Topic: ssh-tunnel für pptp sitzung

[OCB]

hallo,

ich hab da mal wieder ein problem, wozu ich zwar einige infos im netz gefunden habe, mir aber über die umsetzung am sme server noch etwas im unklaren bin. Das ganze ist erst mal nur theoretisch, da ich zur zeit weder zeit noch lust habe, wieder am server zu basteln.

Zum thema:

Also ich habe an einem standort A einen sme 7.1.3 mit einer festen ip stehen und kann aus dem internet so gut wie alle dienste darauf nutzen. Nun sitze ich aber hier an einem standort B in einem netzwerk einer lokalen kabelgesellschaft mit scheinbar sehr strengen regeln in der firewall(?). Kurz um, ich kann mich vom standort B nicht per pptp zum sme verbinden.

Alle sonstigen verbindungen (smtp, pop3s, imaps, http(s)) klappen einwandfrei. Ob das bei ssh - also port 22 - auch der fall ist, muss ich noch prüfen.

Meine überlegung ist nun, eine ssh-verbindung durch das 'standort B netzwerk' über das internet zu standort A aufzubauen und über diese ssh-verbindung pptp zu tunneln.

Nen ssh tunnel hab ich nebenbei noch nie eingerichtet  

Nun die fragen: Ist das mit dem sme möglich? - Ist die ssh-über-internet anleitung aus dem wiki hilfreich? (blöde frage, klar isse das ) - Wenn der ssh-zugriff für einen normalen benutzer (also nicht root oder admin) erlaubt ist, kann eine pptp sitzung hergestellt werden? Können normale benutzer die benötigten zertifikate erzeugen? Welche einstellungen sind clientseitig zu treffen?

Als client kommt vista mit putty, oder xp mit putty - auf jeden fall putty - in frage. Der pptp client is mir dabei erstmal nebensächlich. Es geht mir jetzt hauptsächlich nur um die einrichtung des tunnels, die dienste folgen später.

Über sinn und unsinn möcht ich nicht streiten, notfalls kann ich mich ja per modem beim server einwählen. Nur pptp wär mir lieber, da es um einiges schneller ist^^

Danke für konstruktive kritik
Olli

PS: Ich frag lieber vorher, bevor ich nach endlosen versuchen zwar erfolg habe, aber nebenbei auf grund von rumkonfiguriererei den server gleich neu aufsetzen darf ^^

[hosi]

Hallo,

erst einmal:
wenn Du Deinen Job in Standort B ausübst, solltest Du Dir genau überlegen, ob Du Dich durch die Firewall tunneln willst. Es gab da mal ein Gerichtsurteil nachdem das mit einer fristlosen Kündigung belohnt wird, da Du damit die Sicherheitsmechanismen der Firma umgehst. Bevor Du was in der Richtung machst, solltest Du Dich vielleicht (auch in eigenem Interesse) mit den zuständigen Admins in Verbindung setzen.

Wenn das auf Dich nciht zutrifft:
überprüft doch erst einmal, ob die Firewall aus Standort B ein Paketfilter ist, der lediglich aufgrund von Ziel-Ports filtert. Wenn die Firewall so konfiguriert ist, dass der PPTP-Port (TCP 1723) gesperrt ist, dann lass den SME-PPTPD in Standort A einfach testweise auf Port 80 horchen.

Aller Voraussicht nach, wird der Firewall-Admin in Standort B aber auch das GRE-Protokoll (IP-Protocol 47) gesperrt haben (PPTP nutzt GRE). Dann wirst Du Dich wahrscheinlich in Standort A anmelden können (?), aber die Pakete durch den PPTP-Tunnel werden geblockt. Das wiederum würde für Dich bedeuten, dass Du das GRE-Protokoll irgendwie in TCP packen musst. Und spätestens hier würde ich aufgeben

Eine Einrichtung über openvpn erscheint mir da wesentlich einfacher. Das baut nur auf TCP und UDP auf und nutzt keine anderen IP-Protokolle (speziell kein IPSec und kein GRE). Windows-Clients dafür gibt's auch.

Wenn Du PPTP nicht aufgeben willst:
http://sites.inka.de/~W1011/devel/tcp-tcp.html
http://www.microsoft.com/technet/community/columns/cableguy/cg0103.mspx
http://www.faqs.org/rfcs/rfc1702.html
http://www.faqs.org/rfcs/rfc1701.html

[OCB]

danke hosi. Das mit arbeitsplatz trifft nicht zu, da standort B meine zweitwohnung ist und ich dort nur nen kabelanschluss habe, über den ich ins netz gehe. Zum surfen reichts, für mehr aber scheinbar nicht.

Das mit dem paketfilter werd ich mal prüfen. Die anmeldung am standort A klappt aber schon nicht. Der windows client bleibt bei der überprüfung von benutzername und passwort hängen und bricht dann ab. Ich kann mich dunkel erinnern, daß ich früher mit fli4l und GRE mal ähnliche probleme hatte.  Nur lags da eben auf meiner seite

OpenVPN will ich eigentlich vermeiden. Ich weiß das es damit geht. Hab selbst bei kunden ein paar permanente vpn-tunnel mit openvpn eingerichtet.

Mir geht es in erster linie darum wirklich den ssl-tunnel aufzubauen und über den verschiedene dienste zu nutzen. PPTP soll nur ein beispiel sein, da daß vom standort B überhaupt nicht zu gehen scheint.