» VPN: вся информация в этой теме

kolovrat8888
Тогда смотрите в сторону NAPI:
http://www.cookinglinux.org/pub/netdev_docs/napi-howto.php3.html
http://www.linuxfoundation.org/en/Net:NAPI
Linux-ядро современного дистрибутива как правило имеет уже наложенный патч NAPI, в частности это относится к драйверу e1000 для Intel сетевых карт, включая сетевую карту, ссылку на которую вы привели выше.

kolovrat8888

Цитата:

сможет она разгрузить по ядрам?

Она сможет трафик разгрузить по ядрам, но не сможет отбалансировать на разные ip/порты, где будут висеть инстансы OpenVPN'а. Тут нужен балансировщик, ссылку на список таковых я дал выше, общую архитектуру решения тоже описал, осталось дело техники - дерзайте. Готового решения "из коробки" нет. Точнее есть: Cisco ASA, CheckPoint VPN, etc., но вы считаете эти решения неприемлемыми. Тогда прикладывайте руки и мозг.

ginger,BONDBIG, спасибо за советы
ещё вопросик по поводу NAPI, исходя из того что современные ядра линуха имеют данную фичу, и как я понял и пару постов в инете, что все сетевые карты интела имеют поддрежку нати, то в принципе с микротиком, я могу обойтись малой кровью и попробовать поставить любую сетевую от интел?

Народ, не подскажите как быть. На ВПН'е настроил NAT/Basis Firewall. Но после этого удаленные копмы пингуют сам ВПН сервер, а дальше внутр. сеть не пингуется. Думаю распределение не настроено правильно. Не подскажите какие настройки надо доделать в интерфейсе? Или же есть какой нибудь мануал об настройки файрвола через консоль Routing and Remote Access?

kolovrat8888

Цитата:

с микротиком, я могу обойтись малой кровью и попробовать поставить любую сетевую от интел?

Вам необходимо задать данный вопрос службе поддержки Mikrotik, т.к. неизвестно используется ли в их системе поддержка NAPI, либо чего-то подобного, так же возможно вам понадобится обновить сам Mikrotik до более новой версии.
rkhodjaev

Цитата:

На ВПН'е настроил NAT/Basis Firewall. Но после этого удаленные копмы пингуют сам ВПН сервер, а дальше внутр. сеть не пингуется.

Скорее всего вам необходимо добавить правило исключение для NAT, не использовать NAT для пакетов идущих из вашей внутренней сети в удаленную внутреннюю сеть.

т.к. в шапке половина линков дохлые,то линки от сюда добавь
http://freec.info/?tag=vpn

НАТ и не настраивал, просто хотел Basic Firewall настроить, для того чтобы удаленные пользователи смогли через ВПН подключатся на наш сеть и поработать, но только через ВПН то есть порт хочу оставить открытым.

Итак, предлагаю вашему вниманию оригинальное решение как снять лимит на одно входящее VPN подключение в Windows XP, собственно ниже инструкция:

Как сделать доступными в WinXP несколько входящих VPN подключений // © Decker



Как видно, вполне легко и непринужденно к WinXP SP3 подключено 5 VPN клиентов. Ну а теперь инструкция:

1. Загружаемся в безопасном режиме.
2. Распаковываем содержимое архива http://depositfiles.com/files/y6csp4s5j в корень диска C:\
3. Запускаем пакетный файл прилагающийся в архиве (он осуществляет 4 действия, переименовывает %windir%\System32\rasppp.dll в %windir%\System32\rasppp.bak, переименовывает %windir%\System32\dllcache\rasppp.dll в %windir%\System32\dllcache\rasppp.bak, и копирует патченную rasppp.dll в %windir%\System32\ и %windir%\System32\dllcache\ соответственно)
4. Опять же в безопасном режиме запускаем редактор реестра. Находим ветку HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}\ , в ней будут ключи 0001, 0002, 0003 и т.п. Находим тот у которого "ComponentId"="ms_pptpminiport" и "MatchingDeviceId"="ms_pptpminiport", вообщем-то я думаю что пропустить тот раздел в котором в этих параметрах светится слово ms_pptpminiport просто нереально. Устанавливаем "WanEndpoints"=dword:00000080 (в десятичной системе 128), а "MaxWanEndpoints"=dword:000003e8 (в десятичной системе 1000).



