| CISCO-PPTP client |
 |
 |
 |
| Cisco - Безопасность | |||||||||||||||||
| Автор: barabu | |||||||||||||||||
|
VPDN означает remote access и циска реализует его на несколько странной модели, общая схема которой представлена на рисунке ниже. NAS – это некий сервер, реализующий для юзера услуги связи – выход в инет, создание туннеля от себя до роутера компании (до ТС'а). ТС – это девайс, терминирующий на себе туннели от NAS'ов для входа в сеть компании.
Здесь юзер через PSTN дозванивается до ISP и аутентифицируется на его NAS'е. Затем NAS провайдера должен установить туннель с туннельным сервером, чтобы клиент мог безопасно попасть в свою корпоративную сеть. Итак, получается, что NAS это вовсе не тот сервак, на котором юзер терминирует свой PPTP, более того юзер сам вообще не инициирует создание PPTP туннеля. С точки зрения циски NAS – это машина, которая инициирует создание РРТР туннеля, обращаясь к ТС, т.е. туннель терминируется на ТС. NAS получает «звонок» от юзера (для NAS’а это dialin), затем он обращается к ТС’у c «запросом» создать туннель для трафа этого dialin соединения (request-dialin). NAS расценивает все звонки от своих клиентов как dialin. ТС тоже считает, что dialin – это звонки, поступившие на NAS. Однако, если ТС инициирует создание туннеля в сторону NAS'а, то это для ТС’а dialout, и NAS знает, что dialout – это инициация туннеля ТС’ом. Итак, теперь можно всё свести в единую таблицу, указав команды, которые применяются на NAS’е и ТС’е:
Циска может быть одновременно и NAS'ом и ТС'ом. Функционал каждого типа указывается внутри соответствующей VPDN Group. Эти группы для того и существуют, чтобы определять функционал туннелирования. Согласно документации, циска может инициировать создание только L2TP туннелей, т.е. утверждается, что циска не может быть PPTP-клиентом. Однако благодаря недокументированным функциям сказку можно сделать былью. Ключевой является НЕДОКУМЕНТИРОВАННАЯ команда service internal. Благодаря ей можно создать vpdn-группу с функционалом request-dialin и протоколом pptp !!! Далее весь конфиг.
Type escape sequence to abort. Sending 20, 100-byte ICMP Echos to 150.1.4.4, timeout is 2 seconds: !!!!!!!!!!!!!!!!!!!! Success rate is 100 percent (20/20), round-trip min/avg/max = 500/596/636 ms
|
