|
实现环境： 预装Linux(kernal version 2.6.27.15,Fedora 10 )的主机一台＋双网卡＋ADSL VPN SERVER PC in a LAN ADSL modem eth0 eth1 |#####| 公网-----------|######|---------------||----------||------------|#####| |<----PPPoE----->|<---NAT--->|<----PPTP--->| eth0接口用来通过拨号从网通获取公网ip，拨号成功后会在VPN Server上产生一个ppp0接 口，该接口的ip地址就是从公网获取的ip地址 eth1接口是与局域网相连的那块网卡接口，如果此接口已连上开启DHCP服务的路由器，则 它会有一个ip地址 PPPoE：ADSL专用的通讯协议，需要输入电信给你的帐号和密码； PPTP：点对点隧道协议，是一种支持多协议虚拟专用网络的协议。 /******************************** A.VPN Server通过ADSL拨号上网 ****************/ 1.PPPoE软件的安装 1） 在 http://www.roaringpenguin.com/pppoe/#download 下载 2） 安装rp-pppoe。以root身份执行 2.查看与ADSL modem连接的那块网卡是否被系统识别 运行 ifconfig eth0 显示类似如下信息： eth0 Link encap:Ethernet HWaddr 00:E0:4C:50:E1:90 inet addr:192.168.0.2 Bcast:192.168.0.255 Mask:255.255.255.0 inet6 addr: fe80::2e0:4cff:fe50:e190/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:11031331 errors:20041 dropped:0 overruns:0 frame:0 TX packets:9151127 errors:0 dropped:0 overruns:0 carrier:0 collisions:24 txqueuelen:1000 RX bytes:2507000230 (2.3 GiB) TX bytes:2096138656 (1.9 GiB) Interrupt:17 Base address:0x4000 /***注意***/：a.不需要特意给eth0填上ip地址，此处的192.168.0.2是由于eth0所连接 的ADSL MODEM具有路由功能，故给eth0分配了ip地址， 但这并不影响我们的配置;b.不需要设置此网卡随开机启动 3.pppoe客户端（VPN Server）拨号设置 运行 #/usr/sbin/adsl-setup >>> Enter your PPPoE user name: ——此处输入拨号帐号的用户名（申请adsl时网 通给分配的） >>> Enter the Ethernet interface connected to the ADSL modem For Solaris, this is likely to be something like /dev/hme0. For Linux, it will be ethn, where 'n' is a number. (default eth0): ——输eth0（与adsl modem连接的那块网卡 接口） >>> Enter the demand value (default no): ——输no >>> Enter the DNS information here: ——输202.106.46.151，202.106.195.68（ 网通的DNS） >>> Please enter your PPPoE password: ——输网通用户口令 >>> Choose a type of firewall (0-2): ——输0 >>> Accept these settings and adjust configuration files (y/n)? ——输y 以上的这些设置将会更改以下两个文件 /etc/ppp/pppoe.conf －－－涉及与adsl modem连接的接口选择，用户名等 /etc/resolv.conf －－－与DNS有关 将用户名和密码存入/etc/ppp/chap-secrets中，以便下次连接时不用再此输入 4.启动ADSL连接 运行 #/usr/sbin/adsl-start 若一切正常，则显示 [root@PCN-CAD ppp]# adsl-start ... Connected! 至此，此VPN Server已经连上公网 5.运行 #ifconfig eth0 Link encap:Ethernet HWaddr 00:E0:4C:50:E1:90 inet addr:192.168.0.2 Bcast:192.168.0.255 Mask:255.255.255.0 ........ eth1 Link encap:Ethernet HWaddr 00:08:74:B7:03:C3 inet addr:59.64.154.187 Bcast:59.64.154.255 Mask:255.255.255.0 ......... lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 ......... ppp0 Link encap:Point-to-Point Protocol inet addr:123.119.245.174 P-t-P:123.119.240.1 Mask:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1492 Metric:1 RX packets:312 errors:0 dropped:0 overruns:0 frame:0 TX packets:459 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:3 RX bytes:65478 (63.9 KiB) TX bytes:61611 (60.1 KiB) 多出来的那个ppp0就是我们拨号成功后系统虚拟的一个接口 /************************************* END OF A ****************************** */ /************************************ B.VPN Server开启pptpd服务 ***************/ 1.