Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?
Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » SoftEther Multi-Protocol VPN Server

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42

Открыть новую тему     Написать ответ в эту тему

vlary



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Смежная тема в разделе "Программы"

SoftEther Multi-Protocol VPN Server


SoftEther - это серверное и клиентское программное обеспечение для создания VPN подключений, академический проект, разработанный в University of Tsukuba, Япония.
Весь софт бесплатен для личного или коммерческого использования, с 4 января 2014 года является open source.  
Поддерживаемые платформы
Сервер:   Windows, Linux, Mac OS X, FreeBSD, Solaris
Клиенты: Windows, Linux, Mac, Android, iPhone, iPad, Windows Phone  
Поддержка встроенных VPN клиентов: Windows (L2TP, SSTP), Mac, Android, iOS (L2TP)
Поддерживаемые протоколы
OpenVPN, L2TP/IPSec, L2TPv3, EtherIP, SSTP,  SSL-VPN over HTTPS
Типы VPN подключений .
Ad-hoc VPN, LAN to LAN Bridge, Remote Access to LAN, поддержка Cloud

Полезные ссылки по теме
Мануал по SoftEther на русском
Статья на Хабре
Установка и настройка Softether VPN на Debian
Объединяем сети при помощи SoftEther VPN
Softether on VPS Using Local Bridge
Для виндузятников, привыкших все настраивать мышкой, это вообще подарок судьбы. Имеется программа управления сервером, которую можно запустить после установки сервера. Также можно вручную редактировать конфигурационный файл. Поднять рабочий L2TP/IPSec сервер заняло 15 минут.
Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 21:00 08-02-2014 | Исправлено: igor me v2, 00:55 09-12-2021
1karavan1

Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
vlary
Да, с предложением скринов я погорячился )
Насчет версии андроида, я тесты провожу на AOSP 5.1 64-bit (неродной кастом)
Всего записей: 382 | Зарегистр. 20-11-2015 | Отправлено: 01:16 04-05-2016 | Исправлено: 1karavan1, 01:18 04-05-2016
1karavan1

Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
там в настройках имеется опция добавить push route вида ip/mask/gateway

Сегодня попробовал. С одной стороны, удобно, избавил клиента от ярлыков вида 1c_vpn, все свел к использованию ярлыков 1c_local, shared_local.
Но. Некоторый момент меня смущает.
Когда мы используем SecureNAT и отказываемся от использования бриджа?
Когда необходимо обеспечить доступ исключительно к серверу vpn без предоставления доступа ко всем участникам сети local.
Я был удивлен, что при активном SecureNAT ipconfig молчит об этом интефейсе, т.е. вся инфа об адресах и маршрутах vpn только в ядре Softether, отсюда и проблемы подключения к любому сервису сервера по адресу SecureNAT.
Да, выручает push route.
Я использовал такой: 192.168.100.100/255.255.255.255/10.12.12.1
Но, кто запрещает пользователю vpn добавить в свою таблицу маршрутов строчку вида 192.168.100.0/255.255.255.0/10.12.12.1 ?
Далее спокойно анализировать весь LAN.
Т.е., в случае когда клиенты vpn недоверенные, вижу необходимость использования на сервере фейкового интерфейса (ЕМНИП называется "петлевое сетевое соединение"), а на него уже вешать либо бридж, либо маршрут кидать.
 
P.S.: Палка о двух концах... Если разрабы ориентировались на предоставление NAT через канал vpn без доступа к серверу, то тогда все сделано правильно. Нет необходимости организовывать защиту сервера, все работает из коробки.
Всего записей: 382 | Зарегистр. 20-11-2015 | Отправлено: 14:19 04-05-2016 | Исправлено: 1karavan1, 14:50 04-05-2016
vlary



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
1karavan1
Цитата:
Я был удивлен, что при активном SecureNAT ipconfig молчит об этом интефейсе
И это правильно, ибо SecureNAT работает в пользовательском режиме,
а не в режиме ядра. Соответственно не требует административных привилегий.
Тут он больше похож не на NAT, а на  Socks Proxy.
Но работающие совершенно прозрачно.
Цитата:
Но, кто запрещает пользователю vpn добавить в свою таблицу маршрутов
Но и администратору сервера никто не мешает настроить соответствующие фильтры и политики.
Цитата:
Deny Routing Operation policy    Description:
Denies IP routing in sessions for which this policy is set. Communication is not possible even if an IP router is operating on the user's client side.
Ссылка
 


----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек
Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 14:54 04-05-2016
1karavan1

Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Согласен, т.к. документацию в полном объеме не осилил, то пришлось выдумать велосипед с фейковым интерфейсом, который для бриджа еще потребовал бы развертывание своего dhcpd, или использовать статические адреса.
Всего записей: 382 | Зарегистр. 20-11-2015 | Отправлено: 15:48 04-05-2016 | Исправлено: 1karavan1, 16:00 04-05-2016
RB2

Junior Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
vlary

Цитата:
добавить push route вида ip/mask/gateway, их можно добавить несколько штук.  

