder gar unmöglich wird. Ich weiss nicht ob dir nicht villeicht ein stun server weiter hilft, der soll ja für nat gateways sein... Aber hab mich damit nicht beschäftigt... Oder musst halt das voip relayen... Aber das ist bestimmt ziemlich kompliziert.

 

[Blackbird1234]

also ist doch ganz klar. Für ankommende Gespräche kommen ja auch verbindungen rein, weil man dort ja die Verbindung nicht dafür offen hält, wäre viel zu aufwendig usw. Also zum anrufen kommt also ne vindung zu deinem pptp Server rein, so der weiss in deinem Fall nicht wohin damit. Also musst du diese auf deinen pptp client umleiten, welche ports das bei der Fritzbox genau sind weiss ich nicht.

Hmm das verstehe ich nicht, wenn ich auf meiner FB ne öffentliche IP Adresse habe,müsste das doch nicht über ne Weiterleitung funktionieren. Ich wähle mich bei meinem Provider über PPTP ins Internet ein. Bekomme eine öffentliche und von aussen erreichbare IP Adresse. Ports sind nicht gesperrt. Die FB ist ja auch so aus dem Internet erreichbar. D.h. wenn ich von irgendwo außerhalb meines Netzes auf die 80.88.20er IP Adresse gehe komme ich auf die Fritzbox drauf (bzw auch dahinter)[das funktioniert auch] und da mache ich keinerlei Weiterleitung auf dem PPTP Server. Oder verstehe ich da grade irgendwas falsch? :noidea:

Wenn du als Server auch eine Fritzbox benutzt die auch voip nutzt, besonders halt einkommende Gespräche, sieht es für dich sehr schlecht aus, weil du dann dein routing etwas kompliziert oder gar unmöglich wird. Ich weiss nicht ob dir nicht villeicht ein stun server weiter hilft, der soll ja für nat gateways sein... Aber hab mich damit nicht beschäftigt... Oder musst halt das voip relayen... Aber das ist bestimmt ziemlich kompliziert.

Das mit dem STUN Server ist aber trotzdem eine Idee, die ich mal ausprobieren sollte.


THX

Blackbird

 

[RalfFriedl]

Ich habe gamf auch nicht ganz verstanden.

Da Du schon nach voipd gefragt hast, gehe ich davon aus, daß Du die FritzBox zum Telefonieren verwenden willst und nicht ein Gerät, das hinter dem NAT liegt. Wenn das so ist, würde ich zunächst auf iptables komplett verzichten, um diese als Störquelle auszuschließen.

Deie Box bekommt vom PPTP Server eine öffentliche IP-Adresse zugewiesen, die auch von außen über ping oder traceroute angesprochen werden kann? Kannst Du von außen auf telnet oder http (Port 80) zugreifen? (Wenn ja, ist es auf Dauer kein guter Zustand, aber zum Test erstmal einfacher.)

STUN ist ein Protokoll, mit dem ein Gerät hinter einem NAT-Router die öffentliche Adresse und einige andere Eigenschaften des NAT-Routers herausfinden kann. Wenn Deine Box sich nicht hinter einem NAT-Router befindet, sehe ich keine Verwendung für STUN.

Das tcpdump, das Du noch angehängt hast, zeigt, daß SIP Pakete, die von der Box gesendet werden, auch beantwortet werden. Das paßt dazu, daß Du heraus telefonieren kannst. Die Frage ist also, was zeigt tcpdump bei eingehenden Anrufen, wenn überhaupt. Kann es sein, daß Dein PPTP-Server Verbingungen von außen filtert?

Laß mal iptables komplett weg, laß die Box die SIP-Adresse registrieren und schau dann mit tcpdump, was passiert, wenn die Box angerufen wird. Wenn da nichts ankommt, liegt das Problem woanders. Wenn doch, mußt Du herausfinden, warum es nicht funktioniert.