https://www.opennet.me/openforum/vsluhforumID1/81473.html Добрый день!<br>Возникла такая проблема.<br>Необходимо организовать тунель между клиентом Windows XP и серевером, находящимся в другой сети. Между ними стоит роутер на OpenBSD 4.3 с настроенным PF и NAT.<br>В правилах фаервола присутствуют строки:<br><br>nat on $ext_if from !($ext_if) to any -&gt; ($ext_if:0)<br><br>pass in log on $int_if inet proto tcp from $local_net to $vpn_ip port pptp $tcp_state<br>pass in log on $int_if inet proto gre from $local_net to $vpn_ip $udp_icmp_state<br><br>, где tcp_state="flags S/SA modulate state", udp_icmp_state="keep state" и $vpn_ip - адреса концов тунелей.<br><br>При соединении клиента происходит следующее:<br><br>pfctl -ss &#124; grep ip_клиента<br>rl0 tcp $vpn_ip:1723 &lt;- ip_клиента:59693 ESTABLISHED:ESTABLISHED<br>rl1 tcp ip_клиента:59693 -&gt; $ext_ip_роутера:53210 -&gt; $vpn_ip:1723 ESTABLISHED:ESTABLISHED<br>rl0 gre $vpn_ip &lt;- ip_клиента NO_TRAFFIC:SINGLE<br><br>При этом, в логе pf валится сообщение о разрешении прохождения трафика 1723, но нет сообщений о прохождении или не прохожде https://www.opennet.me/openforum/vsluhforumID1/81473.html#12 Wed, 06 Aug 2008 10:33:58 GMT &gt;а где ответ от vpn сервер? <br><br>Спасибо за то, что откликнулись на мою проблему! Все получилось!<br><br>В настройках коннекта Windows XP, поставил другой ip дозвона (который доступен) и соединение пошло! Правда как и предполагалось только для одного клиента.<br><br>Вопрос в догонку, как можно не поднимая демона VPN на роутере (по той же схеме), организовать несколько соединений клиентов с одним VPN сервером?<br>Насколько я понял, ipf/ipnat больше не поддерживается в OpenBSD начиная с версии &gt;3,5...<br>Есть ли какие-нибудь предложения?<br><br>Заранее спасибо!<br> https://www.opennet.me/openforum/vsluhforumID1/81473.html#11 Wed, 06 Aug 2008 10:19:02 GMT &gt;&gt;а где ответ от vpn сервер? <br>&gt;<br>&gt;Хм...видать отключили (ping не идет)... <br>&gt;Как только, что-то измениться - я сообщу. <br><br>Спасибо за то, что откликнулись на мою проблему! Все получилось!<br><br>В настройках коннекта Windows XP, поставил другой ip дозвона (который доступен) и соединение пошло! Правда как и предполагалось только для одного клиента.<br><br>Вопрос в догонку, как можно не поднимая демона VPN на роутере (по той же схеме), организовать несколько соединений клиентов с одним VPN сервером?<br>Насколько я понял, ipf/ipnat больше не поддерживается в OpenBSD начиная с версии &gt;3,5...<br>Есть ли какие-нибудь предложения?<br><br>Заранее спасибо!<br><br> https://www.opennet.me/openforum/vsluhforumID1/81473.html#10 Wed, 06 Aug 2008 10:07:29 GMT &gt;а где ответ от vpn сервер? <br><br>Хм...видать отключили (ping не идет)...<br>Как только, что-то измениться - я сообщу.<br><br><br> https://www.opennet.me/openforum/vsluhforumID1/81473.html#9 Wed, 06 Aug 2008 10:03:45 GMT а где ответ от vpn сервер?<br> https://www.opennet.me/openforum/vsluhforumID1/81473.html#8 Wed, 06 Aug 2008 09:57:29 GMT &gt;tcpdump -n -e -ttt -i pflog0 <br><br>Aug 06 13:50:55.900210 rule 129/(match) pass in on rl0: client_ip.2532 &gt; $vpn_ip.1723: [&#124;tcp] (DF)<br>Aug 06 13:50:55.900393 rule 132/(match) pass out on rl1: $ext_ip_router.56618 &gt; $vpn_ip.1723: [&#124;tcp] (DF)<br><br> https://www.opennet.me/openforum/vsluhforumID1/81473.html#7 Wed, 06 Aug 2008 09:48:38 GMT tcpdump -n -e -ttt -i pflog0<br> https://www.opennet.me/openforum/vsluhforumID1/81473.html#6 Wed, 06 Aug 2008 09:28:56 GMT &gt;tcpdump -i pflog0 -ttt <br>&gt;<br>&gt;Посмотреть какие правила блокируют? <br><br>....<br>Aug 06 13:26:05.668475 client.46957 &gt; $vpn_ip.pptp: [&#124;tcp] (DF)<br>...<br>Aug 06 13:26:06.757489 call 4736 seq 1 gre-ppp-payload (gre encap)<br>Aug 06 13:26:06.757579 call 4736 seq 1 gre-ppp-payload (gre encap)<br>...<br> https://www.opennet.me/openforum/vsluhforumID1/81473.html#5 Wed, 06 Aug 2008 09:24:45 GMT tcpdump -i pflog0 -ttt <br><br>Посмотреть какие правила блокируют?<br> https://www.opennet.me/openforum/vsluhforumID1/81473.html#4 Wed, 06 Aug 2008 09:23:01 GMT &gt;[оверквотинг удален]<br>&gt;any <br>&gt; $tcp_state <br>&gt;pass out log on $ext_if inet proto udp <br>&gt; to <br>&gt;any <br>&gt; $udp_icmp_state <br>&gt;pass out log on $int_if inet proto udp from $int_ip to <br>&gt;$local_net port snmp $udp_icmp_state <br>&gt;block out log on $ext_if inet proto { tcp udp } to <br>&gt;any port $dhcpd_ports <br><br>gre через внешний интерфейс?<br>