From: SpheriX <spherix@koguhovo.net.>
Newsgroups: email
Date: Mon, 26 Jul 2006 14:31:37 +0000 (UTC)
Subject: Интеграция VPN на базе mpd в Active Directory.
Я писал совет http://www.opennet.ru/tips/info/1058.shtml
Теперь делюсь конфигами.
Собственно, на истинность и пряморукость не претендую, посему мнения и
комментарии гуру будут очень важны и будут учтены в последующих
редакциях хауту, но... как начальное и _рабочее_ решение для новичков
подойдет. Возможно, коллективно сделаем полный мануал по теме.
Кто-то скажет, что я бью микроскопом по гвоздям... Возможно ;)
Напишите с конфигами как сделать лучше ;)
Дано:
- Домен на Windows2003, настроен керберос, шлюз на фряхе.
- Ядро собрано с поддержкой mppe, mppc и тунелей.
- Установлен mpd.
Надо заставить mpd авторизоваться в домене, причем используя керберос
(таково ТЗ).
#И создать группу VPN-Allowed, в которую включать пользователей,
# которые должны иметь #доступ по ВПН. В моем случае доступ извне должны
# иметь почти все сотрудники, поэтому
#--require-membership-of я не использовал.
}
preprocess {
huntgroups = ${confdir}/huntgroups
hints = ${confdir}/hints
with_ascend_hack = no
ascend_channels_per_line = 23
with_ntdomain_hack = no
with_specialix_jetstream_hack = no
with_cisco_vsa_hack = no
}
pptp0:
new -i ng00 pptp0 pptp0
set ipcp ranges 192.168.0.160/32 192.168.0.170/32
load pptp_standart
pptp1:
new -i ng01 pptp1 pptp1
set ipcp ranges 192.168.0.160/32 192.168.0.171/32
load pptp_standart
pptp_standart:
set iface disable on-demand
set bundle enable multilink
set link yes acfcomp protocomp
#Req chap
set link no pap chap
set link enable chap
set link keep-alive 60 180
set ipcp yes vjcomp
set ipcp dns 192.168.0.2 #IP dns
set ipcp nbns 192.168.0.2 #IP wins
set iface enable proxy-arp
set bundle enable compression
set ccp yes mppc
set ccp yes mpp-e40
set ccp yes mpp-e56
set ccp yes mpp-e128
set ccp yes mpp-stateless
set bundle yes crypt-reqd
set pptp self <ip, на котором должен висеть mpd>
set pptp enable incoming
set pptp disable originate
set iface mtu 1500
set link mtu 1500
# set iface mtu 1460
# set link mtu 1460
#Если воникают проблемы с линком с клиентом, то надо играться с mtu.
#Для начала можно #поставить 1400
set radius server 127.0.0.1 password-changeme 1812 1813
set radius timeout 10
set radius config /etc/radius.conf
set radius retries 3
#set bundle enable radius-acct
set bundle enable radius-auth
set ipcp yes radius-ip
Для тех, кто ни разу еще не настраивал mpd:
pptp1: #Строка в конфиге начинается без отступа.
new -i ng01 pptp1 pptp1 #В начале строки стоит знак табуляции.
set ipcp ranges 192.168.0.160/32 192.168.0.171/32 #Тоже табуляция.
Если использовать пробелы, то конфиг будет криво разбираться.
В файле mpd.links
pptp0:
set link type pptp
pptp1:
set link type pptp
mpd.secret пустой
/var/db/samba/winbindd_privileged
Проверить права радиуса на pipe. При необходимости поправить их.
Отладка:
mpd без параметров, подключаемся с виндовой машины.
Vova
