APTEM
Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Имеем почти стандартные настройки (2 интерфейса, 1 в инет, 1 в локалку), но поскольку я не являюсь администратором сети, а траффик немного лишний, раздаю его VPN-клиентам, подключающимся со стороны локалки стандартными средствами RAS Windows. Сама же локалка выхода в инет не имеет (ибо нефиг)
При подключении VPN клиенты получают адреса 10.0.100.2-254, VPN-сервер имеет IP 10.0.100.1
Имеем проблему, выражающуюся в следующем: с firewall всё ходит отменно во все стороны, VPN-клиент свободно попадает на firewall (по крайней мере, свободно подключается к прокси), но не попадает в инет через NAT.
В логе filter пишется следующее:
при успешном подключении к прокси:
Код: [28/Jun/2007 02:47:38] PERMIT "VPN ко мне" packet from Dial-In, proto:TCP, len:48, ip/port:10.0.100.3:1463 -> 10.0.100.1:8080, flags: SYN , seq:2103082841 ack:0, win:65280, tcplen:0
[28/Jun/2007 02:47:38] PERMIT "VPN ко мне" packet to Dial-In, proto:TCP, len:48, ip/port:10.0.100.1:8080 -> 10.0.100.3:1463, flags: SYN ACK , seq:1092907514 ack:2103082842, win:16384, tcplen:0
[28/Jun/2007 02:47:38] PERMIT "VPN ко мне" packet from Dial-In, proto:TCP, len:40, ip/port:10.0.100.3:1463 -> 10.0.100.1:8080, flags: ACK , seq:2103082842 ack:1092907515, win:65280, tcplen:0 |
при неудачном подключении к google.com:80:
Код:| [28/Jun/2007 02:35:58] DROP "VPN в инет" packet from Dial-In, proto:TCP, len:48, ip/port:10.0.100.3:1442 -> 64.233.167.99:80, flags: SYN , seq:1926734956 ack:0, win:65280, tcplen:0 |
не смотря на то, что в правиле "VPN в инет" прописан PERMIT
Правила фильтрации
Код: 1: name=(пинг) src=(Firewall) dst=(any) service=("Ping") snat=(any) dnat=(any) action=(permit), time_range=(always) inspector=(none)
2: name=(я в локалку) src=(Firewall) dst=(iface:"local") service=(any) snat=(any) dnat=(any) action=(permit), time_range=(always) inspector=(none)
3: name=(локалка ко мне) src=(iface:"local") dst=(Firewall) service=(any) snat=(any) dnat=(any) action=(permit), time_range=(always) inspector=(none)
4: name=(я в инет) src=(Firewall) dst=(iface:"inet") service=(any) snat=(iface:"inet") dnat=(any) action=(permit), time_range=(always) inspector=(none)
5: name=(я в VPN) src=(Firewall) dst=(iface:"Dial-In") service=(any) snat=(any) dnat=(any) action=(permit), time_range=(always) inspector=(none)
6: name=(VPN ко мне) src=(iface:"Dial-In") dst=(Firewall) service=(any) snat=(any) dnat=(any) action=(permit,logpkt,logconn), time_range=(always) inspector=(none)
7: name=(VPN в инет) src=(iface:"Dial-In") dst=(iface:"inet") service=(any) snat=(iface:"inet") dnat=(any) action=(permit,logpkt,logconn), time_range=(always) inspector=(none)
8: name=(default for VPN) src=(iface:"Dial-In") dst=(any) service=(any) snat=(any) dnat=(any) action=(deny,logpkt), time_range=(always) inspector=(none)
default: action=(drop) |
Вопросы: почему дропаются пакеты по правилу "VPN в инет"? как сделать так, чтобы пакеты не дропались? |