5. Перезагружаем компьютер.

DLL'ку безопасно можно подменять если у вас установлена русская WinXP SP3, если версия отличается, то результат непредсказуем, т.к. с другими версиями ОС она не тестировалась. Собственно если "родная" версия файла rasppp.dll у вас имеет размер 210944 байта и версию 5.1.2600.5512, то она точно такая же как и у меня. В общем и целом, даже если будут какие-то проблемы скрипт rasppp.cmd сохраняет оригинальную версию файла и для возврата к ней, вам необходимо будет лишь переименовать файлы rasppp.bak в rasppp.dll обратно.

Для тех кому интересно, как это работает ...

Что же все-таки изменено в этой dll'ке? Если мы посмотрим следующий участок кода в дизассемблере:

То мы увидим следующую вещь, что собственно ошибка 937 "Входящие подключения не могут принимать ваши запросы на подключение, поскольку используется другое подключение такого же типа" генерируется в .text:72236174, а туда ведут всего два условных перехода, при этом флаги которые передаются вместе с кодом ошибки хранятся в dword_722525EC . Проанализировав эти переходы, а также все возможные обращения к данным, хранящимся в dword_722525EC:



Мы наткнемся на следующий кусок кода:



Я понимаю что для вас все это темный лес, но через несколько секунд вы поймете смысл. Как видно из картинки вызывается функция RtlGetNtProductType и в зависимости от того возвращает она единицу или нет, младший бит dword_722525EC либо обращается в 1 либо нет. Так вот, на самом деле функция RtlGetNtProductType возвращает следующие значения:


Код: VER_NT_WORKSTATION    0x1    Professional(Workstation)
VER_NT_DOMAIN_CONTROLLER    0x2    Domain controller
VER_NT_SERVER    0x3    Server

Спасибо Большое за проделаную работу!

Нужная вещь.

День добрый!
Есть внутренняя сеть главного офиса (тут домен) (А) 10.0.0.х
филиал 1 (одноранговая) (Б) 10.0.2.х
филиал n (одноранговая) (n) 10.0.n.x
VPN подняты на Win 2003 serv r2
пинги ходят как по именам так и по ip.
Все соединения постоянны.

1) Периодически в произвольный момент времени VPN перестает пересылать пакеты, т.е. просто повисает без разрыва с последующим переподключением, приходится делать это руками. Это известная проблема или моя криворукость?
2) Несколько раз натыкался в нете на рекомендацию выделять для VPN клиентов отдельный пул адресов отличный от внутренней сети, это что-то дает?
В моем случае:
10.0.1.01-10.0.1.50 для тех кто соединяется с (А)
10.0.1.51-10.0.1.60 для тех кто соединяется с (Б)
10.0.1.61-10.0.1.81 для тех кто соединяется с (n)
это правильное понимание вышеозвученной рекомендации или адреса для каждого сервера должны быть из разных подсетей?
Спасибо.

Добавлено:
Zhores123
Галка в поле "Срок действия пароля не ограничен" (в том что в настойках учетных записей) стоит?

И еще как вариант: VPN-сервак в домен не просаживали? Если да и пользователи авторизуются не под доменными учетками, то поле имя пользователя должно содержать текст вида "имя vpn сервера\имя пользователя", в противном случае сервак будет обращаться к домену для идентификации пользователя.

Помогите с проблеммой
По наследству досталась локалка и там есть такой трабл
есть сервер (win 2003 на нем ISA и VPN сервер) от включен в роутер и уже роутером соединен со всей сетью.
В инет сеть ходить через Isa нормально, из вне к ВПН тоже можно подключить но...
1. пинг на клиентов ВПН из внутренней сети не проходит.
2. Люди подключившиеся через VPN видят только некоторые машины внутри сети. Тоесть есть скажем некая подсеть 10.0.0.0 mask 255.255.255.0 в ней есть DHCP сервер скажем 10.0.0.240 вот его я по Vpn вижу нормально и пинговать могу и терминалом на него зайти, а скажем на машинку из тойже подсети уже не могу подключится
Пытался делать трассировку с удаленной машиы вижу
1. 192,168,0,1 - адрес VPN сервера
2. 10,1,0,250 - Роутер (у сервера VPN есть адресс 10,1,0,240)
3. дальше пусто
а трассировка на ДНС сервер показывает
1. 192,168,0,1 - адрес VPN сервера
2. 10,1,0,250 - Роутер (у сервера VPN есть адресс 10,1,0,240)
3. 10,0,0,240
С маршрутизаций на роутере игрался но особых результатов нет

