在Redhat Linux上 PPTP VPN Server 的安装配置
时间：2010-10-20 来源：niezhenqun
本章描述内容如下表所示。
标题
内容
1.1 安装前的准备工作
介绍在安装前所需的准备工作。
1.2安装PPTP VPN Server
介绍如何安装PPTP VPN Server。
1.3 配置PPTP VPN Server
介绍如何配置PPTP VPN Server。
1.1 安装前的准备工作
1.1.1 获取PPTP VPN Server安装包
确保已取得PPTP VPN Server的相关安装文件； 基于RedHat Linux AS4 Update7操作系统所需软件包： -dkms-2.0.6-1.noarch.rpm -kernel_ppp_mppe-1.0.2-3dkms.noarch.rpm -ppp-2.4.3-5.rhel4.i386.rpm -pptpd-1.3.3-1.rhel4.i386.rpm 基于RedHat Enterprise Linux 5 Update2操作系统所需软件包： - pptpd-1.3.3-1.i386.rpm 1.1.2 检查操作系统版本
执行命令# cat /etc/redhat-release，检查操作系统版本信息。 屏幕显示信息为 Red Hat Enterprise Linux AS release 4 (Nahant Update 7) 表示已是符合要求的RHEL AS 4.0以上版本。 Red Hat Enterprise Linux Server release 5.2 (Tikanga) 表示已是符合要求的RHEL 5.0以上版本。 1.2 安装PPTP VPN Server
1.2.1 基于RHEL AS 4.7的安装步骤
1）更新PPP组件 PPTP需要PPP支持，虽然系统本身具备PPP，但它并不支持MPPE，因此需要更新。 # rpm -Uvh ppp-2.4.3-5.rhel4.i386.rpm 2）安装内核MPPE补丁 MPPE是Microsoft Point to Point Encryption，微软点对点加密，因为PPTP VPN协议是由微软主导开发的，因此必须添加该协议补丁。 # rpm -ivh dkms-2.0.6-1.noarch.rpm # rpm -ivh kernel_ppp_mppe-1.0.2-3dkms.noarch.rpm 安装完成后用以下命令检查内核MPPE补丁是否安装成功： # modprobe ppp-compress-18 && echo ‘ok! MPPE was found !’ 若结果显示“ok! MPPE was found !”则表示成功。 3）安装PPTPD # rpm -ivh pptpd-1.3.3-1.rhel4.i386.rpm 4）检查PPP是否支持MPPE # strings '/usr/sbin/pppd'|grep -i mppe|wc -l 若结果显示“0”则表示不支持，而“30”或更大的数字就表示支持。 1.2.2 基于RHEL 5.2的安装步骤
因为RHEL 5.2的内核已经集成了MPPE和高版本的PPP，因此可以跳过安装配置MPPE和PPP的过程直接安装PPTP。 1）检查内核MPPE补丁 用以下命令检查内核是否支持MPPE补丁： # modprobe ppp-compress-18 && echo ‘ok! MPPE was found !’ 若结果显示“ok! MPPE was found !”则表示支持。 2）检查PPP是否支持MPPE # strings '/usr/sbin/pppd'|grep -i mppe|wc -l 若结果显示“0”则表示不支持，而“30”或更大的数字就表示支持。 3）安装PPTPD # rpm -ivh pptpd-1.3.3-1.i386.rpm 1.3 配置PPTP VPN Server
1.3.1 编辑pptpd.conf文件
编辑 /etc/pptpd.conf文件，配置以下常用选项： option /etc/ppp/options.pptpd //PPP组件将使用的配置文件； stimeout 120 //开始PPTP控制连接的超时时间，以秒计； debug //把所有debug信息记入系统日志/var/log/messages； localip 192.168.1.10 //服务器VPN虚拟接口将分配的IP地址，可设置为与VPN服务器内网地址相同网段的IP，也可以设置为另一网段的IP； remoteip 192.168.1.11-30 //客户端VPN连接成功后将分配的IP地址段，同样可设置为与VPN服务器内网地址相同网段的IP地址段，也可以设置为另一网段的IP地址段； #logwtmp //注释掉该功能项，该功能项的作用是“使用wtmp记录客户端的连接与断开信息”，在RHEL 5.2中会与PPP产生版本冲突，必须注释掉；但在RHEL AS 4.7中不会产生冲突，如果需要可以开启； 1.3.2 编辑options.pptpd文件
编辑 /etc/ppp/options.pptpd文件，配置以下常用选项： auth lock debug proxyarp name pptpd //修改“pptpd”为当前VPN服务器的主机名 multilink refuse-pap refuse-chap refuse-mschap refuse-eap refuse-mschap-v2 require-mppe ms-dns 192.168.1.10 #DNS服务器地址 dump logfile /var/log/pptpd.log #日志存放的路径 1.3.3 编辑chap-secrets文件
编辑 /etc/ppp/chap-secrets文件，配置VPN用户信息： # Secrets for authentication using CHAP # client server secret IP addresses "vpnuser01" * "vpn.user01@sfitc" * "vpnuser02" * "vpn.user02@sfitc" 192.168.1.12 vpnuser01 //用户账号，需要用双引号包含 * //代表自动识别当前服务器主机名，也可以手动配置 vpn.user01@sfitc //用户密码，需要用双引号包含 * //代表自动分配可用的IP地址，可根据需要指定IP地址 除了上面直接编辑配置文件的方式，还可以使用vpnuser命令来进行配置： # vpnuser add vpnuser01 vpn.user01@sfitc //添加一个vpnuser01用户 # vpnuser del vpnuser01 //删除vpnuser01用户 1.3.4 防火墙与路由策略配置
1）配置SELinux 对于默认开启了SELinux的主机，需要进行以下设置： 方法1，关闭SELinux认证 编辑 /etc/selinux/config文件，配置以下选项 SELINUX=disabled 然后执行以下命令使修改生效 # setenforce 0 方法2，配置SELinux认证 执行以下命令使pppd与pptp通过SELinux # setsebool pppd_disable_trans 1 # setssebool pptp_diable_trans 1 2）配置iptables 对与开启了iptables过滤的主机，需要开放VPN服务的端口： 编辑 /etc/sysconfig/iptables文件，加入以下规则 -A RH-Firewall-1-INPUT -p gre -j ACCEPT -A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 47 -j ACCEPT -A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT 然后执行以下命令使修改生效 # iptables -A RH-Firewall-1-INPUT -p gre -j ACCEPT # iptables -A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 47 -j ACCEPT # iptables -A RH-Firewall-1-INPUT –p tcp –m state –state NEW –m tcp –dport 1723 –j ACCEPT 3）开启数据包转发 因为VPN客户端在拨号后实际是通过服务器外网网卡进行数据通信的，那么要访问内网网段的地址就必须开启数据包转发，使外网网卡的数据包能够转发到内网网卡上。 编辑 /etc/rc.local文件，加入以下规则 echo 1 > /proc/sys/net/ipv4/ip_forward 然后执行以下命令时修改生效 echo 1 > /proc/sys/net/ipv4/ip_forward 4）配置路由策略 一般来说，VPN服务器的内网IP是可以直接与所在的局域网通信的，但在某些安全性方面要求很高的环境中，各个网段间默认是隔离的，还需要添加路由策略才行； 添加静态路由使IP段192.168.1.0/24 与192.168.5.0/24互通： # route add -net 192.168.5.0/24 dev eth1 //路由必须指定在内网网卡上，如上面的eth1 # route add -net 192.168.5.0/24 gw 192.168.1.1 dev eth1 //需要网关进行跨网段连接的情况，如上面的192.168.1.1 5）配置共享上网 在VPN客户端成功拨号以后，本地网络的默认网关会变为VPN服务器的VPN内网地址，这样会导致客户端只能够连接VPN服务器及其所在的内网，而不能访问互联网； 要解决这个问题需要配置共享上网策略，使VPN客户端在成功拨号以后，既能够访问对端内网地址，又能够访问互联网； 编辑 /etc/rc.local文件，加入以下规则 iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 221.221.221.221 //规则必须指定外网网卡与外网地址，如上面的eth0和外网地址221.221.221.221 然后执行以下命令时修改生效 # iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 221.221.221.221 6）重启或关闭服务 在修改了VPN服务器的相关配置之后，需要重启VPN服务才能生效 # /etc/init.d/pptpd restart //重启服务不会造成现有VPN连接中断 在需要关闭和开启VPN服务时候，通过以下方式 # /etc/init.d/pptpd stop //关闭服务，会造成现有VPN连接全部断开 # /etc/init.d/pptpd start //开启服务 至此，PPTP VPN Server的相关配置就全部完成了，下面我们讲一下如何使用Windows的VPN客户端进行连接。 1.3.5 客户端连接配置
1）新建连接 右键单击“网上邻居”→“属性”，打开网络连接配置界面； “创建一个新的连接”→“连接到我的工作场所网络” →“虚拟专用网络连接” →“公司名（可以随便填写）” →“不拨初始连接” →“IP地址（填入VPN服务器的IP地址）”→ 选中“在我的桌面上添加一个到此方式的快捷方式”，最后单击“完成”，就建立起了一个新的VPN连接。 2）建立连接 双击刚才建立好的连接，填入设置好的用户名和密码，单击“确定”进行连接。 连接成功后，在连接的“详细信息”里可以看到服务器所分配的IP地址等信息，这时就可以跟连接进入的局域网里的其它计算机进行通信了。 3）高级选项 如果能确定对端内网地址的网段与VPN拨号连接后本地所分配的地址的网段相同，那么就可以不通过上面的“配置共享上网”步骤，而使VPN客户端在成功拨号以后，既能够访问对端内网地址，又能够访问互联网； 右键单击刚刚创建的连接，再依次单击“属性”→“网络（选择TCP/IP协议）”→“属性”→“高级”，然后把“在远程网络上使用默认网关”前面的勾去掉，单击“确定”，然后再重新建立连接。 4）网络要求 必须注意的是，通过路由器等设备共享上网的用户，其本地内网的网段不能与对端的内网网段相同，如果相同会导致在成功拨号后，不能正常的进行数据通讯； 造成这个问题的原因在于本地电脑的直连路由策略，它会定义本地网络的同一网段的数据包仅在内网询问，而不需要经过网关；因此要解决这个问题，必须更改本地内网的网段才行。
内容
1.1 安装前的准备工作
介绍在安装前所需的准备工作。
1.2安装PPTP VPN Server
介绍如何安装PPTP VPN Server。
1.3 配置PPTP VPN Server
介绍如何配置PPTP VPN Server。
1.1 安装前的准备工作
1.1.1 获取PPTP VPN Server安装包
确保已取得PPTP VPN Server的相关安装文件； 基于RedHat Linux AS4 Update7操作系统所需软件包： -dkms-2.0.6-1.noarch.rpm -kernel_ppp_mppe-1.0.2-3dkms.noarch.rpm -ppp-2.4.3-5.rhel4.i386.rpm -pptpd-1.3.3-1.rhel4.i386.rpm 基于RedHat Enterprise Linux 5 Update2操作系统所需软件包： - pptpd-1.3.3-1.i386.rpm 1.1.2 检查操作系统版本
执行命令# cat /etc/redhat-release，检查操作系统版本信息。 屏幕显示信息为 Red Hat Enterprise Linux AS release 4 (Nahant Update 7) 表示已是符合要求的RHEL AS 4.0以上版本。 Red Hat Enterprise Linux Server release 5.2 (Tikanga) 表示已是符合要求的RHEL 5.0以上版本。 1.2 安装PPTP VPN Server
1.2.1 基于RHEL AS 4.7的安装步骤
1）更新PPP组件 PPTP需要PPP支持，虽然系统本身具备PPP，但它并不支持MPPE，因此需要更新。 # rpm -Uvh ppp-2.4.3-5.rhel4.i386.rpm 2）安装内核MPPE补丁 MPPE是Microsoft Point to Point Encryption，微软点对点加密，因为PPTP VPN协议是由微软主导开发的，因此必须添加该协议补丁。 # rpm -ivh dkms-2.0.6-1.noarch.rpm # rpm -ivh kernel_ppp_mppe-1.0.2-3dkms.noarch.rpm 安装完成后用以下命令检查内核MPPE补丁是否安装成功： # modprobe ppp-compress-18 && echo ‘ok! MPPE was found !’ 若结果显示“ok! MPPE was found !”则表示成功。 3）安装PPTPD # rpm -ivh pptpd-1.3.3-1.rhel4.i386.rpm 4）检查PPP是否支持MPPE # strings '/usr/sbin/pppd'|grep -i mppe|wc -l 若结果显示“0”则表示不支持，而“30”或更大的数字就表示支持。 1.2.2 基于RHEL 5.2的安装步骤