спасибо

Цитата:
Цепляется по локальному адресу сервера 10.10.х.х  (чего нет в случае бриджа)

это фича https://www.softether.org/4-docs/1-manual/3._SoftEther_VPN_Server_Manual/3.6_Local_Bridges#3.6.11_Points_to_Note_when_Local_Bridging_in_Linux.2C_FreeBSD.2C_Solaris_or_Mac_OS_X
Цитата:
3.6 Limitations within the Linux or UNIX operating system prevent communication with IP addresses assigned to the network adapter locally bridged from the VPN side (Virtual Hub side). The cause of this restriction lies with OS's internal kernel codes rather than with the SoftEther VPN.


Цитата:
4.0 ( Ice Cream Sandwich) это врожденный баг.  

если вам не помогла замена бинарного файла ipsec - найдите tun.ko модуль для вашего телефона и подключайтесть по openvpn.
1karavan1

Цитата:
Я был удивлен, что при активном SecureNAT ipconfig молчит об этом интефейсе

softether через сокет передает все свои данные, без создания интерфейса

Цитата:
Я использовал такой: 192.168.100.100/255.255.255.255/10.12.12.1  

спасибо, только сейчас понял, что нужно route push (split tunnel) сделать.

Цитата:
строчку вида 192.168.100.0/255.255.255.0/10.12.12.1  

пояснение, чтобы другие не гадали:
192.168.100.0 адрес локальной сети в которую включен сервер
255.255.255.0 маска сети
10.12.12.1 адрес виртуального интерфейса securenat

Цитата:
Т.е., в случае когда клиенты vpn недоверенные, вижу необходимость использования на сервере фейкового интерфейса

в расширенных настройках можно запретить доступ в локальную сеть, только не помню где именно это видел.

Цитата:
Если разрабы ориентировались на предоставление NAT через канал vpn без доступа к серверу, то тогда все сделано правильно.

именно для этого - чтобы можно было без административных полномочий получить vpn доступ
https://www.softether.org/4-docs/1-manual/A._Examples_of_Building_VPN_Networks/10.B_Exploit_SecureNAT_for_Remote_Access_into_Firewall_without_Any_Permission
у них даже vpn azure есть для этого.

Цитата:
то пришлось выдумать велосипед с фейковым интерфейсом, который для бриджа еще потребовал бы развертывание своего dhcpd, или использовать статические адреса

на sofether форуме пишут, что dhcpd + интерфейс быстрее, чем securenat
Всего записей: 32 | Зарегистр. 30-06-2011 | Отправлено: 04:02 09-05-2016
MAK123



Junior Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Подскажите, что делаю не так. Нужен был внешний доступ по нескольким портам (rdp и т.п.) к машине в локальной стети (только к ней и только когда она включена, на машине Windows 10 Pro). На ней развернул Server, прописал пользователя. На внешней установил клиент. Связь устанавливается, машина с server'ом не отвечает.  
Добавил VirtualNAT - вижу с внешней машины всю внутреннюю сеть (пингуются, заходит по rdp и т.д.), машина с сервером отвечает на пинг по адресу рутера, прописанному в VirtualNAT, остальные порты глухо закрыты (пробовал на ней полностью отклюать firewall, т.к. грешил на него - бесполезно), по адресу из локальной сети она не отвечает.
Может, кто уже сталкивался с подобным?
Всего записей: 38 | Зарегистр. 06-02-2003 | Отправлено: 23:44 12-05-2016
igor me v2

BANNED		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
по адресу рутера, прописанному в VirtualNAT

То есть по адресу виртуального интерфейса? Работать надо по РЕАЛЬНОМУ IP локальной сети... Если я правильно понял вопрос.
Всего записей: 7213 | Зарегистр. 27-03-2016 | Отправлено: 00:27 13-05-2016
MAK123



Junior Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Не отвечает машина, на которой находится сервер, по IP из локальной сети. Остальные в локалке отвечают, а вот она нет. Вот в чём проблема
Всего записей: 38 | Зарегистр. 06-02-2003 | Отправлено: 07:43 13-05-2016 | Исправлено: MAK123, 07:44 13-05-2016
vlary



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
MAK123
 Странно. Такое поведение характерно для серверов на линуксе,
и то при использовании.  SecureNAT.  к серверу можно подключиться
Может на десятке пока что-то недокручено?
Попробуй для сравнения поднять мервер на другой винде.
И еще попробуй через реестр разрешить на винде маршрутизацию.