确保如下软件正确安装（版本可能会有出入） kernel_ppp_mppe-0.0.4-2dkms.noarch.rpm (MPPE的内核补丁) dkms-1.12-1.noarch.rpm (升级dkms) pptpd-1.2.1.tar.gz (pptpd服务软件) 2.配置VPN服务器 修改/etc/pptpd.conf文件： ppp /usr/sbin/pppd #指定PPP服务程序 option /etc/ppp/options.pptpd #指定选项配置 localip 59.64.154.187 #指定本地IP remoteip 192.168.2.139-245 #指定分配的远程IP 修改/etc/ppp/options.pptpd文件: name pptpd refuse-pap refuse-chap refuse-mschap require-mschap-v2 require-mppe-128 ms-dns 202.106.46.151 ms-dns 202.106.195.68 proxyarp debug lock nobsdcomp novj novjccomp nologfd 修改/etc/ppp/chap-secrets文件 # client server secret IP addresses #username pptpd password * "username" pptpd "passwd" * 这里是配置VPN的用户帐号,如"china" pptpd "beijing" 启动服务: /usr/local/sbin/pptpd 然后用netstat查看一下1723端口是不是开的，如果是的话则说明服务已成功启动。 /*********************************** END OF B ******************************** */ /******************************** C.利用iptables开启NAT功能 ***************** */ NAT的功能是为了实现数据包的伪装及转发，从LAN里面的用户发出的包通过VPN SERVER的 eth1经报头伪装后转发到连接公网的eth0。 此部分参考鸟哥私房菜的NAT服务器架设篇 #!/bin/bash # # ======================================================== # 程式說明： # 歡迎使用 iptables.rule 這個 script 來建立您的防火牆！ # 這支 script 還需要您的額外設定方可適合您的主機環境！ # 基本規則定義為『拒絕所有，開放特定』的模式！ # # 強烈建議： # 不了解 Linux 防火牆機制 iptables 的朋友使用這支 script # 可能會不太瞭解每個指令列的意義，果真如此的話， # 歡迎參考底下幾個網頁： # http://www.study-area.org/linux/servers/linux_nat.htm # http://linux.vbird.org/linux_server/0240network-secure-1.php # http://linux.vbird.org/linux_server/0250simple_firewall.php # # 使用說明： # 確定這個程式僅有 Linux 的斷行字元： # dos2unix iptables.rule # 請先將這個 scripts 的權限更改為可執行： # chmod 755 iptables.rule # 在將這個程式放置在 /usr/local/virus/iptables 目錄下： # mkdir -p /usr/local/virus/iptables # mv /完整的路徑/iptables.rule /usr/local/virus/iptables # 執行測試： # /usr/local/virus/iptables/iptables.rule # iptables -L -n (這個動作在檢查防火牆規則) # 將底下這一行加入 /etc/rc.d/rc.local 當中 # /usr/local/virus/iptables/iptables.rule # 取消防火牆： # iptables -F # iptables -X # iptables -t nat -F # iptables -t nat -X # # ======================================================== # 版權宣告： # 這支程式為 GPL 授權，任何人皆可使用， # 然，若使用本 scripts 發生問題時，本人不負任何責任 # VBird <vbird@mail.vbird.idv.tw> # ======================================================== # # 歷史紀錄： # 2002/08/20 VBird 首次釋出 # 2003/04/26 VBird 加入砍站軟體的相關執行檔案！ # 2003/08/25 VBird 修改 INPUT 的 Policy 成為 DROP # 2006/09/13 VBird 重新修訂，加入一些核心參數 /proc/sys/net/ipv4/* # 2006/09/15 VBird 加入關於 NAT 主機後端伺服器的轉址功能。 # 2006/09/30 VBird 加入每個設定項目的英文說明！！ # 2006/11/08 VBird 參考朋友們發現的 PPPoE 導致 MTU 的問題，增加一條規則！ 在 NAT 的部分。 # ############################################################################## ############# # 請先輸入您的相關參數，不要輸入錯誤了！ # English: Please input your networks parameters ( including your LAN NIC ) EXTIF="ppp0" # 這個是可以連上 Public IP 的網路介面 ，也可能是 ppp0 # This is your NIC, connect to internet. Such as ppp0... INIF="eth1" # 內部 LAN 的連接介面；若無 LAN ，填寫 成 INIF="" # This is your LAN NIC. If you don't have a LAN, input INIF="" please. INNET="192.168.2.0/24" # 若有兩個以上的網域，可以用 INNET="192.168.1.0/24 192.168.100.0/24" # 若無內部網域介面，請填寫成 INNET="" # This is your LAN's Network. If you have to private network, # input as INNET="192.168.1.0/24 192.168.100.0/24". export EXTIF INIF INNET # 個人化設定啊！請自行填寫您自己想要預先啟動的一些基礎資料。 # These settings is about yourself's paramters. allowname='' # 允許登入本機的 hostname ，必須是 Internet 找 的到的 hostname。 allowip="" if [ "$allowname" != "" ]; then for siteiptmp in `echo $allowname` do siteip=`/usr/bin/host $siteiptmp 168.95.1.1 | grep address|tail -n 1 | awk '{print $4}'` testip=`echo $siteip | grep [^0-9.]` if [ "$testip" == "" ]; then allowip="$allowip $siteip" fi done fi export allowip # 第一部份，針對本機的防火牆設定！############################################ ## # First, your server's firewall settings. # 1. 先設定好核心的網路功能： # 1. the kernel's firewall settings. # 開啟 TCP Flooding 的 DoS 攻擊抵擋機制，但這個設定不適合 loading 已經很高的 主機！！！ # TCP Flooding's setting. this setting is no good for high loading servers echo "1" > /proc/sys/net/ipv4/tcp_syncookies # 取消 ping 廣播的回應； # unset reply of ping. echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts # 開啟逆向路徑過濾，以符合 IP 封包與網路介面的設定； # for i in /proc/sys/net/ipv4/conf/*/rp_filter; do echo "1" > $i done # 開啟記錄有問題的封包 # record some problems packets. for i in /proc/sys/net/ipv4/conf/*/log_martians; do echo "1" > $i done # 取消來源路由，這個設定值是可以取消的； for i in /proc/sys/net/ipv4/conf/*/accept_source_route; do echo "0" > $i done # 取消重新宣告路徑的功能。 for i in /proc/sys/net/ipv4/conf/*/accept_redirects; do echo "0" > $i done # 取消傳送重新宣告路徑的功能。 for i in /proc/sys/net/ipv4/conf/*/send_redirects; do echo "0" > $i done # 2. 清除規則、設定預設政策及開放 lo 與相關的設定值 # 2. clear rule, set the policy rule and allow lo connect. PATH=/sbin:/usr/sbin:/bin:/usr/bin:/usr/local/sbin:/usr/local/bin; export PATH iptables -F iptables -X iptables -Z iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -m state --state RELATED -j ACCEPT # 3. 啟動額外的防火牆 script 模組 # 3. other shell scripts, written by VBird. # 預設抵擋的主機 if [ -f /usr/local/virus/iptables/iptables.deny ]; then sh /usr/local/virus/iptables/iptables.deny fi # 預設開放的主機 if [ -f /usr/local/virus/iptables/iptables.allow ]; then sh /usr/local/virus/iptables/iptables.allow fi # 透過 WWW 砍站軟體分析的抵擋機制 if [ -f /usr/local/virus/httpd-err/iptables.http ]; then sh /usr/local/virus/httpd-err/iptables.http fi iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT # 4. 允許某些類型的 ICMP 封包進入 # 4. allow some types of ICMP AICMP="0 3 3/4 4 11 12 14 16 18" for tyicmp in $AICMP do iptables -A INPUT -i $EXTIF -p icmp --icmp-type $tyicmp -j ACCEPT done # 5. 