因为RHEL 5.2的内核已经集成了MPPE和高版本的PPP，因此可以跳过安装配置MPPE和PPP的过程直接安装PPTP。 1）检查内核MPPE补丁 用以下命令检查内核是否支持MPPE补丁： # modprobe ppp-compress-18 && echo ‘ok! MPPE was found !’ 若结果显示“ok! MPPE was found !”则表示支持。 2）检查PPP是否支持MPPE # strings '/usr/sbin/pppd'|grep -i mppe|wc -l 若结果显示“0”则表示不支持，而“30”或更大的数字就表示支持。 3）安装PPTPD # rpm -ivh pptpd-1.3.3-1.i386.rpm 1.3 配置PPTP VPN Server
1.3.1 编辑pptpd.conf文件
编辑 /etc/pptpd.conf文件，配置以下常用选项： option /etc/ppp/options.pptpd //PPP组件将使用的配置文件； stimeout 120 //开始PPTP控制连接的超时时间，以秒计； debug //把所有debug信息记入系统日志/var/log/messages； localip 192.168.1.10 //服务器VPN虚拟接口将分配的IP地址，可设置为与VPN服务器内网地址相同网段的IP，也可以设置为另一网段的IP； remoteip 192.168.1.11-30 //客户端VPN连接成功后将分配的IP地址段，同样可设置为与VPN服务器内网地址相同网段的IP地址段，也可以设置为另一网段的IP地址段； #logwtmp //注释掉该功能项，该功能项的作用是“使用wtmp记录客户端的连接与断开信息”，在RHEL 5.2中会与PPP产生版本冲突，必须注释掉；但在RHEL AS 4.7中不会产生冲突，如果需要可以开启； 1.3.2 编辑options.pptpd文件
编辑 /etc/ppp/options.pptpd文件，配置以下常用选项： auth lock debug proxyarp name pptpd //修改“pptpd”为当前VPN服务器的主机名 multilink refuse-pap refuse-chap refuse-mschap refuse-eap refuse-mschap-v2 require-mppe ms-dns 192.168.1.10 #DNS服务器地址 dump logfile /var/log/pptpd.log #日志存放的路径 1.3.3 编辑chap-secrets文件
编辑 /etc/ppp/chap-secrets文件，配置VPN用户信息： # Secrets for authentication using CHAP # client server secret IP addresses "vpnuser01" * "vpn.user01@sfitc" * "vpnuser02" * "vpn.user02@sfitc" 192.168.1.12 vpnuser01 //用户账号，需要用双引号包含 * //代表自动识别当前服务器主机名，也可以手动配置 vpn.user01@sfitc //用户密码，需要用双引号包含 * //代表自动分配可用的IP地址，可根据需要指定IP地址 除了上面直接编辑配置文件的方式，还可以使用vpnuser命令来进行配置： # vpnuser add vpnuser01 vpn.user01@sfitc //添加一个vpnuser01用户 # vpnuser del vpnuser01 //删除vpnuser01用户 1.3.4 防火墙与路由策略配置
1）配置SELinux 对于默认开启了SELinux的主机，需要进行以下设置： 方法1，关闭SELinux认证 编辑 /etc/selinux/config文件，配置以下选项 SELINUX=disabled 然后执行以下命令使修改生效 # setenforce 0 方法2，配置SELinux认证 执行以下命令使pppd与pptp通过SELinux # setsebool pppd_disable_trans 1 # setssebool pptp_diable_trans 1 2）配置iptables 对与开启了iptables过滤的主机，需要开放VPN服务的端口： 编辑 /etc/sysconfig/iptables文件，加入以下规则 -A RH-Firewall-1-INPUT -p