----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек
Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 08:37 13-05-2016
RB2

Junior Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
MAK123
компьютер, на котором запущен softether сервер подключен проводом или по wifi?  
если проводом - используйте local bridge вместо securenat
 
напишите  
диапазон в котором dchp реальной локальной сети выдаёт адреса и маску реальной локальной сети
диапазон в котором dchp securenat выдает адреса
ip адрес виртуального интерфейса в настройках securenat
ip адрес шлюза в настройках securenat
маршрут, который вы передаёте клиентам через route push в настройках secure nat
 
компьютер, на котором запущен softether сервер отвечает на пинг через vpn по ip его реальной сетевой карты?
 
на компьютере есть другие dhcp серверы кроме dhcp securenat?
компьютер подключен несколькими интерфейсами в реальную локальную сеть?
Всего записей: 32 | Зарегистр. 30-06-2011 | Отправлено: 03:01 14-05-2016
MAK123



Junior Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Всем спасибо за помощ.
Разобрался. Всему виной был поднятый switch для hyper-v на машине с сервером (там, временами, нужно кое-что на виртуалках гонять). Убрал switch - машина стала пинговаться из VPN клиента по внутреннему адресу. Дальше проблему уже с настройкой Hyper-V буду решать.
Всего записей: 38 | Зарегистр. 06-02-2003 | Отправлено: 21:31 15-05-2016
b7music



Advanced Member		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Добрый день! Поставил софт, настроил подключение, подключаюсь встроенными средствами ОС. ip адрес выдает в диапазоне 192.168.0.x т.е. в том же где и стоит сам сервер. Необходимо настроить локальную сеть между офисами. Сейчас если подключаюсь, то идет конфликт адресов, 2 адаптера с основным шлюзом 192.168.0.1
 
И соответственно в интернет идет доступ через vpn.  
Мне надо чтобы через vpn были доступны только локальные ресурсы.
Помогите.
 
Выставил такие настройки
http://i78.fastpic.ru/big/2016/0516/50/17afd66b847fb22f009460aad58ad950.jpg
В итоге сеть не опознана, адрес шлюза пустой.
 
Добавлено:
Выставил такие настройки
http://i78.fastpic.ru/big/2016/0516/50/17afd66b847fb22f009460aad58ad950.jpg
В итоге сеть не опознана, адрес шлюза пустой.
Всего записей: 684 | Зарегистр. 04-03-2010 | Отправлено: 13:33 16-05-2016 | Исправлено: b7music, 14:59 16-05-2016
vlary



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
b7music
Для объединения сетей необходимо проделать определенную предварительную работу.
Во-первых, определиться с типом объединения,  L2 или L3.
В первом случае необходимо озаботиться, чтобы в общей сети адреса были уникальными.
Не может быть в  сети 192.168.1.0 двух ПК с адресами 192.168.1.10.
Во втором случае адреса сетей должны быть уникальны.
Ты не сможешь связать в одну виртуальную сеть  L3 три сети 192.168.1.0/24.
Ну и велком на офсайт, там оба варианта хорошо описаны, даже с картинками.
 

----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек
Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 15:11 16-05-2016
vlary



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
b7music
Цитата:
Т.е. для того чтобы объединить допустим 4 сети
2 сети типа 192.168.1.0/24
и
2 сети типа 192.168.0.0/24
мне не подойдет l3?  
Тебе вполне  подойдет. Только одну из сетей  192.168.1.0/24
придется сделать 192.168.3.0/24
а одну из  192.168.0.0/24 -  192.168.2.0/24. Но это не больно и бесплатно, за  
адреса в серых сетях пока никто денег не берет.
И настроить необходимую маршрутизацию в локалках.
Если сервер или бридж не является там дефолт шлюзом.

----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек
Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 20:16 16-05-2016
b7music



Advanced Member		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
vlary
Изменить диапазон dhcp не проблема, для меня проблема как правильно настроить маршрутизацию всего этого.
Хм. Допустим,  
есть сети
а) 192.168.0.1
б) 192.168.1.1
в) 192.168.2.1
г) в 192.168.3.1
На сервере 1 физический интерейфс ethernet и стоит статический ip адрес 192.168.0.150. В этой же сети другим устройствам адреса назначает роутер по dhcp.
Конфигурация security nat такая:
 
http://i79.fastpic.ru/big/2016/0517/99/8c443db9547f9a6ec6dfc059caa74b99.jpg
Что указать в virtual layer switch 3?
И соответственно в маршрутах
http://i80.fastpic.ru/big/2016/0517/e7/1d246daf3f8cedc2f816d6a72726abe7.jpg
Спасибо за помощь!
 
