Nefungujicí PPTP

frederick_f2

Zdravím vás,

rád bych vyřešil jeden problémek, který se mi naskýtá. Shodou okolností mám doma mikrotika který mi dělá router, nějaké dhcpko atak. Ale, jedu teď na pár dní pryč a potřebuji dělat s účetním programem, který mi běží doma na pc a vůbec potřebuji k datům co mam na discích. V mikrotiku jsem vytvořil PPTP server podle video-tutoriálu, viz :). Z venku se na to nemůžu připojit, ono to VPN jakoby vidí, dokonce mi veme heslo, ale potom když navazuje datové spojení tak vytuhne, zřejmně že není povolený nějaký port.

Tak bych se chtěl zeptat zda-li neni potřeba nastavit ještě něco, něco ve firewallu nebo tak, popřípadě CO a jak?. Ještě doplňuji, že IP adresu mám veřejnou.

Prosím o rady kde by mohl být problém, popřípadě jak na to. S mikrotikem jsem teď pracoval poprvé, tak je klidně možnost že jsem něco úplně opomenul. Odjíždím v neděli, tak snad něco zabere.

Všem za reakci děkuji

maxik

hlavne si povol forward portu 1723 a Dnatuj ho na svuj pptp server a melo by to chodit.

S pptp jsem ale mel problemy, kdyz napr klient bydlel v panelaku a mel svuj router doma pripojen pres pptp k ISP, vyresil jsem to ovpn a je klid, navic bezpecnost ovpn bude jiste nekde jinde nez pptp.

frederick_f2

Nemohl by jsi mne prosím návect, co kde a jak?:). Nastavení toho tunelu jsem dělal podle návodu a jinak nic moc o tom nevím :).

maxik

Noo na GW kde mas verejnou Ip si musis presmerovat port 1723 na ten tvuj pptp server a povolit mu forward, pokud tam mas nejaky firewall.

frederick_f2

Rozumím, pokusím se. Ještě bych měl jeden dotaz jak zpřístupnit RB z internetu, abych si mohl popřídě něco štelovat atd. Mělo by to běžet na portu 8291, ale ten mi také neodpovídá z jiné sítě než vnitřní.

Díky

hallo

No pokud to RB není brána do netu a je až uvnitř sítě a veřejnou ip má jiné zařízení,tak na tom zařízení musíš dělat dstnat pro ty služby,který chceš mýt přístupný zvenčí.

majklik

Já pochopil, že má doma RBčko, to má na straně do internetu veřejnou IP adresu a v něm přímo vytvořen PPTP server. Když je připojen doma, tak se na PPTP server připojí a fugnuje. Když to zkusí odjinud, tak sice se tváří, že to něco dělá, ale tunel se nevytvoří. Pokud v tom RBčku je nastaven firewall ze strany netu, tak v něm musí být povolen port 1723/TCP, ten slouží pro sestavení tunelu a dále protokol GRE, kterým tečou vlasntí tunelovaná data.

Možná tohle má dobře, pak také záleží odkud se pokusně připojuje z Internetu, může být někde, kde je PPTP blokováno nějakým, rotuerkem nebo je v cestě jiný NAT, který do toho nevhodně hrábne.

hallo

To by bylo možné že to blokuje firewall druhého providera,ale žeby se nepřipojil na winbox,to se mi nezdá.Kde máš tu veřejku?Přímo na tom MK?Ve firewallu máš nějaký pravidla,nějaká jiná služba ti zvenku jede na něm?

majklik

Znám nemálo ISPček, co globálně blokují Mikrotikový port na hlavní bráně do své sítě, ať ochrání tupé uživatele od jejich blbosti. Ale bez přesnější specifikace těžko soudit a křiťálová koule se mi někam v noci zakutálela. :-)

Ani ne tak firewall druhého providera, ale spíše pokud se připojuje od někoho, kdo je připojen přes nějaký malý domácí router, tak v tuně těch routerů je klikátko ne/propouštět VPN protokoly a podobné zvěrstva.

frederick_f2

Zdravím vás,

všem moc děkuji za odpovědi, nakonec to bylo skutečne v tom, že jsem neměl povolené porty :). Tedy povolený jsem je měl, ale netušil jsem, že ve firewallu jsou ty pravidla seřazena za sebou a já je měl uplně dole, kde je to pravidlo které všechno co přijde zvenčí zahodí.

Ještě jedna otázka mě napadá, kde změním přihlašovací jméno do mikrotika?

Děkuji.

hallo

System/Users

frederick_f2

A jo,

díky

frederick_f2

Ahoj,

rozhodl jsem se pro další pokusy s Mikrotiky :). Koupil jsem si další RB, který jsem dal do kanceláře a druhý mám doma. Mým cílem je VPN tak jako předtím. Nastavil jsem tedy podle manuálu Ipsec tunel, který se zdá že funguje. Nastavení sítě mám nasledujicí "Kancelář" = 192.168.2.0 a doma mám 192.168.3.0. Z kanceláře si v pohodě pingnu na bránu Doma a opačně. Ale když se chci propingnout na nějaký konkrétní PC tak to neprojde.