Собственно вопрос как прошлый Админ мог настроить VPN так что зайти можно только на некоторые машины?

2 yakostik
Думаю тут дело в маршрутах.
Такая ситуация возможна если vpn-клиент получает IP не из локальной подсети, а клиент локальной сети не знает маршрута до этого IP.
Тут может помочь консольное route add

Я бы тоже так думал если бы не одно но
VPN клиент нормально видит DHCP сервер но не видет неодной машины из этой подсети и такое продолжается везде тоесть ощущение что клиент VPN видет только строго заданные машины внутри локлаьной сети

yakostik
О том и речь, DHCP знает маршрут до IP VPN-клиента, а остальные машины нет.
route print посмотри на DHCP и на какой-нить из не пингующихся машин в лок. сети.

yakostik
На сколько я поняла ваша проблема решается путем изменения либо добавления правил для ISA, раз система построена именно на ISA, то в первую очередь стоит искать решение именно здесь.

Есть такой вопрос.
VPN-сервер поднял на Win2k3SP2. Сервак подрубается к инету через PPPOE-соединение, через DSL-модем. Соединение инициализируется в остнастке "Маршрутизация и удалённый доступ", для этого создано 2 статических маршрута:
192.168.1.0 255.255.255.0 PPPOE-CONNECT
0.0.0.0 0.0.0.0 PPPOE-CONNECT.
На этом же интерфейсе поднят NAT для раздачи инета в локалку.
В локалке поднят AD. Авторизация VPN-клиентов проходит через AD.
Клиент без проблем коннектится по VPN, только в локалку не попадает. Пинги не идут ни в локалку, ни на самом VPN-сервере не пинается не один интерфейс кроме PPPOE-CONNECT (на нём кстати реальный внешний IP)
Так вот хотелось бы узнать в чём затык.

Может покажусь ламой, прошу помощи!
есть у меня впн сервер на win2k3, к нему могут подключаться клиенты все настроено, но, задача стоит подключить удаленный офис из 4х компов, настроил впн соединение, один комп подключается, а другие при проверке логина и пароля выдают ошибку. вопрос, как это реализовать с наименьшими затратами

to iag0
Вот тебе линк . Я длумаю, что к Win2k3 эта стать тоже применима с небольшими корректировками.

iag0
С какой ошибкой падают?
Рекомендую ознакомиться с ентой статейкой

OtsHELLnik
на сколько я понял, в статье нет описания про несколько одновременных подключений к впн серверу, с другой сети, когда внешний ip у машин одинаковый, а мне надо именно это

iag0
Не понял.
Одновременные VPN-подключения с одного внешнего IP - это подключения пользователей с рабочих станций типа Win XP или это серваки подключаются по постоянному подключению?
Поясните что именно вы хотите реализовать будет проще вам советовать что-либо.
Если первое, добавляете нужное количество портов и создаете учетки с разрешенным входящим звонком.
Если второе, достаточно VPN-соединения с одного из серваков удаленной сети и настроенной маршрутизации на главном маршрутизаторе, т.е. чтоб на той машине которая у клиентов удаленной сети выступает шлюзом, был маршрут, который указывал, что поиск адресов вашей сети необходимо производить через тот комп который подключен к вам по VPN. (в принципе, такое можно и на WinXP сделать, правда это детские шалости, но иногда приходится делать именно так если серверных осей нет).
Путано получилось, уточните ситуацию объясню понятней.

