Centos下PPTP环境部署记录

PPTP(点到点隧道协议)是一种用于让远程用户拨号连接到本地的ISP,通过因特网安全远程访问公司资源的新型技术。它能将PPP(点到点协议)帧封装成IP数据包,以便能够在基于IP的互联网上进行传输。PPTP使用TCP(传输控制协议)连接的创建,维护,与终止隧道,并使用GRE(通用路由封装)将PPP帧封装成隧道数据。被封装后的PPP帧的有效载荷可以被加密或者压缩或者同时被加密与压缩。常见的PPTP都是在路由器上配置的,不过linux下也可以实现PPTP服务器的功能。别的也不多说了,下面直接记录下Centos下部署PPTP的VPN环境过程:

1)验证PPP 用cat命令检查是否开启ppp,一般服务器都是开启的,除了特殊的VPS主机之外。 [root@bastion-IDC ~]# cat /dev/ppp cat: /dev/ppp: No such device or address cat出现上面结果,则说明ppp是开启的,可以正常的配置pptp了。

2)安装PPP [root@bastion-IDC ~]# yum -y install gcc gcc-c++ autoconf libjpeg libjpeg-devel libpng libpng-devel freetype freetype-devel libxml2 libxml2-devel zlib zlib-devel glibc glibc-devel glib2 glib2-devel bzip2 bzip2-devel ncurses ncurses-devel curl curl-devel e2fsprogs e2fsprogs-devel krb5 krb5-devel libidn libidn-devel openssl openssl-devel openldap openldap-devel nss_ldap openldap-clients openldap-servers [root@bastion-IDC ~]# yum -y install ppp iptables iptables一般情况默认都是系统装好后就已经有了,安装iptables是为了做NAT,让PPTP客户端能够通过PPTP服务器上外网。

3)安装PPTP(这里选择rpm包安装,也可以选择源码包安装) 下载地址:https://pan.baidu.com/s/1dFIGpyx 提取密码:cefm [root@bastion-IDC ~]# rpm -ivh pptpd-1.3.4-2.el6.x86_64.rpm

4)配置pptp /etc/pptpd.conf是pptpd的基本配置文件; [root@bastion-IDC ~]# vim /etc/pptpd.conf ....... option /etc/ppp/options.pptpd    //指定pptpd扩展属性配置文件options.pptpd 的位置 logwtmp debug               //开启调试模式,有关 pptpd 的信息和错误都会记录在 /var/logs/message 中,方便排错和调试 stimeout 30      //设置客户端连接 pptpd server 时的最长连接等待时间(连接超时时间),30 秒 localip 192.168.1.5       //pptp服务器端IP,可以设置为服务器上绑定的任意一个IP地址(比如这里设置内网ip) remoteip 192.168.100.101-150       //客户端成功连接VPN后获取的IP地址范围(可以和pptp服务器在同一内网段内,但是建议不要设置和PPTP服务器内网一样的网段)

[root@bastion-IDC ~]# vim /etc/ppp/options.pptpd ...... name pptpd      //pptpd server 的名称(这个很重要,在下面添加VPN账户配置里会用到) debug        //开启调试模式,相关信息同样记录在/var/logs/message中 ms-dns 8.8.8.8      //修改成为VPN用户分配的dns地址 ms-dns 8.8.4.4

5)添加vpn的帐号和密码

[root@bastion-IDC ~]# vim /etc/ppp/chap-secrets
# Secrets for authentication using CHAP
# client    server  secret          IP addresses
xqsj pptpd xqsj@123 *

解释: 一行添加一个账号,每个帐号需要添加的4个字段,分别为:用户名、服务、密码、分配的ip地址(如果IP为*,则表示随机分配,分配范围采用pptp.conf中的设置)

6)开启系统的ip路由转发功能 [root@bastion-IDC ~]# echo 1 > /proc/sys/net/ipv4/ip_forward         //临时开启,重启服务器后失效 [root@bastion-IDC ~]# vim /etc/sysctl.conf             //永久开启 ..... net.ipv4.ip_forward = 1 [root@bastion-IDC ~]# sysctl -p

7)启动服务 [root@bastion-IDC ~]# /etc/init.d/pptpd start Starting pptpd: [ OK ] [root@bastion-IDC ~]# lsof -i:1723          //PPTP服务默认端口是1723 COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME pptpd 19714 root 6u IPv4 33130051 0t0 TCP *:pptp (LISTEN)

将服务配置为开机自动启动 [root@bastion-IDC ~]# chkconfig pptpd on

8)配置iptables转发 [root@bastion-IDC ~]# iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -j SNAT --to-source 133.110.186.55   //确保客户机连上VPN后能正常上网 [root@bastion-IDC ~]# iptables -t filter -A INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT [root@bastion-IDC ~]# /etc/init.d/iptables save [root@bastion-IDC ~]# /etc/init.d/iptables restart 上面命令表示: 让192.168.100.0这个段的ip地址(即pptpd.conf配置的remoteip地址段)可以通过133.110.186.55这个公网IP访问外网。 其中133.110.186.55是pptp部署机的公网ip地址,否则拨上来的VPN用户只能访问内网。 开通pptp服务端口1723访问

9)接着就可以在客户端新建VPN(加密方式为默认)连接来测试了。(下面是win10下的操作记录)

查看客户端连接成功后的ip信息,是否正常上网等

一定要勾选上“在远程网络上使用默认网关”的选项,确保成功连接VPN后能正常上网,并且出口ip是PPTP服务器的外网ip(还有关闭客户机的防火墙)

------------------------------------------------------------------------------------------------------- VPN环境部署好,并待客户机远程连接成功后,PPTP服务器上会有虚拟网卡PPP0的信息:

[root@bastion-IDC ~]# ifconfig
........
ppp0      Link encap:Point-to-Point Protocol  
          inet addr:192.168.1.5  P-t-P:192.168.100.101  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1396  Metric:1
          RX packets:213 errors:0 dropped:0 overruns:0 frame:0
          TX packets:20 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3 
          RX bytes:25943 (25.3 KiB)  TX bytes:902 (902.0 b)

查看/var/log/messages日志,发现如果有下面报错: [root@bastion-IDC ~]# tail -f /var/log/messages ...... kernel: ppp: compressor dropped pkt

原因是因为pptp不兼容windows的客户端造成的。Windows客户端mtu值为1400以上,Linux pptp服务器默认mtu为1396。

解决办法:尝试手动配置mtu值 [root@bastion-IDC ~]# ifconfig ppp0 mtu 1400 改完后,发现确实解决了上面报错,但只是暂时性的,重启后依然会恢复到1396。

[root@bastion-IDC ~]# ifconfig
........
ppp0      Link encap:Point-to-Point Protocol  
          inet addr:192.168.1.5  P-t-P:192.168.1.101  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1400  Metric:1
          RX packets:213 errors:0 dropped:0 overruns:0 frame:0
          TX packets:20 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3 
          RX bytes:25943 (25.3 KiB)  TX bytes:902 (902.0 b)

永久解决措施: [root@bastion-IDC ~]# cat /etc/ppp/ip-up

#!/bin/bash
# This file should not be modified -- make local changes to
# /etc/ppp/ip-up.local instead

PATH=/sbin:/usr/sbin:/bin:/usr/bin
export PATH

LOGDEVICE=$6
REALDEVICE=$1

[ -f /etc/sysconfig/network-scripts/ifcfg-${LOGDEVICE} ] && /etc/sysconfig/network-scripts/ifup-post --realdevice ${REALDEVICE} ifcfg-${LOGDEVICE}

/etc/ppp/ip-up.ipv6to4 ${LOGDEVICE}

[ -x /etc/ppp/ip-up.local ] && /etc/ppp/ip-up.local "$@"

exit 0

从上面配置文件中得知pptp启动脚本中支持ip-up.local名字的脚本。 所以可以编写自动配置mtu值的脚本,启服务时会自动运行该脚本即可解决该问题。

[root@bastion-IDC ~]# cat /etc/ppp/ip-up.local
#!/bin/sh
CURRENT_MTU="`ifconfig $1 | grep -Po '(?<=MTU:)([0-9]+)'`"
FIXED_MTU="`expr $CURRENT_MTU + 4`"
ifconfig $1 mtu $FIXED_MTU
echo "Increased MTU for $1 to $FIXED_MTU (from $CURRENT_MTU) to fix MPPE Microsoft Point-to-Point bug #330973"

将脚本放置在/etc/ppp/目录中,命名为ip-up.local,最后给权限 [root@bastion-IDC ~]# chmod 755 /etc/ppp/ip-up.local

--------------------------------------------------------------------------------------------------------------------- 发现一个现象: 按照上面的部署,在客户端连接VPN成功后,可以正常上网,分配到的内网ip地址也正常。 但是连接后的出口ip并不是PPTP服务器的公网ip。

解决办法: 是因为在前面/etc/pptpd.conf文件里配置的localip填写的是PPTP本机的内网ip,这样客户机成功连接后能正常上网,但出口ip不变! 只需要将这个localip改成PPTP的外网ip地址,那么客户机成功连接后的出口ip就会变成PPTP服务器外网ip了。

-------------------------------------------------------------------------------------------------------------------- Linux下在PPTP服务器上查看VPN在线用户数: [root@bastion-IDC ~]# ifconfig | grep ppp

查看哪些用户在线: [root@bastion-IDC ~]# last | grep still | grep ppp

-------------------------------------------------------------------------------------------------------------------- 有一个问题: 如果上面将/etc/pptpd.conf文件中的remoteip设置成和PPTP服务器内网在同一网段, 比如:PPTP服务器内网ip为192.168.1.5,外网ip为133.110.186.55,设置如下: [root@bastion-IDC ~]# vim /etc/pptpd.conf ..... localip 133.110.186.55 remoteip 192.168.100.101-150

防火墙规则如上设置: 配置iptables转发 [root@bastion-IDC ~]# iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -j SNAT --to-source 133.110.186.55 [root@bastion-IDC ~]# iptables -t filter -A INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT [root@bastion-IDC ~]# /etc/init.d/iptables save [root@bastion-IDC ~]# /etc/init.d/iptables restart

如上设置后,客户端连接VPN后,本机ip就能变成PPTP服务器端ip,并且正常上网。 只是客户机连接VPN后,不能ping通PPTP服务端同网段的内网ip(除非localip 配置成PPTP服务器内网ip)

------------------------------------------------------------------------------------------------------------------------ 接着顺便说下mac下连接pptp的操作记录: 依次选择"系统偏好设置"->"网络"->打开左下角的"+",添加VPN网络,选择vpn的种类(PPTP),然后填写vpn的连接信息:vpn地址和用户名。服务名称:可以随意添,缺省为VPN(PPTP)

选择鉴定设置,输入VPN帐户密码

注意一点:点击"高级"->"通过VPN连接发送所有通信",这个选项一定要打勾!这样,vpn连接成功后,mac本地的外网ip才会变成vpn服务器的外网ip。

最后,选择应用,正常连接就ok!

----------------------------------遇到的问题-------------------------------- mac连接PPTP的VPN是正常的,但是连接成功后不多久就不了网。 这种现象通常在连线3-5分钟时出现,断开VPN连接后重新连接,就会恢复正常,3-5分钟后再次掉线。(L2TP的vpn连接后貌似没有这种现象)

解决办法: mac是wifi链接的,打开网络偏好设置,选中wifi,点击[高级],进入[硬件]选项卡,配置改为手动,MTU将默认的1500改为1280(或1450),MTU也就是Maximum Transmission Unit。 出现这个问题的原因是所使用的网络不标准,不支持MTU协商,导致系统一开始就是用了最大的MTU,也就是默认的1500。VPN服务器那边不买账,就给断开了。

中国运营商的很多劣质网络有几个常见问题: 1)不支持MTU自动协商,网关上的MTU又不标准。(这个是唯一一种可以自己解决的,只要手动改MTU即可,如上) 2)出口是动态的,一会儿切换一次,一切换,公网IP就变了,连接必断。(部分地区可以投诉,让运营商给你这个账号固定出口的) 3)多层 NAT,然后中间某一层的网关在调整。一般常见于非电信联通的小运营商,企业网络,二三线城市的电信联通网络。 4)城域网或骨干网丢包。(这个无解,中国总国际出口是低于当前网民所需的,所以等垄断企业扩容吧)

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏开发与安全

浅谈网络数据包传递过程中涉及的话题

概括来说:首先我们在浏览器地址栏敲下域名地址,浏览器发出get请求,接下来进行dns域名解析(后面再详谈),此时浏览器已经得知目标IP,此时还得知道默认网关的m...

25050
来自专栏Laoqi's Linux运维专列

LVS工作总结之原理篇–DR模式

395110
来自专栏我和PYTHON有个约会

30.企业级开发进阶2:网络编程

网络编程部分开始,要求对内容的宏观理解的东西更加多了,简单梳理总结一下,希望大家多提意见一起完善。

8400
来自专栏Python中文社区

Python写ARP局域网主机存活扫描与ARP欺骗工具

專 欄 ❈exploit,Python中文社区专栏作者,入坑Python一年。希望与作者交流或者对文章有任何疑问的可以与作者联系: QQ:1585173691...

62850
来自专栏落影的专栏

HLS点播实现(H.264和AAC码流)

前言 使用VideoToolbox硬编码H.264 使用VideoToolbox硬解码H.264 使用AudioToolbox编码AAC 使用AudioT...

58160
来自专栏北京马哥教育

负载均衡LVS原理及其应用

一、LB常用解决方案 1、硬件负载均衡解决方案: F5公司: BIG-IP Citrix公司: Netscaler ...

46070
来自专栏微信终端开发团队的专栏

Hello Bonjour!

Hello Bonjour! 一开始用Bonjour,我是拒绝的。 让我们以一个问题开头:如何能在本地网络找到自己想要的硬件设备及相应服务,并连接? 在这个以I...

293100
来自专栏Java呓语

1·HTTP 概述

本文是《HTTP 权威指南》的第一章节 HTTP 概述的 读书笔记,我会尝试站在 HTTP 设计者 的角度上将知识点编辑成串,所以阅读本文您将收获 HTTP 宏...

13020
来自专栏运维小白

18.7 LVS介绍

LVS介绍 LVS是由国人章文嵩开发 流行度不亚于apache的httpd,基于TCP/IP做的路由和转发,稳定性和效率很高 LVS最新版本基于Linux内核2...

24880
来自专栏Java架构沉思录

一文读懂负载均衡之LVS

根据官方文档LVS支持三种负载工作方式:NAT方式、TUN方式和DR方式。为了说明这三种方式的工作原理,我们首先需要了解一下基础的IP/TCP报文(注意,IP报...

27230

扫码关注云+社区

领取腾讯云代金券