Vpn: dubbio traffico internet

[mrnos]

Ciao a tutti,
da qualche tempo ho necessità per lavoro di collegarmi ad un computer remoto posto in una rete aziendale. Alla rete accedo tramite una vpn. La mia esigenza è quella di riuscire a controllare le e-mail tramite Mail mentre sono collegato in vpn.
Ho tentato togliendo il check dalla voce "Invia tutto il traffico in connessione VPN" ma non ha avuto l'effetto atteso.
Praticamente tutto il traffico generato dal mac viene dirottato alla vpn.

Qualcuno sa darmi un consiglio?

ciao ciao

[Sisupoika]

E' probabile che la VPN sia stata configurata per fare il "push" delle routes verso il client, forzando la redirezione di tutto il traffico verso il gateway.

Cmq, se non riesci ad usare la posta mentre sei connesso alla VPN, e' probabile che si tratti di un problema con la risoluzione DNS, quindi relativa all'hostname che usi per connetterti al mail server. Potrebbe darsi che il mail server vada raggiunto con un altro hostname o anche un IP privato quando sei dietro alla VPN.


Che VPN e'?

[mrnos]

Originariamente inviato da Sisupoika

Che VPN e'?

si tratta di una vpn PPTP che ho configurato direttamente tra i network di sistema con le configurazioni che mi ha fornito l'azienda

[Sisupoika]

Originariamente inviato da mrnos

si tratta di una vpn PPTP che ho configurato direttamente tra i network di sistema con le configurazioni che mi ha fornito l'azienda

Potresti postare il risultato di 'netstat -nr'?

[Sisupoika]

Un chiarimento: stai cercando di accedere ad un mail server aziendale, per cui hai bisogno dell'accesso vpn, o intendevi che non riesci ad accedere per es. la tua mail personale mentre sei connesso alla vpn?

[mrnos]

La connessione VPN funziona perfettamente e riesco a lavorare in remoto. Il problema è che non ho più accesso ad internet in locale una volta che metto in funzione la vpn.
Per esempio, se cerco di accedere ad una pagina internet tramite browser, viene restitutita una pagina di errore del router aziendale, sintomo, se non erro, che la richiesta passa tramite vpn invece di cercare di uscire direttamente sulla rete locale.
Di seguito il risultato del comando netstat -nr lanciato dopo la connessione in vpn.

Routing tables

Internet:
Destination Gateway Flags Refs Use Netif Expire
default 10.0.0.54 UGSc 2 0 ppp0
10/24 ppp0 USc 1 0 ppp0
10.0.0.54 10.0.0.209 UH 3 0 ppp0
10.37.129/24 link#11 UC 2 0 vnic1
10.37.129.2 0:1c:42:0:0:9 UHLW 1 3 lo0
10.37.129.255 ff:ff:ff:ff:ff:ff UHLWb 0 6 vnic1
10.211.55/24 link#10 UC 2 0 vnic0
10.211.55.2 0:1c:42:0:0:8 UHLW 0 3 lo0
10.211.55.255 ff:ff:ff:ff:ff:ff UHLWb 0 6 vnic0
127 127.0.0.1 UCS 0 0 lo0
127.0.0.1 127.0.0.1 UH 2 253 lo0
169.254 link#6 UCS 1 0 en1
169.254.50.86 0:23:6c:8e:64:34 UHLW 0 0 en1 134
192.168.1/25 link#6 UCS 6 0 en1
192.168.1.1 0:24:89:2d:64:8c UHLW 1 393 en1 1186
192.168.1.2 0:26:5e:25:bf:a3 UHLW 0 0 en1 1191
192.168.1.4 127.0.0.1 UHS 0 0 lo0
192.168.1.5 0:1c:bf:61:97:2b UHLW 0 0 en1 1165
192.168.1.6 0:23:6c:8e:64:34 UHLW 0 0 en1 126
192.168.1.7 0:23:6c:8e:64:34 UHLW 0 0 en1 1053
192.168.1.127 ff:ff:ff:ff:ff:ff UHLWb 0 6 en1
212.177.3.85 192.168.1.1 UGHS 75 75 en1

Internet6:
Destination Gateway Flags Netif Expire
::1 link#1 UHL lo0
fe80::%lo0/64 fe80::1%lo0 Uc lo0
fe80::1%lo0 link#1 UHL lo0
fe80::%en1/64 link#6 UC en1
fe80::223:6cff:fe8e:6916%en1 0:23:6c:8e:69:16 UHL lo0
ff01::/32 ::1 U lo0
ff02::/32 fe80::1%lo0 UC lo0
ff02::/32 link#6 UC en1

[Sisupoika]

potresti cambiare le routes manualmente o con degli script on up/down quando avvii e termini la connessione vpn.

cmq mi viene un dubbio... se la vpn ti fa il push del gateway, etc. e dns?
cosa vedi se fai nslookup (un sito)?
e se fai per es. ping (ip qualunque sito)?

[mrnos]

Originariamente inviato da Sisupoika

cosa vedi se fai nslookup (un sito)?
e se fai per es. ping (ip qualunque sito)?

se faccio l'nslookup di google mi restituisce i dati sei server google, con altri siti invece viene restituito "Non-authoritative answer:".

[Sisupoika]

Originariamente inviato da mrnos

se faccio l'nslookup di google mi restituisce i dati sei server google, con altri siti invece viene restituito "Non-authoritative answer:".

ma ti risolve?

[mrnos]

Originariamente inviato da Sisupoika

ma ti risolve?

yezzz, restituisce name e address del sito

[Sisupoika]

Ok, thanks.

default 10.0.0.54 UGSc 2 0 ppp0

Quindi DNS e' OK, e sappiamo che la default route redirige tutto il traffico verso il gateway VPN.

Prova

route add default <ip address del TUO router/gateway>

Se cosi' Internet ti funziona normalmente, puo' darsi che qualcosa si screwed up nella configurazione della VPN o delle impostazioni oggetto del push.

In questo caso dovresti verificare con chi amministra la VPN, ma se non puoi o non vuoi, potresti allora crearti uno script o simile che modifichi la default route per evitare il redirect di tutto il traffico verso il gateway VPN.

Cmq sei sicuro che nelle impostazioni della connessione, hai disabilitato di far appunto redirect del traffico verso il gateway?

[mrnos]

Originariamente inviato da Sisupoika

Cmq sei sicuro che nelle impostazioni della connessione, hai disabilitato di far appunto redirect del traffico verso il gateway?

No, non sono sicuro di questo. Infatti chiedevo se qualcuno sa come impostare questo paramentro nella vpn di mac os. Per esempio, nella macchina virtuale win c'è un'opzione nelle impostazioni della vpn che permette di fare proprio questo. Nei settaggi della vpn in mac os ho provato con l'opzione "Invia tutto il traffico in connessione vpn" (disabilitandola) credendo fosse il corrispondente ma niente da fare.

[mrnos]

Originariamente inviato da Sisupoika

Prova

route add default <ip address del TUO router/gateway>

Nada....con questo comando non funziona, restituisce il solito errore di pagina bloccata dal server in vpn.

[Sisupoika]

Originariamente inviato da mrnos

No, non sono sicuro di questo. Infatti chiedevo se qualcuno sa come impostare questo paramentro nella vpn di mac os. Per esempio, nella macchina virtuale win c'è un'opzione nelle impostazioni della vpn che permette di fare proprio questo. Nei settaggi della vpn in mac os ho provato con l'opzione "Invia tutto il traffico in connessione vpn" (disabilitandola) credendo fosse il corrispondente ma niente da fare.

E' quello li', infatti. Giusto per confermare, parli di questa opzione?

[Sisupoika]

Originariamente inviato da mrnos

Nada....con questo comando non funziona, restituisce il solito errore di pagina bloccata dal server in vpn.

Sicuro di aver messo l'ip corretto del tuo router?

[mrnos]

Originariamente inviato da Sisupoika

E' quello li', infatti. Giusto per confermare, parli di questa opzione?

si è proprio quella l'opzione. Per quanto riguarda il comando l'ho provato sia in connessione vpn che "liscio" e nel primo caso non uscivo, nel secondo si...

[mrnos]

Un aggiornamento: riprovando a testare l'opzione "incriminata" dell'invio del traffico alla vpn, stamattina ho fatto altri test. Il risultato è che togliendo il check dall'opzione risulta che riesco a connettermi alla vpn, riesco ad uscire in internet nella macchina fisica ( la posta la leggo tranquillamente) , ma non riesco a connettermi al desktop remoto del pc aziendale.
Mi è venuta in mente una cosa: la connessione la faccio attraverso "connessione desktop remoto" inserendo il nome della macchina remota che ho mappato nel file host con il suo indirizzo: è possibile che questo influenzi la connessione?

[Sisupoika]

Uhm, potresti essere sulla strada giusta.
Se puoi fare tutto tranne che connetterti alla macchina remota con RDP: quando ti connetti, usi un IP address oppure un hostname? Se usi un hostname, e' probabile che il problema sia con la risoluzione DNS di quell'hostname quando non redirigi tutto il traffico verso il gateway VPN. Cioe', se, per esempio, l'hostname che usi per connetterti e' macchina-remota.company.com, e' probabile che questo DNS record non sia disponibile nei public DNS, ma lo sia soltanto in un DNS server privato che sta' dietro la VPN; questo spiegherebbe perche' se invece redirezioni tutto il traffico verso la VPN, la connessione funziona. Quando non redirezioni tutto il traffico, invece, usi i DNS servers specificati nella tua connessione Internet, il che vuol dire che se quell'hostname non e' disponibile pubblicamente (molte aziende usano private hostnames per accedere alle loro macchine per limitare i rischi di attacchi dovuti ad un facile discovery), il DNS server usato per effettuare il lookup rispondera' on un "NX" = non existent domain.

Tanto per cominciare, fai questa prova.

- Attiva l'opzione di redirezione di tutto il traffico verso il gateway della VPN
- Assicurati che la connessione alla macchina remota funzioni, come atteso
- da un terminal, esegui "ping <hostname della macchina remota>", e prendi nota dell'indirizzo privato usato per connetterti a quella macchina
- Chiudi la connessione VPN, disattiva la famosa opzione per redirezionare tutto il traffico, e riavvia la connessione VPN
- Assicurati che Internet funzioni normalmente mentre, come hai gia' visot prima, la connessione alla macchina remota non va

Adesso hai due possibilita':
1)
- sudo nano /etc/hosts
- aggiungi la linea: <ip address di cui hai preso nota prima> <tab> <hostname della macchina remota>
- salva ed esci
- prova a connetterti alla macchina remota come al solito

2) prova a connetterti alla macchina remota usando non lo hostname, ma l'ip address di cui hai preso nota prima



(nota: io trovo molto comodo usare la gem "ghost" per gestire hosts definiti localmente:

per installarla
- sudo gem install ghost --no-ri --no-rdoc

per usarla
- ghost <hostname> <ip address> )

[Sisupoika]

Originariamente inviato da mrnos

Un aggiornamento: riprovando a testare l'opzione "incriminata" dell'invio del traffico alla vpn, stamattina ho fatto altri test. Il risultato è che togliendo il check dall'opzione risulta che riesco a connettermi alla vpn, riesco ad uscire in internet nella macchina fisica ( la posta la leggo tranquillamente) , ma non riesco a connettermi al desktop remoto del pc aziendale.
Mi è venuta in mente una cosa: la connessione la faccio attraverso "connessione desktop remoto" inserendo il nome della macchina remota che ho mappato nel file host con il suo indirizzo: è possibile che questo influenzi la connessione?

Sorry, mi sono appena accorto di aver letto troppo rapidamente (sono al lavoro) la parte finale del tuo reply.


Che cosa hai gia' nel tuo hosts file?

[mrnos]

Originariamente inviato da Sisupoika

Che cosa hai gia' nel tuo hosts file?

ho inserito <ip della macchina remota> <hostname della medesima>.

di solito mi connetto con l'hostname, per fare i test ho provato sia inserendo l'hostname che l'ip ma il risultato è il medesimo.

infatti con l'opzione di invio traffico disabilitata non pingo nè l'ip nè l'host name