Αναζήτηση:

Τελευταια μου το εχετε ζητησει αρκετοι ειδικα μετα την εκδοση IOS 10x οπου καταργει το PPTP
Αποφασισα λοιπον να το υλοποιησω και να γραψω ενα συνχρονο οδηγο για L2TP/IPSEC VPN
Επειδη αρκετοι απο εσας ειστε πιο ασχετοι απ’ οτι νομιζετε (συγνωμη αλλα με αυτα που διαβαζω κατα καιρους «δε κανω ποτε update», «χρησιμοποιω μονο mISDN» κλπ δινετε δικαιωμα) εκανα αυτο τον οδηγο απλο ωστε να μπορει να υλοποιηθει απο οποιονδηποτε

Προτιμησα την υλοποιηση με κοινοχρηστο κλειδι αντι για πιστοποιητικα
Για πιστοποιητικα προτιμω OpenVPN

Το δοκιμασα σε Rasberri (εκδοση 28-1-2017) και σε Centos 7 (issabelPBX νεα διανομη απο τη παλια ομαδα Elastix)

Απλα κανετε copy-paste αλλαζοντας μονο τις ip συμφωνα με το δικτυο σας

Server:192.168.1.100
Router:192.168.1.1

Καταρχας κανουμε Port Forward τα UDP ports:
1701 L2TP
500 IKE
4500 IPSEC NAT

Επιβαλεται Update και εγκατασταση απαραιτητων πακετων
Rasberri
apt-get update
apt-get install openswan xl2tpd ppp lsof
Centos 7
yum -y update
yum -y install openswan xl2tpd ppp lsof


Για τη δρομολογηση δινετε με τη σειρα τα παρακατω
iptables --table nat --append POSTROUTING --jump MASQUERADE
echo "net.ipv4.ip_forward = 1" | tee -a /etc/sysctl.conf
echo "net.ipv4.conf.all.accept_redirects = 0" | tee -a /etc/sysctl.conf
echo "net.ipv4.conf.all.send_redirects = 0" | tee -a /etc/sysctl.conf
for vpn in /proc/sys/net/ipv4/conf/*; do echo 0 > $vpn/accept_redirects; echo 0 > $vpn/send_redirects; done
sysctl -p

Προσθεστε στο τελος του rc.local
vi /etc/rc.local
for vpn in /proc/sys/net/ipv4/conf/*; do echo 0 > $vpn/accept_redirects; echo 0 > $vpn/send_redirects; done
iptables --table nat --append POSTROUTING --jump MASQUERADE

Σβηστε και προσθεστε τα παρακατω στο ipsec.conf
vi /etc/ipsec.conf
version 2.0
config setup

nat_traversal=yes
protostack=netkey
virtual_private=%v4:192.168.0.0/16,%v4:10.0.0.0/8,%v4:172.16.0.0/12,%v4:25.0.0.0/8,%v4:!10.25$
oe=off

conn L2TP-PSK-NAT
rightsubnet=vhost:%priv
also=L2TP-PSK-noNAT

conn L2TP-PSK-noNAT
authby=secret
pfs=no
auto=add
keyingtries=3
# we cannot rekey for %any, let client rekey
rekey=no
# Apple iOS doesn't send delete notify so we need dead peer detection
# to detect vanishing clients
dpddelay=30
dpdtimeout=120
dpdaction=clear
# Set ikelifetime and keylife to same defaults windows has
ikelifetime=8h
keylife=1h
# l2tp-over-ipsec is transport mode
type=transport
#
left=192.168.1.100
#
# For updated Windows 2000/XP clients,
# to support old clients as well, use leftprotoport=17/%any
leftprotoport=17/1701
#
# The remote user.
#
right=%any
# Using the magic port of "%any" means "any one single port". This is
# a work around required for Apple OSX clients that use a randomly
# high port.
rightprotoport=17/%any
#force all to be nat'ed. because of ios
forceencaps=yes
# Normally, KLIPS drops all plaintext traffic from IP's it has a crypted
# connection with. With L2TP clients behind NAT, that's not really what
# you want. The connection below allows both l2tp/ipsec and plaintext
# connections from behind the same NAT router.
# The l2tpd use a leftprotoport, so they are more specific and will be used
# first. Then, packets for the host on different ports and protocols (eg ssh)
# will match this passthrough conn.
conn passthrough-for-non-l2tp
type=passthrough
left=192.168.1.100
leftnexthop=192.168.1.1
right=0.0.0.0
rightsubnet=0.0.0.0/0
auto=route

Βαλτε τη λεξη κλειδι στο ipsec/secrets
vi /etc/ipsec.secrets
%any: PSK " password"


Σβηστε και προσθεστε τα παρακατω στο xl2tpd
vi /etc/xl2tpd/xl2tpd.conf

ipsec saref = yes
listen-addr = 192.168.1.100

ip range = 192.168.1.243-192.168.1.245
local ip = 192.168.1.100
assign ip = yes
require chap = yes
refuse pap = yes
require authentication = yes
name = MamakasVPN
ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes

Σβηστε και προσθεστε τα παρακατω στο options.xl2tpd
vi /etc/ppp/options.xl2tpd
ipcp-accept-local
ipcp-accept-remote
ms-dns 192.168.1.1
asyncmap 0
auth
crtscts
lock
idle 1800
mtu 1200
mru 1200
modem
debug
name l2tpd
proxyarp
lcp-echo-interval 30
lcp-echo-failure 4
nodefaultroute
connect-delay 5000


Προσθεστε Ονομα Χρηστη και Κωδικο στο chap-secrets
vi /etc/ppp/chap-secrets
# Secrets for authentication using CHAP
# client server secret IP addresses
user * password *


Φτιαχνουμε τους κανονες Iptables
iptables -I INPUT -p tcp -m tcp --dport 1701 -j ACCEPT
iptables -I INPUT -p udp -m udp --dport 1701 -j ACCEPT
iptables -I INPUT -p udp -m udp --dport 500 -j ACCEPT
iptables -I INPUT -p udp -m udp --dport 4500 -j ACCEPT
service iptables save


Ενεργοποιουμε στην εκινηση
Rasberri
update-rc.d -f ipsec remove
update-rc.d ipsec defaults
Centos 7
systemctl enable ipsec
systemctl enable xl2tpd


Αμεση Ενεργοποιηση
Rasberri
/etc/init.d/xl2tpd restart
/etc/init.d/ipsec restart
Centos 7
systemctl start ipsec
systemctl start xl2tpd


Παιζει απο ολες τις συσκευες και λειτουργικα μονο για τα Windoze θελει τα παρακατω

Για να συνδεθειτε απο Windows (εκδοση 1703 March 2017)πρεπει απο
regedit ->
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent –>
New DWORD (32-bit) -> AssumeUDPEncapsulationContextOnSendRule ->
Modify -> 2
Χρειαζεται Επανεκινηση

Απο συνδεσεις δικτυου βρισκουμε την L2TP/IPSEC συνδεση παταμε δεξι κλικ ιδιοτητες ->
Tab Ασφαλεια -> απο την επιλογη Να επιτρεπονται αυτα τα πρωτοκολλα τσεκαρουμε ->
Πρωτοκολλο ελεγχου ταυτοτητας .. (CHAP) (ειναι η δυτερη επιλογη)



Αυτος που δεν ξερει οτι δεν ξερει,
νομιζει οτι ξερει..

Για τους κολημενους με το Elastix υπαρχει το Isabbel απο την παλια ομαδα του Elastix
Βασιζεται στο πανισχυρο Centos 7 και ειναι ιδιο με το Elastix 4
Αν και beta2 δεν εχει κανενα προβλημα και παιρνει κανονικα updates
Προσφατα το αντικαστησα σε εγκατασταση (τουριστικο γραφειο) που ειχε Elastix 4 και παιζει μια χαρα
Στην ιδια εγκατασταση τρεχει και το Odoo ERP το οποιο και αυτο δουλευει

Οποιος θελει να το δοκιμασει μπορει να το κατεβασει απο εδω

Υπαρχει "bug" που δεν αφηνει εγκατασταση Elastix 2.x να προχωρησει σε Hyper-V
Για να δουλεψει σε Hyper-V ετοιμασε τη μηχανη σου σε Virtuabox αλλα για δισκο επελεξε
VHD μετα το δισκο αυτον θα τον προσθεσεις σε μηχανη Hyper-V και θα δουλεψει αψογα

Αυτος που δεν ξερει οτι δεν ξερει, νομιζει οτι ξερει..

Απ οτι φαινεται κανενας δε ξερει.
Θα δοκιμασω με το Sugar CRM (ειναι πανισχυρο το χρησιμοποιουν κολοσσοι) και οταν δουλεψει -που θα δουλεψει- θα ανεβασω σε νεο tread τον οδηγο οσο πιο απλα μπορω
Stay tuned

Αυτος που δεν ξερει οτι δεν ξερει, νομιζει οτι ξερει..

οποιος θελει σε elastix, asteriskNoW κλπ X windows για να εχει γραφικο περιβαλλον αφου νομιζει οτι του κανει τη ζωη πιο ευκολη ας δωσει απο κονσολα:

yum groupinstall "X Window System" "KDE (K Desktop Environment)"

Το KDE ειναι δικη μου επιλογη αν θελει gnome η οτιδηποτε αλλο ας το βαλει με παρομοιο τροπο

Nα υποθεσω οτι βαζεις την Network-based διανομη που γινεται compile στα μετρα σου
Διαφορετικα εσαι αξιος της μοιρας σου...

Επειδη το τηλ. κεντρο εινα critical σε μια επιχειρηση καλο θα ειναι να αποφυγετε το elastix
Ο λογος ειναι οτι very popular με οτι αυτο συνεπαγεται
Σε περιπτωση hack ο λογαριασμος εινα ΠΟΛΥ ΑΚΡΙΒΟΣ
Καταρχην ποσοι απο σας χρησιμποποιειτε το mail server, το fax server η εστω ξερετε την εντολη που ενεργοποιει το vTiger CRM?
Ποσοι απο εσας κανουν update? Γνωριζετε ποσοι την εχουν πατησει κι εδω στη Ελλαδα μονο απο τη τρυπα στο vTiger?
Tα λεω αυτα γτ ειστε ολοι ασχετοι, ειδικα αυτοι που απαντανε δινοντας στον αλλο τη ψευδαισθηση του ειδημων (ο υπογραφων δεν εξαιρειται)
Aυτο που κανει ενα τηλ. κεντρο κυριως ειναι να μπορει καποιος να βαζει ευκολα ext, trunks, IVR και βεβαια UPDATES
Οπωσδηποτε να βαλατε Asterisk αλλα σε καθαρη εγκατασταση "Pure Asterisk"
Διαλεξτε την αγαπημενη σας διανομη -ο υπογραφων Slackware- και στηστε το εκει κανοντας compile απο την αρχη
Για το σκοπο αυτο ετοιμαζω σχετικο οδηγο

Tο 5060 δουλευει μια χαρα
Χρειαζεται αλλαγη για λογους ασφαλειας κ μονο

Κανε ομως κατι
Σβησε ολα τα VoIP accounts κ φτιαξτα απο την αρχη

εισαι στα καλα σου? τι πα να πει remote 192.168.xxx.xxx στο client?

ειναι . ./vars εχει ενα κενο αλλα μπορεις να τα φτιαξεις κ σε windoze αν δε μπορεις κ μετα να τα μεταφερεις
Εβαλες στο server.conf το δικτυο που θες να κανεις route? ex. push “route 172.xxx.xxx.xxx 255.255.255.0”
Στα windoze θελεις admin για να τρεξει σωστα

Koιτα αυτου

Δωρεαν κλησεις απο κινητο κορυφαιος οδηγος
Το εκανα βημα-βημα σε εικονικη μηχανη
Μπορεις να βαλεις οσους Voip Providers θελεις
Απλα καλεις στο κεντρο, πατας ενα κωδικο που εχεις ορισει εσυ, και απο κει κ περα χρησιμοποεις τη γραμμη Voip, pstn κλπ (αναλογα τι εχεις)

Στο elastix 2.3 -για την ακριβεια ο dahdi που κουβαλαει- δεν χρειαζεται καμμια ρυθμιση ptmp σε κανενα αρχειο
Παιζει οπως ειναι
Δε τα καλωδια σου
Αλλαξε netmod να δεις αν το κανει το συγκεκριμενο (απλα με τα καλωδια αλλαξε τα στην καρτα)

Ο καλυτερος οδηγος με διαφορα στα ελληνικα
Ευκολα γρηγορα καθαρα
Ουτε χρηστες χρειαζεται
Το υλοποιησα με VPN σε 5'

Κανενα port εκτος απο το 1723 (αν μπορεις χρησιμοποιησε καλυτερα l2tp η openvpn αντι pppd)
Kαι μονο που αναφερεις οτι εχεις ανοιχτα sip & rtp ports μου δινεις το δικαιωμα να σου αναφερω οτι εισαι GTP..
To fail2ban υπαρχει στο elastix αν θες να ενσωματωσεις κ το Asterisk δημιουργησε το αρχειο /etc/fail2ban/filters.d/asterisk.conf
και βαλε
# /etc/fail2ban/filter.d/asterisk.conf
# Fail2Ban configuration file
#
#
# $Revision: 250 $
#



# Read common prefixes. If any customizations available -- read them from
# common.local
#before = common.conf




#_daemon = asterisk

# Option: failregex
# Notes.: regex to match the password failures messages in the logfile. The
# host must be matched by a group named "host". The tag "" can
# be used for standard IP/hostname matching and is only an alias for
# (?:::f{4,6}:)?(?P\S+)
# Values: TEXT
#

failregex = NOTICE.* .*: Registration from '.*' failed for '' - Wrong password
NOTICE.* .*: Registration from '.*' failed for '' - No matching peer found
NOTICE.* .*: Registration from '.*' failed for '' - Username/auth name mismatch
NOTICE.* .*: Registration from '.*' failed for '' - Device does not match ACL
NOTICE.* .*: failed to authenticate as '.*'$
NOTICE.* .*: No registration for peer '.*' (from )
NOTICE.* .*: Host failed MD5 authentication for '.*' (.*)
NOTICE.* .*: Failed to authenticate user .*@.*

# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =
#


Μετα στο αρχειο /etc/fail2ban/jail.conf
δημιουργησε ενα section για το asterisk (πανω απο το )

enabled = true
filter = asterisk
action = iptables-allports
sendmail-whois
logpath = /var/log/asterisk/fail2ban
maxretry = 2
bantime = 6000

τοσο το dest= οσο και το sender= πρεπει να ειναι πραγματικα domain
Ρυθμισε το Postfix απο το αρχειο /etc/postfix/main.cf

Για Firewall τρεξε απο κονσολα
setup->Firewall Configuration->Security Level Enabled, SELinux Disabled->Customize-> Tσεκαρεις ΜΟΝΟ SSH, HTTPS στα Others Ports βαλε τα udp τα RTP και το SIP καθως και το 1723 tcp για το PPTP->OK

Eνεργοποιησε και το Firewall που εχει απο το Web
Προσθεσε ενα νεο κανονα για το PPTP
Firewall Rules-> + New Rule
Traffic: Input
Interface: Ethernet0 (ANY)
Source Address: 0.0.0.0
Destination Address: 192.168.x.x/24 (0.0.0.0)
Protocol: TCP
Source Port: ANY
Destination Port: PPTP
Target: ACCEPT
To μυστικο ειναι τοσο αυτον οσο και αλλους που ενδεχομενως φτιαξουμε να μπουν ΠΡΙΝ απο τους 3 τελευταιους.
ACCEPT IN: ANY 0.0.0.0/0 0.0.0.0/0 STATE Established,Related
REJECT IN:ANY 0.0.0.0/0 0.0.0.0 ALL
REJECT IN:ANY OUT:ANY 0.0.0.0/0 ALL

Για μεγαλυτερη ασφαλεια χρειαζεται συνδυασμος απο αρκετα πραγματα μερικα απο αυτα ειναι

