» Флейм для сисадминов (часть V)

liberator Не надо этому леммингу ничего отвечать. Влез не в свой раздел, а на ссылки в нужные темы вместо благодарности мерзко хамит.

люди добрые! дайте мудрого совета
не могу понять в чем трабла: поднят pptpd, клиенты цепляются. все, кроме одного. тот самый сидит за натом (весь форвардинг для него разрешен). при подключении выкидывает виндовую 619 ошибку. при этом к другим впнам подключается. проблема похоже в шлюзе, т.к. мимо него цепляется без проблем.
как найти где собака зарыта?

Добавлено:
P.S.: в логах такая хрень:
Код: Sep 24 19:20:34 proxima pptpd[7629]: GRE: read(fd=7,buffer=608c80,len=8260) from network failed: status = -1 error = Protocol not available
Sep 24 19:20:34 proxima pptpd[7629]: CTRL: GRE read or PTY write failed (gre,pty)=(7,6)

kerevra
Цитата:

GRE read or PTY write failed

pptp использует протокол GRE (47), поэтому его также надо пропускать через NAT, задача нетривиальная. Также некоторые провайдеры режут GRE. Посему лучше использовать L2TP/IPSec.

Цитата:

его также надо пропускать через NAT, задача нетривиальная

ну если бы все было так просто, то она была б нетривиальной, и я сюда б не захаживал с этим вопросом
GRE, как и весь трафик, разрешен. пров тоже ничего не режет (тыркал провод напрямую в машинку, мимо шлюза, все ОК)

kerevra Возможно шелезяка клиента, через которую он НАТится, просто не умеет GRE.
Это, кстати, можно посмотреть на сервере любым сниффером. идут от клиента GRE пакеты или нет.

vlary
дык с другими впнами соединяется, о чем уже писал...

Цитата:

Возможно шелезяка клиента, через которую он НАТится, просто не умеет GRE.

натится за полноценным дебианом, он умеет

kerevra
Цитата:

проблема похоже в шлюзе, т.к. мимо него цепляется без проблем.

Что значит - через шлюз и напрямую? У вас что, VPN сервер тоже за НАТом сидит?

Цитата:

У вас что, VPN сервер тоже за НАТом сидит?

нет-нет, клиент за натом... перетыкаю шнурок с инетом из шлюза в комп, подключается... сую взад - ГРЕ режется...

Добавлено:
tcpdump внешнего интерфейса впн-сервера говорит следующее:
Код: 19:45:37.018442 IP 81.28.x.x > 195.144.x.x: ICMP 81.28.x.x protocol 47 unreachable, length 69

kerevra Правила айпитаблеса того дебиана можно поглядеть? Если на другие серверы ходит vpn клиент, значит на этом сервере что-то банится или бреется, ака порт 1723 и gre 47 не пропускаются в сторону 195.144.x.x . Гляньте на всякий случай еще файл /etc/host.deny/ Если настроен какой-то спецблокиратор по портам (типа portsentry или подобный), то и в нем покопаться.

камрады, тут буквально недавно упоминались софтинки для удалёнки, подскажите пожалуйста, что есть из подобного софта для работы в локалке без выхода в инет. в смысле что есть кроме RAdmin'а и NetOp'а

Eric Lazzy много чего, например Ultravnc (бесплатный), Dameware, pcanywhere,
RMS Удаленный доступ (http://rmansys.ru/)
Софт для удаленного администрирования Windows
поиском еще не научился пользоваться?

Цитата:

Правила айпитаблеса того дебиана можно поглядеть?

конечно: [more]root@proxima:~# iptables -nvL
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
25 1780 ACCEPT all -- eth1 * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:220
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 0
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 8
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 11
0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:8179

Chain FORWARD (policy ACCEPT 1 packets, 48 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 0
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 8
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 11
0 0 DROP icmp -- * * 0.0.0.0/0 0.0.0.0/0
2 96 TCPMSS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x02 TCPMSS clamp to PMTU
468 413K ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED

Chain OUTPUT (policy ACCEPT 15 packets, 1412 bytes)
pkts bytes target prot opt in out source destination
0 0 TCPMSS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x02 TCPMSS clamp to PMTU
root@proxima:~# iptables -nvL -t nat
Chain PREROUTING (policy ACCEPT 6 packets, 323 bytes)
pkts bytes target prot opt in out source destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
6 334 SNAT all -- * eth0 0.0.0.0/0 0.0.0.0/0 to:81.28.x.x

Chain OUTPUT (policy ACCEPT 1 packets, 78 bytes)
pkts bytes target prot opt in out source destination[/more]

Добавлено:
для клиентов за натом почти все разрешено

Добавлено:
P.S.: icmp весь разрешал, сомневался что трабла в pmtu

ipmanyak
спасибо
Цитата:

поиском еще не научился пользоваться?

когда-то умел, ток фуражка всё отдавила
на самом спросил потому, что обычно в ответе говорят чем пользовались, и плохое редко советуют

Eric Lazzy
Цитата:

обычно в ответе говорят чем пользовались, и плохое редко советуют

А в специализированной теме плохому учат?

vlary
её я не догадался поискать в этом подфоруме редко тут бываю

Доброго времени суток, нужно в system32 скопировать 4 фалика, захожу под админом и не могу скопировать туда их мл мало прав, win2008r2 подскажите плиз 1с не хочет запускаться


вот имена файлов
odbc32.dll
odbcbcp.dll
sqlsrv32.dll
sqlsrv.rll
они мне нужны тама, что бы запустить 1с и подцепить базу с другого сервера.

tempik Уверены что это нужно делать? Все перечисленные файлы, кроме sqlsrv.rll, там уже есть.

1С так и не захотела запускаться
Есть сервер win2003 с SQL 2005 Srv (1C v7.7)
Есть другой сервер с Win2008r2 (1Сv8)
Существует выгрузка данных из 8ки в 7ку для то го что бы выгрузка прошла надо с начало подцепить базу. Базу не удаётся запустить как из написанной программы так и просто через 1С.
Выводит ошибку теперь уже:
Не удаётся загрузить указанный драйвер из за системной ошибки 126



как запустить ?

tempik
попробуйте в тот топик обратиться

Есть win2003ser с 192,168,1,1
есть клиент 1 - 192,168,1,2
и клиент 2 - 192,168,1,3.
Запускаю на сервере Администрирование - Маршрутизация и удаленный доступ. в настройках NAT прописываю слушать 192,168,1,1:2221 и переадресовывать его на 192,168,1,2:2221 - обновление нода. Теперь с клиента 2 - 192,168,1,3 - кидаю запрос на сервер 192,168,1,1:2221, но нифига не происходит, при том что если напрямую бросать 2 -1 всё обновляется - куда копать? как я понимаю маршрутизация не осуществляется. Изврат нужен именно такой.

Maza777
у вас обе машины за одним интерфейсом.
как вариант, ставьте 3proxy и бросайте куда надо нужные порты через него

Цитата:

у вас обе машины за одним интерфейсом.
как вариант, ставьте 3proxy и бросайте куда надо нужные порты через него

спасибо за совет, решил уже с помощью datapipe

Коллеги, я все время думал, что протокол HTTPS и S-HTTP один и тот же
но вот оказывается нет..
коротко это объясняется так:

Цитата:

HTTPS is used to protect the communication channel between two computers while S-HTTP protects a message that is sent from one computer to another.

это маразм или я просто что то не понимаю ?

P.S. если это на самом деле так, то объясните пожалуйста нормально для чего этот S-HTTP надо и где используется ?

Цитата:

P.S. если это на самом деле так, то объясните пожалуйста нормально для чего этот S-HTTP надо и где используется ?

да это разные протоколы, основное отличие HTTPS сначала устанавливает защищенное соединение а потом шифрует весь трафик между клиентом и сервером, S-HTTP заголовки HTTP не трогает (и добавляет свои) а шифруется само содержимое страницы, POST и так далее. Поэтому S-HTTP работает на стандартном порту 80

Valery12


Я как понял - можно работать через 80 порт, но эти этом не подвергать себе опасности APR сфуфинга? (т.е. снифер в недопонимания будет - как это http, 80 port, но внутри все непонятное? )

Можно ли сказать S-http безопаснее чем HTTPS ? или на оборот? Кстати, где принимается s-http?

Цитата:

можно работать через 80 порт, но эти этом не подвергать себе опасности APR сфуфинга?

contrafack как всегда жжот! Мало что путает спуфинг и снифинг, так еще и орфографические ошибки делает.
"А этот пацак все время говорит на языках, продолжения которых не знает!" (с) Кин-Дза-Дза
contrafack
Заглядывай сюда почаще, без тебя скучно!

vlary

Я все верно написал, это вы не знайте что к чему и пытайтесь устроить провокацию.
читайте что такое ARP спуфинг и что такое сниффинг.

Извинения можете писать в ПМ.

contrafack Я прекрасно знаю, что такое ARP Spoofing. И более того, уверен, что вашей сети это не грозит. Это требует определенной квалификации, а как правило, квалификация юзеров не выше, чем у их сисадмина.
А вот пытаться поснифить сеть, скачав WireShark, они вполне способны.

vlary

тут я соображаю лучше, чем в сисадминстве, поверьте мне )))))))))))
И тут дело не в том, что мне может грозить или нет. это было сказано как пример.

Цитата:

А вот пытаться поснифить сеть, скачав WireShark, они вполне способны.

Вы видимо только слышали о нем. А вы пробуйте ! пробуйте скачать и поснифать соседний компьютер, не прибегая к ARP спуфингу))))))))

Обязательно пишите о своих неудачах


Не надо просто меня недооценивать ;)

contrafack
Цитата:

пробуйте скачать и поснифать соседний компьютер. Обязательно пишите о своих неудачах

Намекаете, что у вас вся сеть на коммутаторах, и простой снифер не проканает?
Ну, тогда вам и вовсе не о чем беспокоиться. Вряд ли простой юзер умудрится зазеркалировать нужный порт на свитче.

Цитата:

Не надо просто меня недооценивать

Ну что вы! Здешний раздел вас очень ценит! Ведь, можно сказать, знает с пеленок.