[Решено не до конца] Настройка VPN-клиента (нет интернета..)

Обсуждение настройки и работы сервисов, резервирования, сетевых настроек и вопросов безопасности ОС.

Модераторы: SLEDopit, Модераторы разделов

Аватара пользователя
VarLog
Сообщения: 311
ОС: openSUSE 12.2

[Решено не до конца] Настройка VPN-клиента

Сообщение VarLog »

Доброго времени суток.

История банальная: есть провайдер, предоставляет интернет с помощью VPN.
Поставил нужные программы, настроил соединение:

/etc/ppp/peers/fvpn:

Код: Выделить всё

pty "pptp 192.168.6.1 --loglevel 1 --nolaunchpppd --nobuffer"
name login
password "passwd"
file /etc/ppp/options.fvpn
remotename pptp
noauth
noipdefault
defaultroute
replacedefaultroute
usepeerdns

nomppe

chap-max-challenge 3
chap-interval 3
chap-restart 1

debug

#mtu 1400
#mru 1400


/etc/ppp/options.fvpn:

Код: Выделить всё

lock

updetach
usepeerdns

# We won't do PAP, EAP, CHAP, or MSCHAP, but we will accept MSCHAP-V2
# (you may need to remove these refusals if the server is not using MPPE)
refuse-pap
refuse-eap
refuse-chap
refuse-mschap

# Compression
# Turn off compression protocols we know won't be used
nobsdcomp
nodeflate

defaultroute

# disable Microsoft Point-to-Point Compression (MPPC) (i.e. for compatibility with watchguard firebox)
nopcomp
+chap
-pap


Подключаюсь:

Код: Выделить всё

root@user-desktop:/etc/ppp# pon fvpn
using channel 5
Using interface ppp0
Connect: ppp0 <--> /dev/pts/2
sent [LCP ConfReq id=0x1 <mru 1400> <asyncmap 0x0> <magic 0x26468e26> <accomp>]
rcvd [LCP ConfReq id=0x1 <accomp> <pcomp> <mru 1500> <magic 0x1714652a> <auth chap MS-v2> <mrru 2048> <ssnhf> <endpoint [MAC:00:1f:c6:72:7f:8c]>]
sent [LCP ConfRej id=0x1 <pcomp> <mrru 2048> <ssnhf>]
rcvd [LCP ConfAck id=0x1 <mru 1400> <asyncmap 0x0> <magic 0x26468e26> <accomp>]
rcvd [LCP ConfReq id=0x2 <accomp> <mru 1500> <magic 0x1714652a> <auth chap MS-v2>]
sent [LCP ConfAck id=0x2 <accomp> <mru 1500> <magic 0x1714652a> <auth chap MS-v2>]
rcvd [CHAP Challenge id=0x1 <bb1e6839d0337f5edb15ae6991c00470>, name = ""]
sent [CHAP Response id=0x1 <f5d773eb04026d72cf2c464e64097a9900000000000000001ed2835b50eba4d69a443e1104f0
7fedbb4b5ce5c5a8868f00>, name = "login"]
rcvd [CHAP Success id=0x1 "S=5F59A0C5040E1EBB65DF0A78AB9A6D202BF9F36D"]
CHAP authentication succeeded
sent [IPCP ConfReq id=0x1 <compress VJ 0f 01> <addr 0.0.0.0> <ms-dns1 0.0.0.0> <ms-dns2 0.0.0.0>]
rcvd [IPCP ConfReq id=0x1 <addr 195.112.127.211> <compress VJ 0f 00>]
sent [IPCP ConfAck id=0x1 <addr 195.112.127.211> <compress VJ 0f 00>]
rcvd [CCP ConfReq id=0x1]
sent [CCP ConfReq id=0x1]
sent [CCP ConfAck id=0x1]
rcvd [IPCP ConfRej id=0x1 <ms-dns2 0.0.0.0>]
sent [IPCP ConfReq id=0x2 <compress VJ 0f 01> <addr 0.0.0.0> <ms-dns1 0.0.0.0>]
rcvd [CCP ConfAck id=0x1]
rcvd [CCP TermReq id=0x2]
CCP terminated by peer
sent [CCP TermAck id=0x2]
Compression disabled by peer.
rcvd [IPCP ConfNak id=0x2 <addr 10.10.7.63> <ms-dns1 195.112.96.34>]
sent [IPCP ConfReq id=0x3 <compress VJ 0f 01> <addr 10.10.7.63> <ms-dns1 195.112.96.34>]
rcvd [IPCP ConfAck id=0x3 <compress VJ 0f 01> <addr 10.10.7.63> <ms-dns1 195.112.96.34>]
replacing old default route to eth2 [192.168.1.1]
local  IP address 10.10.7.63
remote IP address 195.112.127.211
primary   DNS address 195.112.96.34
root@user-desktop:/etc/ppp# ifconfig
.....
eth2      Link encap:Ethernet  HWaddr 00:14:0b:62:29:3e
          inet addr:192.168.7.63  Bcast:192.168.7.255  Mask:255.255.248.0
          inet6 addr: fe80::250:22ff:fe80:7c19/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:11775 errors:0 dropped:0 overruns:0 frame:0
          TX packets:363 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:810215 (810.2 KB)  TX bytes:36698 (36.6 KB)
          Interrupt:18 Base address:0x7400