ΚΛΕΙΣΤΕ ΟΛΕΣ ΤΙΣ ΠΟΡΤΕΣ και ανοιξτε μονο on demand (updates, vpn)

Να κανετε συνεχεια updates
yum -y update

Αν μπορειτε να κανετε update τον ιδιο τον asterisk και το dahdi (υπαρχουν treads εδω μεσα)

Αλλαξτε το default port 5060 σε κατι αλλο

Αλλαζατε συχνα passwords τουλαχιστον 10 χαρακτηρες οπωσδηποτε συνδυασμος με: Κεφαλαια, μικρα, αριθμοι, συμβολα

Μη χρησιμοποιειτε static-ip (αν χρειαστει το dyndns δουλευει μια χαρα)

Στηστε ενα περιμετρικο firewall, το elastix εχει το κορυφαιο Shorewall καλο ομως ειναι να στηθει σε και αλλο συστημα με
default policy: All2All DROP

Σιγουρα θελει και πολλα αλλα με προταιρεοτητα εκπαιδευση στα ζωα που εχετε στο εσωτερικο δικτυο

Οτι και να κανετε ομως δεν θα ειτε ΠΟΤΕ σιγουροι..

Το vigor ειναι πολυ καλο router για αυτα που ζηταει και αυτα που κανει
Πολυ καλυτερο απ' αυτα που αναφερετε στο tread
Το προβλημα μαλλον ειναι στο μεγαλο range που αρκετοι routers δεν μπορουν να διαχειριστουν (10000-20000, καθε κληση χρεαζεται 2 port)
Δοκιμασε να αλλαξεις το range στο αρχειο rtp.conf σε κατι πιο λογικο πχ 10100-10200 ειναι για 50 ταυτοχρονες συνομιλιες

Καταρχην δεν ειναι υποτυπωδες, τοσο το Vtiger που υπαρχει ενσωματωμενο οσο και το SugarCRM που σου δινει δυνατοτητα να το εγκαταστησεις ειναι πανισχυρα και τα χρησιμοποιουνε κολοσσοι (Daewood, Γαλλικα Ταχυσδρομεια κλπ) και φυσικα δεν εχουν καμμια σχεση με κατι εμπορικα που πουλανε εδω στην Ελλαδα.
Ας μην ανοιξω καλυτερα το βρωμοστομα μου για τα καραγκιοζηλικια με ενα sql του κολου που τα πλασαρουν για ERP κ CRM
Οσο για τη καραμελα της υποστηριξης αν εχεις μια μικρη εμπειρια δεν θα συνατησεις κανενα προβλημα, επισης υπαρχει πληρης documentation καθως και πολυπληθης κοινοτητα forum που εξασφαλιζει αμεση ανταποκριση και στο πιο ακραιο θεμα φυσικα ΔΩΡΕΑΝ κατι που προσωπικα με κανει να αισθανομαι πολυ πιο σιγουρος απο οτι μια ομαδα πονηρων μετρημενοι στα δακτυλα του ενος χεριου οπως συμβαινει στην Ελλαδα..
Φυσικα και υποτηριζει αυτο που ζητας καθως και πολλα πολλα αλλα :)
Για αρχη κατεβασε το πακετο με την ελληνικη γλωσας LanguagePack_gr_510_UTF8_V1_5.zip απο εδω
Μετα μπες στο Vtiger
Settings->Module Manager->Custom Modules->Import New->Browse LanguagePack_gr_510_UTF8_V1_5.zip->Finish

Sign out και μετα στο Sign in επιλεγεις γλωσσσα Ελληνικα
Φτιαξε τα βασικα
My Preferences (Oι επιλογες μου)
Settings (Ρυθμισεις)->Other Settings
Νομισματα, Φοροι, mail server κλπ

Ειναι τοσο απλο που με ευκολια σε οδηγει μονο του να κανεις οτι θες..

Αν παρουμε τη ακραια περιπτωση να σου ειπε ο τεχκικος register string, etc (μου φαινεται λιγο περιεργο) αλλα υποθεση κανω, τοτε μπορεις να φτιαξεις trunk οπως θα εκανες σε καθε Voip παροχο απο
Web->PBX->Voip Provider (τερμα δεξια tab) επιλεγεις New Account->Custom και συμπληρωνεις τα σχετικα

Αν για να γινει register o voip server απαιτει και συγκεκριμενη ip address τοτε ισχυει το σεναριο που λες με τις αναλογες καρτες δικτυου

Tι router ειναι αυτος? Λογικα εχει Voip port οπου συνδεεις τηλ. συσκευη
Οτι και ναναι ομως εσενα το μονο που σ' ενδιαφερει ειναι να συνδεσεις το elastix με το Voip port του router
Για να γινει αυτο χρειαζεσαι μια καρτα πχ A400P με 3 FXO modules ωστε να συνδεσεις τα Voip ports του καθε router
Τι trunk εφτιαξες στο Elastix
Δε χρειαζεται να κανεις trunk αυτο που εχει το g0 φτανει και περισσευει
Δεν εχει καμμια σχεση η καρτα δικτυου, μια ειναι αρκετη, αυτος που στο ειπε σε κοροιδεψε

Τι εννοεις 4? 4 modem? 4 συνδεσεις? 4 routers? 1 router με 4 Lan ports? 1 χηρα με 4 παιδια? 4 γαμοι και 1 κηδεια?
Γινε λιγο πιο σαφης βοηθα λιγο τον εαυτο σου να καταλαβει τι θες ωστε να καταλαβουμε και μεις για να σου πουμε τι να κανεις

Κιθαριστας η Ντραμμερ?

Firewall->General->Wan2Lan : Drop , Lan2Wan: Drop
Δε νομιζω να σκεφτεσαι τπτ αλλο

Firewall->Rules->Lan2Wan Add (new rule)
Selected Service να μην εχει τπτ
Πατας Edit Customized Services κ προθετεις 1.Squid TCP 3128, 2.Dngrd TCP 8080
Mετα τα τσιμπας απο το Available Service κ τα κανεις Add στο Selected Services

Ασχετα με τις ρυθμισεις (Transparent η manual) Eισαι ΟΚ

Σιγα που ξερεις CLI

Δεν ειδα κανεναν ομως να κανει προταση και επι της ουσιας ουτε εγω εχω κανει απλα θεωριες αναπτυσουμε
Το μονο που ειπα θεωρητικα -γιατι αν ηθελα να ειμαι συνεπης μ' αυτα που λεω θα εκανα και εναν οδηγο-ειναι οτι το ζητημα της ασφαλειας ειναι σχετικα πολυπλοκο γτ εκτος απο τους εξω εχεις και αυτους που ειναι απο μεσα -που κατα τη γνωμη μου απο μεσα ξεκινανε σχεδον ολα-
Αρα πρεπει να συνδυασουμε αρκετα στοιχεια,
αναφερα τη static θεωρησαν αρκετοι οτι δε σωζει τη κατασταση,
ανεφερα περιμερικο firewall συμφωνησαν μερικοι οτι δε κανει τπτ,
βγαινει ο αλλος και λεει να μη κανουμε update γτ δε ξερουμε απο που τα τραβαει προφανως γτ δεν γνωριζει οτι ολα τα repos υπαρχουν στο /etc/yum.repos.d/
οπως επισης δε γνωριζει οτι αν οι αγαπητοι μας φιλοι που τους τρυπησανε ειχαν κανει yum update ΔΕΝ ΘΑ ΕΙΧΑΝΕ ΠΡΟΒΛΗΜΑ γτ θα ειχε κλεισει η τρυπα στο vtiger -και οχι μονο- και δεν θα υπηρχε καν αυτο το thread
Οσο για vpn που αναφερουν ολοι σαν τον παππου τον Προκοπη δεν ειδα κανεναν να γραφει το παραμικρο οδηγο παρα μονο θεωρια..
Ουτε ειδα κανεναν ν' αναφερει τπτ σχετικα με το τοπικο τους δικτυο -μαλλον ειναι ολοι οι χρηστες τους φωστηρες-

Και να θελω να γραψω 2-3 γραμμες σχετικα με την ασφαλεια δεν εχουν νοημα
Αλλωστε ποιος ο λογος να κανει κανεις update? τι μπορει να σου προσφερει ενας περιμμετρικος firewall? Συμφωνα με του ειδικους ΤΙΠΟΤΑ

"Ετσι ειναι αν ετσι εσεις νομιζετε.."

Αν διαβασει κανεις το thread δε θα ξερει αν θα πρεπει να γελασει η να κλαψει με αυτα που γραφονται...
Στη κυριολεξια ΟΤΙ ΝΑΝΑΙ....
Αρες μαρες κουκουναρες, αντιφασεις, αναιρεσεις ακομα και απο τους ιδιους τους υπογραφοντες..
Γραφει πχ ενας ενα κατεβατο θεωρια σχετικα με ασφαλεια συμφωνουν οι αλλοι -λες κ ειναι οι gurudes-
λιγο πιο κατω αυτος που εγραφε το κατεβατο συμφωνει 100% με εναν αλλο που λεει σε γενικες γραμμες
"..οτι ειναι αχρηστος ενας περιμετρικος firewall.." και ποιος ξερει τι αλλο θα δουμε σ' αυτο το thread...
Οπως λεει και μια διαφημιση κινητης "Συνεχιστε λοιπον .... " σε λιγο δε θα μας μεινει αντερο απο τα γελια...

Δε λεω παραπανω γτ κινδυνευω να φαω κι αλλη καρτα.
Oυτε θα ηθελα να μπω σε loop reply progress

you aka "Mπαμπης ο Σουγιας"

O οδηγος αυτος απευθυνεται σε πιο advance χρηστες
Γι’αυτο θα τον κανω οσο πιο απλο γινεται (copy-paste)
Με την ευκαιρια δε σας κρυβω οτι μ' ενοχλουν ορισμενα σχολια που γινονται απο διαφορους που προτεινουν εκ του ασφαλους διαφορα αλλα δε λενε τπτ
Το PPtP που αναφερω σε αλλο οδηγο δεν ειναι το πιο σιγουρο αλλα σιγουρα ειναι 1.000.000 φορες καλυτερο απο το τιποτα

Καταρχην το iPhone πρεπει να ειναι j/b (iPhone χωρις j/b = ξυλο απελεκητο..)
Aν και κυκολφορουν διαφορα ovpn το ΜΟΝΑΔΙΚΟ που επαιξε σε μενα ειναι OpenVPN Toggle for SBSettinigs

1. Απο Cydia κανουμε Install OpenVPN Toggle for SBSettinigs
2. Kανουμε edit το παρακατω αρχειο στα μετρα μας και το σωζουμε σαν conf.ovpn
client
dev tun
proto udp
remote smartass.dyndns.org 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca "/private/var/mobile/Library/OpenVPN/ca.crt"
cert "/private/var/mobile/Library/OpenVPN/malaks.crt"
key "/private/var/mobile/Library/OpenVPN/malaks.key"
ns-cert-type server
comp-lzo
verb 3

# Update resolvers
# You probably need this fix for OpenVPN on the iPhone.
up /usr/bin/update-resolv-conf
down /usr/bin/update-resolv-conf

3. Κατεβαζουμε το αρχειο update-resolv-conf απ' αυτου

4. Αν εχουμε windoze με WinSCP Βαζουμε τα αρχεια conf.ovpn,ca.cert,malaks.crt,malaks.key,update-resolv-conf στο φακελο /var/mobile/Library/OpenVpn

5. Με WinSCP τροποποιουμε το αρχειο private/var/mobile/Library/SBSettings/Commands/net.openvpn.up

#!/bin/sh
cd /private/var/mobile/Library/OpenVPN
openvpn --script-security 2 --config conf.ovpn &

(#!/bin/sh
/bin/rm /var/mobile/Library/SBSettings/Toggles/OpenVpn/OFF
cd /var/mobile/Library/OpenVpn/
"/usr/bin/openvpn-iphone --script-security 2 --config /var/mobile/Library/OpenVpn/conf.ovpn" &)

6. Τελευταιο βημα ειναι να σενιαρουμε κατι αρχεια
Μπαινουμε στο iPhone με putty αν εχουμε windoze και δινουμε απο κονσολα
cd /var/mobile/Library
chown -R mobile.mobile OpenVpn
cd OpenVpn
chmod +x update-resolv-conf
cp client.key client.key.orig
openssl rsa -in client.key.orig -out client.key


7. Εφτασε η ωρα να το δοκιμασουμε
openvpn-iphone --script-security 2 --config conf.ovpn
Αν ολα τα εχετε κανει copy-paste γτ σας τα δινω στο πιατο θα δειτε οτι συνδεθηκατε με τον sevrer!!

Αυτο ηταν!! στnν επομενη επανεκινηση του iPhone θα μπορειτε μ' ενα κλικ απο το OpenVPN-toggle να συνδεεστε με OpenVPN!!

Για να μη παραμυθιαζεστε..
Οι χρεωσεις δε θα σβησουν απο τη στιγμη που εγιναν.
Το λεω γτ με ειχαν καλεσει να ελενξω μια τετοια περιπτωση πριν απο καιρο
Το μονο που μπορει να κανει ο παροχος ειναι να διευκολυνει τη πληρωμη μεσω δοσεων
Εκτος αν θελετε να μπλεξετε με δικηγορους πραμα που θα σας στοιχοισει πολυ παραπανω..
Για την ιστορια στη παραπανω εταιρεια βοηθησα τον ΙΤ Manager -βουλωμα ολες τις τρυπες, Fail2Ban etc- να στησει περιμετρικο fw
Tα log του fw γεμιζαν απο αποτυχυμενες προσπαθειες προσβασης
Καθαρισε οταν τον επεισα και αλλαξε τη static ip

Kανετε οπωσδηποτε updates
yum -y update

Eνεργοποιηστε το FW απο κονσολα setup->Enable Firewall->Customize->OK

Εχει επισης και τον κορυφαιο Shorewall ενεργοποιηστε τον αλλαζοντας τη γραμμη STARTUP_ENABLED=Yes στo αρχειο shorewall.conf
Καθοριστε την (τις) καρτες δικτυoυ, Vpn στο αρχειο Interfaces
Oριστε τις ζωνες (τοπικο δικτυο, fw, Internet, Vpn) στο αρχειο zones
Καθοριστε την πολιτικη ΚΟΒΟΝΤΑΣ ΤΑ ΠΑΝΤΑ δινοντας στη τελευται γραμμη του policy all all drop

Aν ειστε καλα παιδια και οχι smartass θα ανεβασω ενα πολυ καλο configuration

Θα πρεπει να γνωριζετε οτι κυκλοφορουν ελευθερα διαφορα εργαλεια ακομα και για παιδια του δημοτικου "Kiddie Scripts" που κανουν scan σε τυχαια ip pools ψαχνοντας για common ports
Υπαρχουν επισης ετοιμες λιστες static-ip με opens ports οπου μπορει να πειραμαστιστει ο καθενας.
Μπορει με την πρωτη να κανει τπτ αλλα ξερει οτι εισαι εκει κ υπαρχεις και ισως καποια στιγμη θα σε κανει να υποφερεις...
Για να μη μιλησω για τη χειροτερη περιπτωση οπου υπαρχουν αιωνιοι κατοικοι σε εταιρικα συστηματα μη θελοντας να κανουν αισθητη τη παρουσια τους...
Δε λεω οτι η dynamic προφυλασει 100% αλλα τουλαχιστον δε γινεσαι σταθερος πελατης
Ειναι πολλα που πρεπει να συνδυαστουν αρχιζοντας απο την εκπαιδευση των ζωων που υπαρχουν στα τοπικα δικτυα.
Οσο λιγοτερα αφηνουμε τοσο πιο ανετα κοιμομαστε και βεβαιως η static ειναι κραχτης..

Θελει πολυ μυαλο να καταλαβει ακομα και ενας ηλιθιος οτι με static ip γινεσαι σταθερος πελατης???
Δε καταλαβαινω σε τι ακριβως ωφελει (εκτος το οτι γινεσαι πελατης)
Δεν υπαρχουν αλλοι τροποι?
Το ipv6 παρεχει πολυ πεσσοτερη ασφαλεια απο τo ipv6

Βαλτε το καλα στο μυαλο σας
Ειδικα για εταιρειες η static ip ειναι ΑΥΤΟΚΤΟΝΙΑ
Απαξ και σε σταμπαρουν δε γλιτωνεις με τπτ
Ακομα και για οικιακους χρηστες ειναι ακαταλληλη
Γι' αυτο το λογο εγκατελειψα την κατα τ' αλλα πολυ καλη OnTelecoms που ειχα σπιτι

Τα θελε ο κωλος σας
Καλα να παθετε
Γιατι να εχετε -αν εχετε- static-ip
Γιατι ν' ανοιξετε πορτες?
Διαβασατε πως κανετε VPN?
Κανατε ενημερωσεις αφαλειας για το συστημα σας yum -y update?
Αναβαθμισατε τον Asterisk στη τελευταια εκδοση 10.x.?

Δοικιμασε απο CLI dahdi show status κ πες μας τι λεει
Κοιτα ξανα Inbound Outbound routes, Trunk g0 etc
Σε Elastix 2.3 δε χρειαζεται να πειραξεις κανενα αρχειο παιζει ως εχει με τη μια

Μη μπερδευεσαι μονος σου αλλο ppp αλλο pptp, το δευτερο προυποθετει το πρωτο για να ανοιξει μεσω αυτου tunnel
Ειναι πολυ ευκολο αυτο που ζητας κοιτα στο κλασσικο guide
Αν θες μπορεις να κανεις callback ωστε να μη χρεωνονται οι καραγκιοζηδες που το ζητανε

Τωρα ποσοι θες να συνδεονται ταυτοχρονα εξαρταται απο τι εχεις
Για isdn netmod δε θα χρειαστεις τπτ,αναλογα τις θυρες usp, serial που εχεις κοτσαρεις τα αναλογα netmod (οσα εχεις αν εχεις)
Αν δεν εχεις isdn αναλογα τα pci slot & serial βαζεις τα αντιστοιχα pci cards κ external fax-modems (ειπαμε με το κιλο τα πουλανε)
Τελος υπαρχουν και ειδικες pci cards πχ Μultimodem-ISI αλλα δε νομιζω ν' αντεχει ο κολος των φτωχομπινεδων που εχεις μπλεξει..

Συγνωμη για τους χαρακτηρισμους αλλα το χαμηλο μου επιπεδο δεν μου επιτρεπει να ακουω τετοιου ειδους απαιτησεις..

Μηπως θες να πεις vpn server
Τι εννοεις dial-up server? Θες να κανεις callback?
Θες να γυρισεις στην εποχη των σπηλαιων με dialup modem?
Αν εχεις isdn netmod συνδεσε απλα το καλωδιο (usb or rs232)
Aν οχι κατεβα στο Μοναστηρακι η Στουρναρη κ παρε modem με το κιλο (pci & external)

Μακρια απο Ubuntu
Το centos που εχει το Elastix κανει τα παντα..
Aν θες Windows δωσε
yum groupinstall "X Window System" “KDE K Desktop Environment”
Το gnome δε το γουσταρω

Δε νομιζω οτι ειναι καλη ιδεα..
Αν απλα θες να δοκιμασεις
Αλλαξε το externip σε externhost
επισης ειναι πολυ μεγαλο το port range (5000 κλησεις ταυτοχρονα?)

Ψαξε να δεις ενα οδηγο VPN που εχω καπου εδω μεσα

Mια χαρα παιζει το Vigor 2700
Πριν κανεις οτιδηποτε κανε delete τα account που εχει και θα παιξει

Mετα απο πολυωρες προσπαθειες και με τη πολυτιμη βοηθεια του Someonefromhell κατεληξα στο εξης

Εστω οτι του δινουμε
set peer name.ddns.org dynamic
Κανει το εξης
Translating " name.ddns.org "...domain server (147.102.1.1)

Τo οποιο πρακτικα σημαινει οτι κανει resolve-transale την ip που εχει το ddns ακρο εκεινη τη στιγμη
Οταν ομως το ddns ακρο χασει την ip αυτη και παρει αλλη ο router συνεχιζει να ψαχνει απελπισμενα να βρει την ip που ειχε οταν το εκανε resolve

Για λογους ασφαλειας καταργω τις static ip
Θεωρω οτι αν δεν υπαρχει λυση προκειται για καραμπινατο BUG!!

Για εξηγησε μου να καταλαβω τι παραπανω εχουν τα αλλα που εχουν 3-4 φορες παραπανω λεφτα

Δε στο προτεινω αλλα θα σου πω τον τροπο γιατι το εχω κανει εντελως προσωρινα μιας και δε καταφερα να παιξω με Easy VPN Server απο CCP (Καθε βοηθεια ευπροσδεκτη..)

configure terminal
vpdn enable
vpdn-group 1
accept-dialin
protocol pptp
virtual-template 1
exit

interface Virtual-Template1
ip unnumbered FastEthernet 0
peer default ip address pool PPTP-Pool
no keepalive
ppp encrypt mppe 128
ppp authentication ms-chap ms-chap-v2

ip local pool PPTP-Pool 192.168.x.x 192.168.x.x

username malakas password xxxxxxxxx

Παιζει ακριβως ετσι σε μενα αλλα επαναλαμβανω προσωρινα ωσπου να δω τι γινεται με Easy VPN Server
ΔΕ ΤΟ ΠΡΟΤΕΙΝΩ..

WRT-54GL με κοστος κατω απο 40€ (χωρις ΦΠΑ)

CCP->Security->VPN->VPN Componets->IPsec->Ipsec Policies (Crypto Map Sets)>Edit και εκει στο tab Peer Information στο section Specify Peers->IP address or hostname κοτσαρω το hostname το κανω add και στο καπακι κανω remove την ip που ειχα

Παιζει μια χαρα
Ευχαριστω..

Αυτο που προσπαθω τωρα ειναι να φτιαξω Easy VPN Server αλλα οταν παω να συνδεθω με το client δε το βλεπει καν
Αν βγω απο ccp και μετα ξαναμπω δε το βλεπω
Configure > Security > VPN > Easy VPN Server στο Tab edit
σα να μην το εφτιαξα ποτε..


ΥΓ. Σωθηκα απο τοτε που κατεργησα ολες τις static με dynamic
Με τα ζωα που εχω φυλαω τα ρουχα μου να εχω τα μισα

........Auto merged post: you προσθεσε 56 λεπτα και 57 δευτερολεπτα αργοτερα ........

Ακυρο :(
Εκανα επανεκινηση το αλλο ακρο αλλαξε ip και δε παιζει
Οταν κανω τις παραπανω αλλαγες δε φαινεται να τις παιρνει

Preparing commands for delivery...
Submitting 4 commands, please wait...
Configuration delivered to device.
Copying the Running config to Startup config of your router. Please wait...
Running config could not be copied to Startup Config of your router.

Αφου βρηκα λιγο χρονο ειπα ν' ασχοληθω μ' ενα ξεχασμενο 1721 και να φτιαξω vpn
Mε το ccp ειναι πολυ ευκολο ομως μου εκανε εντυπωση οτι στο πεδιο
Peer identity εχει επιλογη "Peer(s) with dynamic IP address" αλλα σε αντιθεση
με την επιλογη "Peer with static IP address" δεν μπορεις να τη δηλωσεις πουθενα!!

Βεβαια οταν εβαλα ip επαιξε αλλα το θεμα ειναι να βαλω το ονομα ddns

Δεδομενου οτι να εχεις σημερα static-ip ειναι η ΤΡΥΠΑ, δε μπορει καποιος τροπος θα υπαρχει..

Nα επαιζε κιολας καλα θα ηταν..

Αυτη τη m@!a|<1a με τη static-ip ποτε δε τη καταλαβα
Ειχα on telecoms ημουν απολυτα ευχαριστημενος αλλα εφυγα γτ ντε κ καλα με το ζορι εδιναν static

Οσο για αυτονανε που λεει οτι θα βρεθει σε απολογια, ισως διαταχθει κ ΕΔΕ
Ρε πατε καλα ρε σεις?!!
Για να καταλαβω δηλ. ειναι ακατορθωτο ακομα κ ενας μαθητης β δημοτικου (δε λεω α γτ δεν εχει μαθει ακομα να διαβαζει) να κανει pf το port και το ip της συσκευης?!

Πρεπει κ καλα να φερει επαγγελματια για να ξηλωθειι 5 η ακομα κ 10 euro ?
Τον ρωτας αν του περισσευουν?? γιατι αν του περισσευαν απλα δε θα ρωταγε

Να ψαξει στα settings του Cisco καπου θα εχει για Disconnect (στο SPA3102που ειναι Cisco ειναι στο Tab PSTN Line)
O τονος για να κλεινει τη γραμμη Disconnect Tone ειναι για Ελλαδα

Disconnect Tone: 425@-19,425@-19;4(.2/.2/1+2)

Αν δε παιξει κοιτα να παιξεις με
Detect VoIP Long Silence: yes (αν δε μιλησει καποιος για ενα διστημα..)
Long Silence Duration: 30 (...πχ 30'' να κλεισει η γραμμη)

Kanena Virtual de vlepei kartes
Mono "Out of the Box" devices (spa3102) i to poli na dei usb devices

vpn...

Εχει καταφερει κανεις να συνδεθει με αλλο δικτυο ovpn αλλα ο router της wind να ειναι CLIENT?

Τα windoze xp εχουν τη δυνατοτητα web rd αν κανεις enable IIS

Πολυ κακως τρεχετε Vmware Workstation
Να χρησιμοποιετε Vmware Server
Παρολο που εχει σταματησει η αναπτυξη του τρεχει σε Windoze 8 μπορεις να φτιαξεις μηχανη W2KR2SP1 και ειναι ΔΩΡΕΑΝ
To μεγαλο πλεονεκτημα ομως που δεν υπαρχει στην εκδοση Workstation ειναι οτι τρεχει σαν Service
Aυτο σημαινει οτι αν πεσει, κλεισει το συστημα η μηχανη θα ξεκινησει χωρις να κανεις login

Εχω ενα Cisco 1721 και προσπαθω να φτιαξω vpn
Πηγα Configure->VPN->Easy VPN Server εκανα enable AAA που ζητησε
αλλα μετα δε ανοιγει με τπτ το Tab:"Launch Easy VPN Server Wizard" το εκανα save το εκανα restart αλλα το δεν την ακουει το Tab
Πως θα γινει?