V čem by mohl být problém?

hallo

V kanceláři si přidej statickou routu

add disabled=no distance=1 dst-address=192.168.3.0/24 gateway=192.168.2.1 \

scope=30 target-scope=10

a doma si přidej routu

add disabled=no distance=1 dst-address=192.168.2.0/24 gateway=192.168.3.1 \

scope=30 target-scope=10

hallo

Respektive Gatwey je ip adresa pptp iface protistrany,je to znazornene v manualu.

frederick_f2

Routy nastaveny a přesto se nedokážu pro-pingnout na druhý PC.

majklik

A ten tunel meyi těma RBčky je opravdu na IPsec nebo PPTP? V předchozím příspěvku se píše o IPsec, ale vlákno začíná o PPTP.

Z konaceláře pingnu na bránu doma.. Pingneš jakou IP adresu? Tu na WAN straně nebo tu na LAN (takže něco jako 192.168...). Dle čeho soudíš, že asi IPsec tunel funguje? Poku dIPsec tunel funguje, co vypisujou příkazy:

/ip ipsec remote-peers print

/ip ipsec installed-sa print detail

frederick_f2

A ten tunel meyi těma RBčky je opravdu na IPsec nebo PPTP? V předchozím příspěvku se píše o IPsec, ale vlákno začíná o PPTP.

Z konaceláře pingnu na bránu doma.. Pingneš jakou IP adresu? Tu na WAN straně nebo tu na LAN (takže něco jako 192.168...). Dle čeho soudíš, že asi IPsec tunel funguje? Poku dIPsec tunel funguje, co vypisujou příkazy:

/ip ipsec remote-peers print

/ip ipsec installed-sa print detail

Tunel je IPsec, nechtěl jsem zakládat nový topic. V kanceláři mám síť 192.168.2.0, doma mám síť 192.168.3.0 a pokuď z 192.168.2.0 pingnu na 192.168.3.1 tak to projde, opačně taky. Ještě dodávám že tento pokus simuluju doma, takže brána kterou jdu do internetu je 192.168.1.254.

ip ipsec remote-peers print

0 local-address=192.168.1.184 remote-address=192.168.1.178 state=established

side=responder established=3h9m11s

ip ipsec installed-sa print detail

Flags: A - AH, E - ESP, P - pfs

0 E spi=0x842AE4F src-address=192.168.1.184 dst-address=192.168.1.178

auth-algorithm=sha1 enc-algorithm=3des replay=4 state=mature

auth-key="09008697560cfca04e88787e7204d1502fcdb763"

enc-key="cec4513b16ffd9179f7979d1ddfc8556b42a03cdf70fb496"

addtime=jan/02/1970 05 add-lifetime=24m/30m

usetime=jan/02/1970 05 use-lifetime=0s/0s current-bytes=78710

lifebytes=0/0

1 E spi=0xDC5FEA3 src-address=192.168.1.178 dst-address=192.168.1.184

auth-algorithm=sha1 enc-algorithm=3des replay=4 state=mature

auth-key="01976673459178f1955d9a8a3acf8e4a6849c7f2"

enc-key="8c5f522f0351dfa156a76d24c6575d37a2a240f22f711130"

addtime=jan/02/1970 05 add-lifetime=24m/30m

usetime=jan/02/1970 05 use-lifetime=0s/0s current-bytes=1482616

lifebytes=0/0

majklik

To vypadá dobře a správně.

Ty routy, co radil kolega, ty můžeš klidně smazat, jejich funkci plní bezpečnostní politika, která má před routami přednost. Spíše se úmyslně nastaví routa pro vnitřní protistranu na nějaký interní nesmysl, aby v případě, že se IPsec vrstva nespustí nebo omylem smažeš SPD, ať interní komunikace se netlačí do WAN linky nezabezpečena (zatím nedělej, až ti bude vše ostantí fungovat).

Jak máš nastaveno politiky? Tam by mohla být teoreticky bota. Copak je v:

/ip ipsec policy print

Jinak častý problém pak bývá firewall. Oblíbená bota je, že odchozí spojení do protější vnitřní sítě NATuješ. Musíš šáhnout do NATu a dát pravidlo, že odchozí data mířící do protější sítě se nenatují. Protože jak ti to NATne, tak pokud nemáš opravdu dobře nastavený politiky, tak to do IPsecu nepadne. Pokud to chceš mít komplexně, tak správně potřebuješ SPD pravidla, která pokryjí spojení mezi:

192.168.2.0/24-192.168.3.0/24

192.168.2.0/24-192.168.1.178

192.168.1.184-192.168.3.0/24

192.168.1.184-192.168.1.178