允許某些服務的進入 # iptables -A INPUT -p TCP -i $EXTIF --dport 22 -j ACCEPT # SSH # iptables -A INPUT -p TCP -i $EXTIF --dport 25 -j ACCEPT # SMTP # iptables -A INPUT -p UDP -i $EXTIF --dport 53 -j ACCEPT # DNS # iptables -A INPUT -p TCP -i $EXTIF --dport 53 -j ACCEPT # DNS # iptables -A INPUT -p TCP -i $EXTIF --dport 80 -j ACCEPT # WWW # iptables -A INPUT -p TCP -i $EXTIF --dport 110 -j ACCEPT # POP3 # iptables -A INPUT -p TCP -i $EXTIF --dport 443 -j ACCEPT # HTTPS # 第二部份，針對後端主機的防火牆設定！######################################## ## # Second, the NAT settings. # 1. 先載入一些有用的模組 # 1. loading some good modules of iptables. # modules="ip_tables iptable_nat ip_nat_ftp ip_nat_irc ip_conntrack ip_conntrack_ftp ip_conntrack_irc" modules="iptable_nat ip_nat_ftp ip_nat_irc ip_conntrack_ftp ip_conntrack_irc " for mod in $modules do testmod=`lsmod | grep "^${mod} " | awk '{print $1}'` if [ "$testmod" == "" ]; then modprobe $mod fi done # 2. 清除 NAT table 的規則吧！ # 2. clean NAT table's rule iptables -F -t nat iptables -X -t nat iptables -Z -t nat iptables -t nat -P PREROUTING ACCEPT iptables -t nat -P POSTROUTING ACCEPT iptables -t nat -P OUTPUT ACCEPT # 3. 開放成為路由器，且為 IP 分享器！ # 3. NAT server's settings if [ "$INIF" != "" ]; then iptables -A INPUT -i $INIF -j ACCEPT echo "1" > /proc/sys/net/ipv4/ip_forward if [ "$INNET" != "" ]; then for innet in $INNET do iptables -t nat -A POSTROUTING -s $innet -o $EXTIF -j MASQUERADE done fi fi # 如果你的 MSN 一直無法連線，或者是某些網站 OK 某些網站不 OK，可能是 MTU 的 問題， # 那你可以將底下這一行給他取消註解來啟動 MTU 限制範圍 iptables -A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu # 4. NAT 主機後端的 LAN 內對外之伺服器設定 # iptables -t nat -A PREROUTING -p tcp -i $EXTIF --dport 80 -j DNAT --to 192.168.1.210:80 # WWW /*********************************** END OF C ******************************** */ 按照上面的方法配置完防火墙和NAT规则之后，执行该脚本文件 然后运行 #route -n 查看默认网关是否是ppp0的ip地址，若不是，则手动添加该默认网关，具体如下 用su命令切换到root用户 执行 #route add default gw "ppp0的ip地址(不包括引号)" 至此，服务器的NAT功能开启 /*********************************** D.局域网中客户端的配置 ****************** */ windows 客户端配置如下 网上邻居－－右键－属性－－创建一个新的连接－－下一步－－连接到我的工作场所的网 络－－虚拟专用网络连接－－公司名（随便写一个，如bupt） －下一步－－vpn服务器选择（写上你要拨入的IP或域名，我们的服务器是59.64.154.187 ）－－完成 --填入你的用户名和密码（用户名：china,密码：beijing，为方便使用您最好在保存密 码打上勾）--连接。 linux 客户端配置 1.安装pptp client 2.运行pptp client，在图形界面中依次填入服务器名，服务器地址，用户名和密码 3.连接 /*********************************** END OF D ******************************** */ /********************************** E.Some Tips ****************************** */ 为方便VPN SERVER重启后能自动连接adsl，自动开启NAT服务，自动启动pptpd服务， 可将下列语句加入/etc/rc.d/rc.local文件中 #1.adsl connectting 2009/03/27 /usr/sbin/adsl-start #2.starting the NAT server and firewall settings 2009/03/27 /usr/local/virus/iptables/iptables.rule #3.change the level of SElinux to permissive 2009/03/27 /usr/sbin/setenforce 0 #4.starting pptpd server 2009/03/27 /usr/sbin/service pptpd start %%%%%%%%%%%%%%%%% 注意：SElinux可能会阻止pptpd程序对某些文件的写入，需要将其设 为permissive模式 %%%%%%%%%%%%%%%%% /********************************** END OF E ********************************* */ (责任编辑：IT) |