Исходя из мануала, должно получиться что-то типа этого?
http://i80.fastpic.ru/big/2016/0517/ab/77f3ada37ef239967c9bab709ccbb3ab.jpg
Всего записей: 684 | Зарегистр. 04-03-2010 | Отправлено: 06:31 17-05-2016 | Исправлено: b7music, 10:04 17-05-2016
vlary



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
b7music
Вот как раз твоя схема (на 3 сети, четвертую и т.д. сам добавишь):
10.6 Build a LAN-to-LAN VPN (Using L3 IP Routing)

----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек
Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 13:07 17-05-2016
b7music



Advanced Member		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
vlary
Спасибо. Как раз сижу изучаю.
т.е. в virtual interface я указываю например одну сеть вида 192.168.0.254
затем в routing table для всех остальных (1,2, и т.д.) указываю маску 255.255.255.255 и шлюз 192.168.0.254?
 
 
Запутался. http://www.softether.org/4-docs/1-manual/3._SoftEther_VPN_Server_Manual/3.8_Virtual_Layer_3_Switches на этой странице он в качестве шлюза указывает как я понял адрес роутера внутренней сети, http://www.softether.org/4-docs/1-manual/A._Examples_of_Building_VPN_Networks/10.6_Build_a_LAN-to-LAN_VPN_(Using_L3_IP_Routing) здесь пишет что надо указать  use the gateway 192.168.1.254.
 
 
Добавлено:
Вот на этом моменте я запутался.
http://i77.fastpic.ru/big/2016/0517/06/6d4bd704d5de45b91dd428b9023d5206.jpg
Всего записей: 684 | Зарегистр. 04-03-2010 | Отправлено: 14:08 17-05-2016
vlary



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
b7music
Цитата:
указываю маску 255.255.255.255
Ну только не 255.255.255.255
Виртуальные хабы и свитч там же, где стоит сервер, а бриджи в филиалах.
На виртуальных хабах адреса 192.168.1.254, 192.168.2.254, 192.168.3.254 соответственно,
т.е. из пространства тех сетей, которые подключаются.
На схеме они стоят в Токио, где сеть 192.168.1.0/24.

----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек
Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 14:16 17-05-2016 | Исправлено: vlary, 14:25 17-05-2016
b7music



Advanced Member		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
vlary
Похоже понял где запутался, в virtual interface надо  указать сеть 192.168.0.254
 
а в routing table
network 192.168.1.0 mask 255.255.255.0 и gateway 192.168.1.1
 
http://i80.fastpic.ru/big/2016/0517/ae/6c3825b890b7d00f6182ec5088ddb4ae.jpg вроде правильно сделал
 
не понятно только, почему у них на скриншоте для сети 192.168.10.0 указан шлюз 192.168.3.1
Всего записей: 684 | Зарегистр. 04-03-2010 | Отправлено: 14:29 17-05-2016 | Исправлено: b7music, 14:31 17-05-2016
vlary



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
b7music
Цитата:
не понятно только, почему у них на скриншоте для сети 192.168.10.0 указан шлюз 192.168.3.1
У меня такое впечатление, что пункты этой главы писали разные люди,
и имели в голове разные примеры. В частности, пример 3.8.5 не имеет вообще
отношения к схеме с тремя сетями, а описание 3.8.2 - имеет.
Имея в виду данную схему, нужно на сервере Токио создать 3 виртуальных хаба,
добавить virtual layer 3 switch, создать на нем 3 интерфейса, указав соответствующие хабы,
присвоить им адреса  192.168.1.254,  192.168.2.254,  192.168.3.254
Если за сетью 192.168.3.0 имеется еще сеть 192.168.10.0, куда мы хотим
добраться, и она за роутером 192.168.3.1,
в таблице маршрутов виртуального свича добавляем:
 192.168.10.0 255.255.255.0 192.168.3.1
Для наших трех сетей туда маршрутов добавлять не надо.
Соответственно виртуальный хаб Tokyo на сервере в Токио и хабы бриджей
в Осаке и Цукубе объединены с локальными эзернет интерфейсами.  
Если они все являются default gateway в своих сетях,
тоже ничего прописывать не надо. В противном случае.
На default gateway в Tokyo добавляем путь к 192.168.2.0/24 (Osaka) и 192.168.3.0/24
 (Tsukuba) через шлюз 192.168.1.254.
На default gateway в Osaka добавляем путь к 192.168.1.0/24 (Tokyo) и 192.168.3.0/24
 (Tsukuba) через 192.168.2.254.
На default gateway в Tsukuba добавляем путь к 192.168.1.0/24 (Tokyo) и 192.168.2.0/24
 (Osaka) через 192.168.3.254.

----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек
Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 16:06 17-05-2016 | Исправлено: vlary, 16:09 17-05-2016
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » SoftEther Multi-Protocol VPN Server


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru