Elastic Compute Service:Como configurar uma conexão entre um servidor VPN PPTP e um cliente VPN PPTP em uma instância CentOS 7?

Pré-requisitos

• Uma instância ECS criada. Para obter informações sobre como criar uma instância ECS, consulte Criar uma instância na aba Custom Launch.

As seções a seguir utilizam uma instância ECS com as especificações abaixo. Para evitar erros de comando causados por diferenças na versão do sistema operacional, recomenda-se usar a mesma versão.

• Uma regra de entrada adicionada a um grupo de segurança da instância ECS para permitir tráfego na porta 1723 e na porta do protocolo Generic Routing Encapsulation (GRE). Para mais informações, consulte Gerenciar regras de grupo de segurança.

Etapa 1: Configure o PPTP

A tabela a seguir lista os arquivos de configuração modificados nesta etapa.

1. Instale o servidor VPN PPTP. Execute o seguinte comando para instalar os pacotes necessários:

      yum install -y ppp pptpd

2. Modifique o arquivo de configuração do daemon PPTP (pptpd). Especifique o intervalo de endereços IP para atribuição aos clientes. Isso garante que cada dispositivo conectado obtenha um endereço IP exclusivo. Execute o comando vim /etc/pptpd.conf para abrir o arquivo de configuração e adicione as seguintes linhas: Verificação: Após salvar o arquivo, confirme que as entradas localip e remoteip aparecem no final do arquivo.

   Nota

   • O parâmetro localip especifica o endereço do servidor VPN PPTP. Na maioria dos casos, recomenda-se usar o endereço IP privado do servidor. Defina esse valor conforme o seu cenário real.

   • O parâmetro remoteip especifica o intervalo de endereços IP atribuídos aos clientes VPN PPTP. Para evitar conflitos, certifique-se de que os endereços neste intervalo não estejam em uso por outros dispositivos. Defina esse valor conforme o seu cenário real.

      localip 192.168.0.1
      remoteip 192.168.0.230-238

3. Configure o Domain Name System (DNS). Adicione servidores DNS para que os clientes conectados à VPN PPTP possam resolver nomes de domínio. Execute o comando vim /etc/ppp/options.pptpd para abrir o arquivo e adicione as seguintes linhas: Verificação: Após salvar o arquivo, confirme que as entradas ms-dns aparecem no arquivo.

   Nota

   223.5.5.5 e 223.6.6.6 são servidores DNS públicos da Alibaba Cloud. Você pode substituí-los por outros endereços de servidor DNS conforme as necessidades do seu negócio.

      ms-dns 223.5.5.5
      ms-dns 223.6.6.6

4. Crie um usuário. Crie credenciais para autenticação do cliente. O servidor VPN PPTP autentica cada cliente para garantir que apenas usuários autorizados acessem a VPN. Execute o comando vim /etc/ppp/chap-secrets para abrir o arquivo. Adicione contas no seguinte formato, uma conta por linha, com itens separados por espaços: Verificação: Após salvar o arquivo, confirme que a entrada do usuário aparece no arquivo.

   Nota

   Exemplo: test pptpd 123456 *. O caractere curinga asterisco (*) indica que o usuário pode se conectar a partir de qualquer endereço IP.

      <Username> pptpd <Password> <IP address>

      test pptpd 123456 *

5. Defina a Unidade Máxima de Transmissão (MTU). Ajustar a MTU otimiza o desempenho da rede ao reduzir a fragmentação de pacotes e melhorar a eficiência da transmissão de dados. Execute o comando vim /etc/ppp/ip-up para abrir o arquivo e adicione a seguinte linha: Verificação: Após salvar o arquivo, confirme que a entrada ifconfig ppp0 mtu 1472 aparece no arquivo.

      ifconfig ppp0 mtu 1472

6. Inicie o PPTP. Execute os seguintes comandos para iniciar o serviço PPTP e habilitar sua inicialização automática na inicialização do sistema:

      systemctl start pptpd
      systemctl enable pptpd.service

Etapa 2: Habilitar o encaminhamento de IP

Para permitir que o sistema encaminhe pacotes IP entre interfaces de rede, execute as etapas a seguir:

1. Execute o seguinte comando para habilitar o encaminhamento de IP:

      echo "net.ipv4.ip_forward = 1" >>/etc/sysctl.conf

2. Verificação: Após executar o comando, confirme que o arquivo /etc/sysctl.conf contém a linha net.ipv4.ip_forward = 1.

3. Execute o seguinte comando para aplicar a configuração:

      sysctl -p

Etapa 3: Configure o firewall iptables

Use o firewall iptables para controlar o tráfego de rede de entrada e saída. Por exemplo, configure vários computadores para compartilhar um único endereço IP de acesso à Internet.

