Keskustelu: Yleinen keskustelu: Portin ohjaus Linux VPS:n kautta Windows-koneelle

Mietiskelin tuossa että olisi hyödyllistä päässä mm. etätyöpöytäyhteydellä omaan Windows koneeseen verkon yli kiinni, ja käytössä olisi nyt virtuaalipalvelin Debian Lenny Minimal 64 Bit käyttöjärjestelmällä. Normaali etätyöpöytäyhteys ei toimi, koska internet yhteyteni ei sisällä omaa julkista IP:tä. TeamViewerillähän tämä onnistuisi, mutta haluaisin että voisi käyttää kaikenlaisia serveri ohjelmia myös.

Itsellä ei viellä paljoa Linux kokemusta ole kertynyt, niin minkähänlaisia ohjelmia tähän tarvitsisi. Eli käytännössä pitäisi toimia silleen, että avatessa jostain windowsista etätyöpöytäyhteyden, niin kirjoitan siihen IP:ksi VPS:n osoitteen ja yhdistän, niin se yhdistää aluksi Linux VPS:ään, joka sit kommunikoi toisen Windows koneen kanssa joka on kiinteässä yhteydessä tähän Linux VPS:ään.

Itselle se siis näkyisi normaali etätyöpöytäyhteyden muodostamisena suoraa toiseen windows koneesen. Olisikohan tähän sitten jotain ohjelmia olemassa, vai meneekö liian hankalaksi.

Pystytä Linuxiin VPN-palvelin (esimerkiksi OpenVPN), yhdistä siihen Windows-koneelta ja säädä sitten Linuxiin porttiohjaus (port forwarding) ja NAT.

Esimerkiksi omassa vastaavassa kokeilussani käytin tällaisia iptables-sääntöjä:

# Ohjataan porttiin 1234 saapuvat yhteydet palvelimelle 10.1.0.10
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 1234 -j DNAT --to 10.1.0.10

# Laitetaan NAT käyttöön molempiin suuntiin.
iptables -t nat -A POSTROUTING -s 10.1.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING ! -s 10.1.0.0/24 -o tap0 -j MASQUERADE

Lisäksi täytyy sallia pakettien välitys asettamalla FORWARD-ketjuun sopiva ACCEPT-politiikka ja sysctl-työkalulla net.ipv4.ip_forward käyttöön.

Jees kiitti, pitääpä koittaa saada tuota pelittämään tuossa illemmalla. Tosiaan VPN tuntuu iha hyvältä ratkaisulta tuohon.

Joono tyssäis toistaiseksi siihen tuo asennus kun tulee OpenVPN:n käynnistyessä Fail ja lokiin tallentuu:

Mar 14 18:22:14 vs2776 ovpn-server[29626]: OpenVPN 2.1.0 x86_64-pc-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [MH] [PF_INET6] [eurephia] built on Jul 20 2010
Mar 14 18:22:14 vs2776 ovpn-server[29626]: NOTE: when bridging your LAN adapter with the TAP adapter, note that the new bridge adapter will often take on its own IP address that is different from what the LAN adapter was previously set to
Mar 14 18:22:14 vs2776 ovpn-server[29626]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Mar 14 18:22:14 vs2776 ovpn-server[29626]: Diffie-Hellman initialized with 1024 bit key
Mar 14 18:22:14 vs2776 ovpn-server[29626]: /usr/bin/openssl-vulnkey -q -b 1024 -m <modulus omitted>
Mar 14 18:22:14 vs2776 ovpn-server[29626]: Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
Mar 14 18:22:14 vs2776 ovpn-server[29626]: Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Mar 14 18:22:14 vs2776 ovpn-server[29626]: Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Mar 14 18:22:14 vs2776 ovpn-server[29626]: TLS-Auth MTU parms [ L:1574 D:166 EF:66 EB:0 ET:0 EL:0 ]
Mar 14 18:22:14 vs2776 ovpn-server[29626]: Note: Cannot open TUN/TAP dev /dev/net/tun: No such file or directory (errno=2)
Mar 14 18:22:14 vs2776 ovpn-server[29626]: Note: Attempting fallback to kernel 2.2 TUN/TAP interface
Mar 14 18:22:14 vs2776 ovpn-server[29626]: Cannot allocate TUN/TAP dev dynamically
Mar 14 18:22:14 vs2776 ovpn-server[29626]: Exiting

Käyttiksenä testasin Lenny Minimalia ja Ubuntu Lucidia, kummassaki sama ongelma.

Mitä tota googletteli, niin johtuu siitä että palveluntarjoaja ei sisällytä TUN/TAP moduleita kerneliin suoraa tms. Vaihtoehtoina on pyytää niitä asentaan nuo moduulit tai sit voi kai rebuildaa uudelleen kernelin tavalla että nuo siihen sisältyy.

Tuolla tavalla se ongelma aikalailla esiintyy:
http://forums.quantact.com/viewtopic.php?f=25&t­=1106

Eiköhän ne moduuleina löydy, modprobe tun.

Nuita just testaillu kanssa, niin tulee kummassakin:

FATAL: Could not load /lib/modules/3.1.2-vs2.3.2.1.build1-cti/modules.dep: No such file or directory

Oman kokemuksen perusteella SSH:n port forwardaus on varsin helppo tapa tavoittaa NAT:in takana olevia koneita.
http://www.debianadmin.com/howto-use-ssh-local-and-remote-port-forwarding.html
https://help.ubuntu.com/community/SSH/OpenSSH/PortForwarding

Käytännössä siis NAT:in takaa SSH yhteys asianmukaisin asetuksin serverille, jolloin serverin portti X:ään tulevat yhteydenotot ohjautuu suoraan NAT:in takana olevan koneen porttiin Y. Usean portin ohjaus onnistuu myös. Putty Tray on varsin toimiva SSH ohjelma windowsille.

edit: Tukee tosiaan vain sitten TCP protokollaa. UDP:nkin saa toimimaan, mutta ilmeisesti vaatii jonkin verran säätöä.

Tazca kirjoitti:

Oman kokemuksen perusteella SSH:n port forwardaus on varsin helppo tapa tavoittaa NAT:in takana olevia koneita.

Tuopas oli hyvä systeemi kyllä. Sain toimiin portin ohjauksen kuten halusin tuolla. Etätyöpöytä yhteys ei viellä jostain syystä täysin toiminut, mutta web serveri esim toimi. Vieläkun työn puttyn yhteyden saisi muutettua palvelun tapaiseksi ja käynnistyisi aina windowsin käynnistyessä. Mutta kiitti infosta.