OtsHELLnik
Смотри! есть сервер, со статическим IP, к нему из другого города подцепляется по VPN winxp, одна машина, все работет на ура, есть второй офис, в нем 4 машины, на всех winxp, созданы 4 учетки в домене, которым разрешено подключаться по впну, вот одна машина из 4х подключается, а остальные три уже не могут, выдает ошибку при проверке пользователя и пароля

iag0
Имеете:

Сеть А (ваша сеть)
Адресация: 10.0.0.x
GW (10.0.0.11) – VPN сервак вашей сети
Сеть Б (удаленный офис) 10.0.1.x
WS1 (10.0.1.3) – Рабочая станция которая будет выступать маршрутизатором.
Связывать будем через PPTP

Вариант раз:
В сети А создаем учетку с правами на входящий звонок.
На GW добавляем порты.
На WS1 создаем подключение, проверяем, если все путем, входим в свойства этого подключения, вкладка сеть- протокол Интернета TCP/IP – свойства – дополнительно – снимаем галку использовать шлюз в удаленной сети – ок – ок.
Тут самое интересное: вкладка дополнительно – ставим галку «Разрешить другим пользователям ….» IP локальной сети сбрасывается на 192.168.0.1, презагружаем ПК и возвращаем локальный адрес руками в исходное 10.0.1.3.
Переходим к оставшимся трём ПК стартуем консоль
Впечатываем тудым:
route add –p 10.0.0.0 mask 255.255.255.0 10.0.1.3
теперь сеть А можно пропинговать, компы доступны по IP. Что бы ПК из сети А можно было вызывать по именам нужно в настройки TCP/IP компов из сети Б добавить винс или днс сервера сети А.
Из сети А пропинговать в сеть Б можно будет только WS1.

Вариант два:
Каждый комп из сети Б конектится сам по себе
В сети А создаем учеткИ с правами на входящий звонок.
На GW добавляем порты.
На WSx создаем подключение, проверяем, если все путем, входим в свойства этого подключения, вкладка сеть- протокол Интернета TCP/IP – свойства – дополнительно – снимаем галку использовать шлюз в удаленной сети – ок – ок.

Главное чтоб портов хватало.
А сколько народу у вас с одного внешнего IP значения не имеет. Хотя в настройках RRAS есть еще галочка многоканальные подключения на вкладке PPP, галка там по дефолту установлена.


Добавлено:
По первому варианту сеть А будет доступно когда WS1 включен и подключение по VPN активно, хотя можно и галку воткнуть чтоб оно автоматически устанавливалось по запросу пользователей из сети.

OtsHELLnik
Вот пробовал описаный вариант 2, но один подключается, а второй уже нет, может все дело в трафикиснпекторе? ему где то надо добавить что то?

Попробуй это почитать

Добавлено:
2 iag0
Хотя есть подозрение что TI тут не при чем.

OtsHELLnik
Согласен что может не TI, просто не понятна сама схема, например 3 клиента с разными ip могут одновременно подключиться, а вот с одно лажа какая то.. вот и разбираюсь, но как вариант, попробую 1й, может так будет проще сделать и все

Добавлено:
OtsHELLnik
Первый способ всем устроил, но есть большая проблемма, по умолчанию на компе который шлюзом будет впн, шлюз основной становится впн сервер, хоть савь галочку "испльзовать основной шлюз в удаленной сети", как избавить от этой проблеммы? поможете?

2 iag0
У меня по этому поводу только одна мысль - на WS1 клацни правой кнопкой мыши по созданному подключению и сними галку сделать подключением по умолчанию.

У меня есть провайдер интернета который использует VPN соединения раньше можно было обойти скорость ограничинную тарифом например тариф безлимитный 128 кбит|сек а удавалось качать с интернета, НЕ ftp yна скорости 1758,4 кбит/сек. Все это происходило благадоря изменению настроек безопасности в "Свойствах" соединения если поставить точку на "обычном" параметре безопасности и галку "требует шифрование (иначе отключаться)" теперь мой оператор спалил эту тему и как сам признался "В итоге взяли и обрубили модуль MPPE.". Вопрос: можноли обойти эту систему и снять ограничение скорости?

пап

Цитата:

Вопрос: можноли обойти эту систему и снять ограничение скорости?

Можно попробовать установить несколько соединений с разных машин.