.....
ppp0      Link encap:Point-to-Point Protocol
          inet addr:10.10.7.63  P-t-P:195.112.127.211  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1400  Metric:1
          RX packets:7 errors:0 dropped:0 overruns:0 frame:0
          TX packets:7 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:76 (76.0 B)  TX bytes:100 (100.0 B)

root@user-desktop:/etc/ppp#

Шлюз по дефолту перенаправляется на ррр0, всё вроде в порядке. Пингуется гугл(8.8.8.8), резолвятся и пингуются остальные интернет ресурсы.
Но при попытке иного доступа, http, ftp, не важно получаю вот что:

Код:

root@user-desktop:/etc/ppp# wget -O- google.ru --2010-09-03 19:00:19-- http://google.ru/ Resolving google.ru... 74.125.232.18, 74.125.232.20, 74.125.232.17, ... Connecting to google.ru|74.125.232.18|:80... connected. HTTP request sent, awaiting response... 301 Moved Permanently Location: http://www.google.ru/ [following] --2010-09-03 19:00:19-- http://www.google.ru/ Resolving www.google.ru... 74.125.232.19, 74.125.232.16, 74.125.232.20, ... Reusing existing connection to google.ru:80. HTTP request sent, awaiting response... ^C root@user-desktop:/etc/ppp#

Висит без ответа...

Сколько разных комбинаций параметров в конфиге я не перепробовал.. Не пойму, в чём дело. Фаерволл не настоен; провайдеру пока не хочу звонить, так как в windows соединение работает..

Заранее спасибо.

P.S. Ubuntu 9.10
На самом деле всё очень просто...
Спасибо сказали:
Аватара пользователя
sash-kan
Администратор
Сообщения: 13939
Статус: oel ngati kameie
ОС: GNU

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение sash-kan »

попробуйте ещё уменьшить mtu.
Писать безграмотно - значит посягать на время людей, к которым мы адресуемся, а потому совершенно недопустимо в правильно организованном обществе. © Щерба Л. В., 1957
при сбоях форума см.блог
Спасибо сказали:
Аватара пользователя
VarLog
Сообщения: 311
ОС: openSUSE 12.2

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение VarLog »

sash-kan писал(а):
03.09.2010 21:59
попробуйте ещё уменьшить mtu.

Увы, не помогло.

Код:

root@user-desktop:~# ping 8.8.8.8 PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data. 64 bytes from 8.8.8.8: icmp_seq=1 ttl=55 time=49.7 ms 64 bytes from 8.8.8.8: icmp_seq=3 ttl=55 time=52.0 ms 64 bytes from 8.8.8.8: icmp_seq=4 ttl=55 time=54.9 ms 64 bytes from 8.8.8.8: icmp_seq=5 ttl=55 time=73.9 ms 64 bytes from 8.8.8.8: icmp_seq=7 ttl=55 time=82.8 ms 64 bytes from 8.8.8.8: icmp_seq=8 ttl=55 time=88.9 ms 64 bytes from 8.8.8.8: icmp_seq=9 ttl=55 time=92.0 ms 64 bytes from 8.8.8.8: icmp_seq=10 ttl=55 time=50.9 ms 64 bytes from 8.8.8.8: icmp_seq=11 ttl=55 time=61.9 ms 64 bytes from 8.8.8.8: icmp_seq=12 ttl=55 time=52.9 ms 64 bytes from 8.8.8.8: icmp_seq=13 ttl=55 time=55.9 ms 64 bytes from 8.8.8.8: icmp_seq=14 ttl=55 time=54.9 ms 64 bytes from 8.8.8.8: icmp_seq=15 ttl=55 time=49.9 ms 64 bytes from 8.8.8.8: icmp_seq=16 ttl=55 time=60.9 ms ^C --- 8.8.8.8 ping statistics --- 16 packets transmitted, 14 received, 12% packet loss, time 15016ms rtt min/avg/max/mdev = 49.714/63.003/92.005/14.460 ms root@user-desktop:~# wget -O- http://google.ru/ --2010-09-03 23:05:18-- http://google.ru/ Resolving google.ru... 74.125.232.20, 74.125.232.17, 74.125.232.18, ... Connecting to google.ru|74.125.232.20|:80... connected. HTTP request sent, awaiting response...


tcpdump:

Код:

root@user-desktop:~# tcpdump -i ppp0 -n tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on ppp0, link-type LINUX_SLL (Linux cooked), capture size 96 bytes 23:04:47.655745 IP 10.10.7.63 > 8.8.8.8: ICMP echo request, id 24839, seq 9, length 64 23:04:47.747716 IP 8.8.8.8 > 10.10.7.63: ICMP echo reply, id 24839, seq 9, length 64 23:04:48.656750 IP 10.10.7.63 > 8.8.8.8: ICMP echo request, id 24839, seq 10, length 64 23:04:48.707730 IP 8.8.8.8 > 10.10.7.63: ICMP echo reply, id 24839, seq 10, length 64 23:04:49.657823 IP 10.10.7.63 > 8.8.8.8: ICMP echo request, id 24839, seq 11, length 64 23:04:49.719720 IP 8.8.8.8 > 10.10.7.63: ICMP echo reply, id 24839, seq 11, length 64 23:04:50.658802 IP 10.10.7.63 > 8.8.8.8: ICMP echo request, id 24839, seq 12, length 64 23:04:50.711719 IP 8.8.8.8 > 10.10.7.63: ICMP echo reply, id 24839, seq 12, length 64 23:04:51.659795 IP 10.10.7.63 > 8.8.8.8: ICMP echo request, id 24839, seq 13, length 64 23:04:51.715719 IP 8.8.8.8 > 10.10.7.63: ICMP echo reply, id 24839, seq 13, length 64 23:04:52.660809 IP 10.10.7.63 > 8.8.8.8: ICMP echo request, id 24839, seq 14, length 64 23:04:52.715720 IP 8.8.8.8 > 10.10.7.63: ICMP echo reply, id 24839, seq 14, length 64 23:04:53.661810 IP 10.10.7.63 > 8.8.8.8: ICMP echo request, id 24839, seq 15, length 64 23:04:53.711717 IP 8.8.8.8 > 10.10.7.63: ICMP echo reply, id 24839, seq 15, length 64 23:04:54.662811 IP 10.10.7.63 > 8.8.8.8: ICMP echo request, id 24839, seq 16, length 64 23:04:54.723714 IP 8.8.8.8 > 10.10.7.63: ICMP echo reply, id 24839, seq 16, length 64 23:05:18.134476 IP 10.10.7.63.48293 > 195.112.96.34.53: 41230+ AAAA? google.ru. (27) 23:05:18.143713 IP 195.112.96.34.53 > 10.10.7.63.48293: 41230 0/1/0 (87) 23:05:18.143816 IP 10.10.7.63.40502 > 195.112.96.34.53: 12187+ AAAA? google.ru.GATEWAY. (35) 23:05:18.166653 IP 195.112.96.34.53 > 10.10.7.63.40502: 12187 NXDomain 0/1/0 (110) 23:05:18.166856 IP 10.10.7.63.56335 > 195.112.96.34.53: 65091+ A? google.ru. (27) 23:05:18.239734 IP 195.112.96.34.53 > 10.10.7.63.56335: 65091 5/4/4 A 74.125.232.20,[|domain] 23:05:18.240250 IP 10.10.7.63.50263 > 74.125.232.20.80: Flags [S], seq 4015615216, win 1888, options [mss 472,sackOK,TS val 29406 ecr 0,nop,wscale 5], length 0 23:05:18.263741 IP 74.125.232.20.80 > 10.10.7.63.50263: Flags [S.], seq 4048536518, ack 4015615217, win 5792, options [mss 1460,sackOK,TS val 1288480397 ecr 29406,nop,wscale 6], length 0 23:05:18.263801 IP 10.10.7.63.50263 > 74.125.232.20.80: Flags [.], ack 1, win 59, options [nop,nop,TS val 29412 ecr 1288480397], length 0 23:05:18.263927 IP 10.10.7.63.50263 > 74.125.232.20.80: Flags [P.], seq 1:98, ack 1, win 59, options [nop,nop,TS val 29412 ecr 1288480397], length 97 23:05:18.307729 IP 74.125.232.20.80 > 10.10.7.63.50263: Flags [.], ack 98, win 91, options [nop,nop,TS val 1288480443 ecr 29412], length 0 23:05:18.383730 IP 74.125.232.20.80 > 10.10.7.63.50263: Flags [P.], seq 461:534, ack 98, win 91, options [nop,nop,TS val 1288480494 ecr 29412], length 73 23:05:18.383765 IP 10.10.7.63.50263 > 74.125.232.20.80: Flags [.], ack 1, win 59, options [nop,nop,TS val 29442 ecr 1288480443,nop,nop,sack 1 {461:534}], length 0