gre -j ACCEPT -A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 47 -j ACCEPT -A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT 然后执行以下命令使修改生效 # iptables -A RH-Firewall-1-INPUT -p gre -j ACCEPT # iptables -A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 47 -j ACCEPT # iptables -A RH-Firewall-1-INPUT –p tcp –m state –state NEW –m tcp –dport 1723 –j ACCEPT 3）开启数据包转发 因为VPN客户端在拨号后实际是通过服务器外网网卡进行数据通信的，那么要访问内网网段的地址就必须开启数据包转发，使外网网卡的数据包能够转发到内网网卡上。 编辑 /etc/rc.local文件，加入以下规则 echo 1 > /proc/sys/net/ipv4/ip_forward 然后执行以下命令时修改生效 echo 1 > /proc/sys/net/ipv4/ip_forward 4）配置路由策略 一般来说，VPN服务器的内网IP是可以直接与所在的局域网通信的，但在某些安全性方面要求很高的环境中，各个网段间默认是隔离的，还需要添加路由策略才行； 添加静态路由使IP段192.168.1.0/24 与192.168.5.0/24互通： # route add -net 192.168.5.0/24 dev eth1 //路由必须指定在内网网卡上，如上面的eth1 # route add -net 192.168.5.0/24 gw 192.168.1.1 dev eth1 //需要网关进行跨网段连接的情况，如上面的192.168.1.1 5）配置共享上网 在VPN客户端成功拨号以后，本地网络的默认网关会变为VPN服务器的VPN内网地址，这样会导致客户端只能够连接VPN服务器及其所在的内网，而不能访问互联网； 要解决这个问题需要配置共享上网策略，使VPN客户端在成功拨号以后，既能够访问对端内网地址，又能够访问互联网； 编辑 /etc/rc.local文件，加入以下规则 iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 221.221.221.221 //规则必须指定外网网卡与外网地址，如上面的eth0和外网地址221.221.221.221 然后执行以下命令时修改生效 # iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 221.221.221.221 6）重启或关闭服务 在修改了VPN服务器的相关配置之后，需要重启VPN服务才能生效 # /etc/init.d/pptpd restart //重启服务不会造成现有VPN连接中断 在需要关闭和开启VPN服务时候，通过以下方式 # /etc/init.d/pptpd stop //关闭服务，会造成现有VPN连接全部断开 # /etc/init.d/pptpd start //开启服务 至此，PPTP VPN Server的相关配置就全部完成了，下面我们讲一下如何使用Windows的VPN客户端进行连接。 1.3.5 客户端连接配置
1）新建连接 右键单击“网上邻居”→“属性”，打开网络连接配置界面； “创建一个新的连接”→“连接到我的工作场所网络” →“虚拟专用网络连接” →“公司名（可以随便填写）” →“不拨初始连接” →“IP地址（填入VPN服务器的IP地址）”→ 选中“在我的桌面上添加一个到此方式的快捷方式”，最后单击“完成”，就建立起了一个新的VPN连接。 2）建立连接 双击刚才建立好的连接，填入设置好的用户名和密码，单击“确定”进行连接。 连接成功后，在连接的“详细信息”里可以看到服务器所分配的IP地址等信息，这时就可以跟连接进入的局域网里的其它计算机进行通信了。 3）高级选项 如果能确定对端内网地址的网段与VPN拨号连接后本地所分配的地址的网段相同，那么就可以不通过上面的“配置共享上网”步骤，而使VPN客户端在成功拨号以后，既能够访问对端内网地址，又能够访问互联网； 右键单击刚刚创建的连接，再依次单击“属性”→“网络（选择TCP/IP协议）”→“属性”→“高级”，然后把“在远程网络上使用默认网关”前面的勾去掉，单击“确定”，然后再重新建立连接。 4）网络要求 必须注意的是，通过路由器等设备共享上网的用户，其本地内网的网段不能与对端的内网网段相同，如果相同会导致在成功拨号后，不能正常的进行数据通讯； 造成这个问题的原因在于本地电脑的直连路由策略，它会定义本地网络的同一网段的数据包仅在内网询问，而不需要经过网关；因此要解决这个问题，必须更改本地内网的网段才行。
相关阅读 更多 +
