iPhone fähiges VPN unter Ubuntu 8.04 / Plesk

[Jondalar]

Hallo zusammen,

erstmal ein grosses Dankeschön an diese Board. Seit längerem lese ich nur, und habe hier viele tollen Dinge (kennen)gelernt, die mir das Leben mit meinem Plesk Server leichter machen.

Ich selbst bin iPhone User und relativ oft unterwegs. "Just for the sake of doing it" versuche ich zur Zeit, ein VPN zwischen daheim, LapTop, iPhone und 2 Freunden auf die Beine zu bekommen.

OpenVPN ist ja eher mehr oder weniger mit Boardmitteln dabei und tut, wenn man eine gescheite server.config bastelt prima. Auch mit eigenen Certs usw.

L2TP over IPSec habe ich nicht zu laufen bekommen, da fehlen mir irgendwie gescheite Protokolle.

Dann gibt es ja noch das (schlechte) PPTP von Microsoft, bzw. die Implementierungen unter Linux dazu. Diese habe ich auf dem Ubuntu 8.04 Server (bei Strato) auch ohne grosses Murren ans Rennen bekommen.

Was mir noch fehlt sind 2 Dinge, und die haben meiner Meinung etwas mit der Firewall und IPTables zu tun.

1) Das sich die Rechner gegenseitig sehen
2) Ich bei Bedarf die defaultroute durchs VPN jagen und somit
a) Schutz in ungesicherten WLANs zu haben
b) evtl. Portsperren zu umgehen

Punkt 1 ist nebensache, das geht mit OpenVPN z.B. prima via tap-device. Das 2. ist aber viel spannender, sowohl für OpenVPN als auch PPTP komme ich nicht weiter.

Hier meine iptables config (so, wie sie von der psa-firewall erzeugt wird):

# Generated by iptables-save v1.3.8 on Thu Nov 19 15:36:30 2009
*nat
:PREROUTING ACCEPT [671:56404]
:POSTROUTING ACCEPT [1226:85482]
:OUTPUT ACCEPT [1163:81244]
COMMIT
# Completed on Thu Nov 19 15:36:30 2009
# Generated by iptables-save v1.3.8 on Thu Nov 19 15:36:30 2009
*mangle
:PREROUTING ACCEPT [78979:71714635]
:INPUT ACCEPT [78504:71684421]
:FORWARD ACCEPT [471:29599]
:OUTPUT ACCEPT [80653:62915037]
:POSTROUTING ACCEPT [81075:62942289]
COMMIT
# Completed on Thu Nov 19 15:36:30 2009
# Generated by iptables-save v1.3.8 on Thu Nov 19 15:36:30 2009
*filter
:INPUT DROP [1:75]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j REJECT --reject-with tcp-reset 
-A INPUT -m state --state INVALID -j DROP 
-A INPUT -i lo -j ACCEPT 
-A INPUT -p udp -m udp --dport 1194 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 8443 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 8880 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 21 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 587 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 465 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 110 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 995 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 143 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 993 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 106 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 5432 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 9008 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 9080 -j ACCEPT 
-A INPUT -p udp -m udp --dport 137 -j ACCEPT 
-A INPUT -p udp -m udp --dport 138 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 139 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 445 -j ACCEPT 
-A INPUT -p udp -m udp --dport 1194 -j ACCEPT 
-A INPUT -p udp -m udp --dport 53 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT 
-A INPUT -p icmp -m icmp --icmp-type 8/0 -j ACCEPT 
-A INPUT -j ACCEPT 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j REJECT --reject-with tcp-reset 
-A FORWARD -m state --state INVALID -j DROP 
-A FORWARD -i lo -o lo -j ACCEPT 
-A FORWARD -s 192.168.101.0/255.255.255.0 -p udp -j ACCEPT 
-A FORWARD -s 192.168.101.0/255.255.255.0 -p tcp -j ACCEPT 
-A FORWARD -j ACCEPT 
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j REJECT --reject-with tcp-reset 
-A OUTPUT -m state --state INVALID -j DROP 
-A OUTPUT -o lo -j ACCEPT 
-A OUTPUT -j ACCEPT 
COMMIT
# Completed on Thu Nov 19 15:36:30 2009

Das 192.168.101.0/24 Netz ist das VPN. Wobei in dieser Config auch das allgemeine Forward aktiv ist. Ein kurzer Blick auf /proc/sys/net/ipv4/ip_forward zeigt das dort eine 1 steht, also Kernelseitig wohl auch das Forwarding gehen sollte.

Leider kann ich aber keinen Ping auf eine "nicht-VPN" oder externe IP absetzen.

Hier die PPTP configs:

/etc/pptp.conf

option /etc/ppp/pptpd-options
logwtmp
localip 192.168.101.1
remoteip 192.168.101.2-20

Und die /etc/ppp/pptpd-options

# Authentication
name pptpd

refuse-pap
refuse-chap
refuse-mschap
# Challenge Handshake Authentication Protocol, Version 2] authentication.
require-mschap-v2
require-mppe-128

# Network and Routing
ms-dns 81.169.163.106

# Add an entry to this system's ARP [Address Resolution Protocol]
# table with the IP address of the peer and the Ethernet address of this
# system.  This will have the effect of making the peer appear to other
# systems to be on the local ethernet.
# (you do not need this if your PPTP server is responsible for routing
# packets to the clients -- James Cameron)
#proxyarp

# Debian: do not replace the default route
nodefaultroute
lock
# Disable BSD-Compress compression
nobsdcomp

So, jetzt die Frage - kennt sich da einer mit aus, bzw. hat einen guten Link für mich?

Beste Grüße,
J*

 

[Jondalar]

Hi,

ich hab's selbst gelöst ... Man nehme:

- aktuelles openSWAN (aus GIT am besten)
- XL2TPD (am besten als Source und selbst kompilieren)
- Standardconfigs mit leichten Anpassungen (Ip Adressen, etc)
- Forwarding aktivieren
- NAT auf dem VPN Netz via IPTables setzen

Dann geht's ...

Grüße,
J*