...
На самом деле всё очень просто...
Спасибо сказали:
Ism
Сообщения: 1261
Статус: Никто, по сути быдло

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение Ism »

Вырубите файрвол.
Спасибо сказали:
Аватара пользователя
VarLog
Сообщения: 311
ОС: openSUSE 12.2

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение VarLog »

Ism писал(а):
04.09.2010 00:36
Вырубите файрвол.

Выключен:

Код: Выделить всё

root@user-desktop:~# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
root@user-desktop:~# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
root@user-desktop:~# iptables -t nat -L -n
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
root@user-desktop:~# iptables -t mangle -L -n
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
root@user-desktop:~#
На самом деле всё очень просто...
Спасибо сказали:
Ism
Сообщения: 1261
Статус: Никто, по сути быдло

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение Ism »

Тогда остается трассировщик пакетов Wireshark.org
Спасибо сказали:
Аватара пользователя
sash-kan
Администратор
Сообщения: 13939
Статус: oel ngati kameie
ОС: GNU

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение sash-kan »

VarLog
с понятием path mtu discovery знакомы? нет? загляните в соседние темы. в эту, например: http://unixforum.org/index.php?act=findpost&pid=1090380
Писать безграмотно - значит посягать на время людей, к которым мы адресуемся, а потому совершенно недопустимо в правильно организованном обществе. © Щерба Л. В., 1957
при сбоях форума см.блог
Спасибо сказали:
Аватара пользователя
VarLog
Сообщения: 311
ОС: openSUSE 12.2

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение VarLog »

sash-kan писал(а):
04.09.2010 14:05
VarLog
с понятием path mtu discovery знакомы? нет? загляните в соседние темы. в эту, например: http://unixforum.org/index.php?act=findpost&pid=1090380

Спасибо огромное! Заработало после добавления правила в фаервол и правки в таблице маршрутаризации. Моя вина: невнимательно прочёл страницу на wiki про MTU, там упомянута эта проблема.

Всем спасибо.
На самом деле всё очень просто...
Спасибо сказали:
Аватара пользователя
VarLog
Сообщения: 311
ОС: openSUSE 12.2

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение VarLog »

Коннект есть, но скорость маленькая ужасно. Игрался со значениями mtu, не помогает..

Субъективно, создаётся впечатление, что передача данных "подвисает" при перерыве между приёмом разных пакетов. Чем и что проверять?.. На что смотреть wireshark_ом?..
На самом деле всё очень просто...
Спасибо сказали:
Ism
Сообщения: 1261
Статус: Никто, по сути быдло

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение Ism »

При соединении в Windows все нормально ?

Может шифрование включено, процессор не загружен ?

В wireshark посмотрите, много ли пересланных повторно пакетов , кажется отмечаются черным.
Спасибо сказали:
Аватара пользователя
VarLog
Сообщения: 311
ОС: openSUSE 12.2

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение VarLog »

В Windows всё нормально, как и должно быть. Шифрование отключено на vpn сервере и, следовательно, на клиенте тоже.
Wireshark_ом гляну чуть позже..
На самом деле всё очень просто...
Спасибо сказали:
Аватара пользователя
VarLog
Сообщения: 311
ОС: openSUSE 12.2

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение VarLog »

Ism писал(а):
05.09.2010 13:15
В wireshark посмотрите, много ли пересланных повторно пакетов , кажется отмечаются черным.

"Чёрных" пакетов, на мой взгляд, достаточно много. При скачке чего-либо их примерно половина от общего количества пакетов. Вот только что это означает и как с этим бороться?..

Прикрепляю дамп wireshark, а котором запечатлён `wget google.ru`.
У вас нет необходимых прав для просмотра вложений в этом сообщении.
На самом деле всё очень просто...
Спасибо сказали:
Ism
Сообщения: 1261
Статус: Никто, по сути быдло

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение Ism »

Возможно нужно настроить маршрутизацию (пакеты не по тому пути ходят , сравните с в виндовскими)

или поиграться с параметрами vpn клиента.

если у вас kde4 попробуйте соединиться через gui утилиту knetworkmanager-pptp

также почему у вас исходящий адрес локальный 10.0.0.0 ? должен быть интернетовский по крайней мере для интерфейса ppp0
Спасибо сказали:
Аватара пользователя
sash-kan
Администратор
Сообщения: 13939
Статус: oel ngati kameie
ОС: GNU

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение sash-kan »

VarLog
размер tcp window пробовали насильно уменьшить? в том же посте, который я выше упомянул, есть ссылка на мой блог, где можно подсмотреть команду изменения размера tcp window для конкретного маршрута (в частности, дефолтного).
Писать безграмотно - значит посягать на время людей, к которым мы адресуемся, а потому совершенно недопустимо в правильно организованном обществе. © Щерба Л. В., 1957
при сбоях форума см.блог
Спасибо сказали:
Аватара пользователя
VarLog
Сообщения: 311
ОС: openSUSE 12.2

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение VarLog »

sash-kan писал(а):
06.09.2010 17:29
VarLog
размер tcp window пробовали насильно уменьшить? в том же посте, который я выше упомянул, есть ссылка на мой блог, где можно подсмотреть команду изменения размера tcp window для конкретного маршрута (в частности, дефолтного).

Да, пробовал уменьшать, игрался, но закономерности не заметил. Скорость то поднимается до 40-43 кбайт/с (в windows по тарифу - 64кб/с), то опять падает до 3-6 кбайт/с. Как-нибудь можно высчитать оптимальное значение?..
На самом деле всё очень просто...
Спасибо сказали:
Аватара пользователя
sash-kan
Администратор
Сообщения: 13939
Статус: oel ngati kameie
ОС: GNU

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение sash-kan »

VarLog писал(а):
06.09.2010 21:15
Как-нибудь можно высчитать оптимальное значение?
нету оптимальных значений в «грязных хаках». это ведь чистой воды грубое насилие над протоколом tcp.
что могу порекомендовать — записать с помощью tcpdump/tshark какой-нибудь ярко выраженный момент, в котором видны множественные перепосылки пакетов из-за отстутсвия ответов с той стороны. и послать этот дамп техподдержке провайдера.
в идеале, конечно, хорошо было бы, чтоб вы одновременно с провайдером дамп делали. и из сравнения дампов можно будет хотя бы прикинуть, где же и в чём, собственно, происходят накладки.
Писать безграмотно - значит посягать на время людей, к которым мы адресуемся, а потому совершенно недопустимо в правильно организованном обществе. © Щерба Л. В., 1957
при сбоях форума см.блог
Спасибо сказали:
Ism
Сообщения: 1261
Статус: Никто, по сути быдло

Re: [Решено не до конца] Настройка VPN-клиента

Сообщение Ism »

Единственный путь решения тут видится, это сравнить процессы соединения в винде а в линуксе, наверняка причина в одной из настроек или в маршруте
Спасибо сказали: