Centos7.x 的pptp 搭建实践

Centos7.x 的pptp 搭建实践

前言

办公网出口路由器已经有L2TP+IPSec，但是没有做权限控制。这个vpn是在出口路由器做的，为了能权限控制，决定服务器搭建 pptp vpn 然后在iptables实现权限控制。

前置项

 vim /f

net.ipv4.ip_forward = 1## 生效
sysctl -p

实施

##
yum install pptpd -y### 指定dns
## vim /etc/ppp/options.pptpd
ms-dns 192.168.2.3
ms-dns 10.10.10.10### vim /f
connections 100  # 最大连接数
localip 172.20.10.1  # vpn 服务器占用的ip
remoteip 172.20.10.100-200   # 客户端获取的ip地址### vim /etc/ppp/chap-secretstest pptpd 123456 *    # 依次是 用户名 服务  密码 允许的主机

防火墙

# Generated by iptables-save v1.4.21 on Fri Aug 26 10:03:51 2022
*mangle
:PREROUTING ACCEPT [96543:28579200]
:INPUT ACCEPT [66755:4995237]
:FORWARD ACCEPT [29759:23578516]
:OUTPUT ACCEPT [71194:25675919]
:POSTROUTING ACCEPT [100510:49223134]
COMMIT
# Completed on Fri Aug 26 10:03:51 2022
# Generated by iptables-save v1.4.21 on Fri Aug 26 10:03:51 2022
*nat
:PREROUTING ACCEPT [51784:3500951]
:INPUT ACCEPT [51224:3451486]
:OUTPUT ACCEPT [3:180]
:POSTROUTING ACCEPT [3:180]
-A POSTROUTING -s 172.20.10.0/24 -o ens192 -j MASQUERADE
COMMIT
# Completed on Fri Aug 26 10:03:51 2022
# Generated by iptables-save v1.4.21 on Fri Aug 26 10:03:51 2022
*filter
:INPUT ACCEPT [492:34272]
:FORWARD ACCEPT [14:785]
:OUTPUT ACCEPT [479:22292]
-A FORWARD -d 10.10.12.0/24 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -d 192.168.0.0/16 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -d 10.10.10.245/32 -j ACCEPT
-A FORWARD -d 10.10.10.0/24 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -d 10.10.11.0/24 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Fri Aug 26 10:03:51 2022

防火墙的访问控制

要限制拨号上来的客户端，需要在FORWARD 链进行限制。

## 这是单个限制，保存之后不是这样
iptables -I FORWARD -d 192.168.0.0/16  -j REJECT## 放行
iptables -I FORWARD -d 10.10.10.245/32  -j ACCEPT###
service iptables save

是指所有网站都能打开脚本

#!/bin/bashnum=$(ifconfig |grep "ppp[0-9]"|wc -l)jihe=$(ifconfig |grep "ppp[0-9]"|cut -d ':' -f1)if [ $num -gt 0 ];thenfor ((i=0; i<$num; i++))doifconfig ppp$i mtu 1472echo "set ppp$i mtu have done"donefi

可以后台执行：

$cat /opt/scripts/wuxian.sh 
#!/bin/bash
while true
dobash /opt/scripts/set_mtu_pptpd.sh sleep 2
done