1. Desative o serviço firewalld padrão.

      systemctl stop firewalld
      systemctl mask firewalld

2. Instale o serviço iptables.

      yum install -y iptables-services

3. Inicie o serviço iptables e habilite sua inicialização automática na inicialização do sistema.

      systemctl start iptables
      systemctl enable iptables

4. Adicione regras para permitir conexões PPTP.

      # Accept incoming TCP connections on port 1723 (PPTP control channel).
      iptables -I INPUT -p tcp --dport 1723 -m state --state NEW -j ACCEPT
   
      # Allow the GRE protocol (IP protocol 47), which PPTP uses for data tunneling.
      iptables -I INPUT -p gre -j ACCEPT

5. Adicione uma regra de encaminhamento iptables para mascaramento de endereço de origem. Essa regra usa mascaramento para traduzir dinamicamente o endereço de origem dos pacotes de saída do bloco Classless Inter-Domain Routing (CIDR) do cliente VPN. Substitua 192.168.0.0/24 pelo bloco CIDR usado para atribuir endereços IP aos seus clientes VPN PPTP.

      iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

6. Adicione uma regra de encaminhamento de Network Address Translation (NAT) para traduzir o endereço IP de origem. Esta regra Source NAT (SNAT) traduz o endereço de origem dos pacotes do bloco CIDR do cliente VPN para um endereço IP público específico. Substitua 192.168.0.0/24 pelo bloco CIDR do seu cliente. Substitua XXX.XXX.XXX.XXX pelo endereço IP público da instância ECS onde o servidor VPN PPTP está em execução.

      iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to-source XXX.XXX.XXX.XXX

7. Salve a configuração do iptables.

      service iptables save

8. Reinicie o serviço iptables.

      systemctl restart iptables

O que fazer se eu não conseguir abrir um site no navegador?

Se, após configurar a VPN PPTP e estabelecer uma conexão, você não conseguir abrir um site no navegador, mas conseguir executar ping com sucesso para o nome de domínio do site, o problema provavelmente decorre de configurações inválidas de MTU. Use um dos métodos a seguir para resolver o problema:

• Método 1 (correção temporária)

  1. Conecte-se ao servidor CentOS onde a VPN está configurada.

  2. Execute o seguinte comando:

     ifconfig ppp0 mtu 1472

  3. Verifique se agora é possível abrir o site no navegador. Se o site abrir, o problema foi resolvido.

  Nota

  O Método 1 é uma solução temporária. A configuração é perdida quando a conexão PPP é reiniciada. Para tornar a correção permanente, use o Método 2.

• Método 2 (correção permanente)

  1. Conecte-se ao servidor CentOS onde a VPN está configurada.

  2. Execute o comando vim /etc/ppp/ip-up para abrir o arquivo /etc/ppp/ip-up.

  3. Adicione a seguinte linha ao arquivo:

     ifconfig ppp0 mtu 1472

     Após salvar o arquivo, a MTU será definida automaticamente sempre que uma conexão PPP for estabelecida.

  4. Verifique se agora é possível abrir o site no navegador. Se o site abrir, o problema foi resolvido.

O que fazer se eu obtiver um endereço IP incorreto?

Ao se conectar a uma VPN a partir de um cliente, você pode obter o endereço IP da NIC interna da sua instância em vez de um endereço IP atribuído pelo servidor VPN. Por exemplo, se o seu cliente VPN for chamado testvpn, execute as etapas a seguir para resolver o problema.

1. Conecte-se ao servidor CentOS onde a VPN está configurada.

2. Execute o comando vim /etc/ppp/peers/testvpn para abrir o arquivo de configuração /etc/ppp/peers/testvpn do cliente PPP. Adicione o parâmetro noipdefault ao arquivo.

3. Execute os seguintes comandos para reiniciar o cliente. Após reconectar-se à VPN, você deverá obter o endereço IP correto.

   Nota

   Ao reiniciar o cliente, o parâmetro noipdefault pode ser sobrescrito por um parâmetro passado pelo servidor. Se o parâmetro noipdefault for sobrescrito, verifique a configuração do servidor.

      poff testvpn
      pon testvpn