64BitCentOS5.5單網卡配置PPTPD服務器
【51CTO.com 獨家特稿】 公司的辦公網絡是192.168.4.0/24，均只用單網卡eth0，通過Juniper防火墻映射公網IP上網，即內網內所有的機器的網關均是防火墻的固定IP-192.168.4.3,目前想通過外網撥號(VPN服務器IP為192.168.4.222)進公司內部局域網進行辦公，因為內網里還有些SVN、samba文件服務器等，即VPN需求要做成點對局的。
公司的辦公拓補很簡單，如下圖：
初期因為我有成功的opevVPN點對點案例，所以考慮用openVPN來做；卻不料失敗了，點對點很順利能成功，但點對局卻失敗了。大家可看下openVPN的關鍵之處：
關鍵一：取消注釋 push "route 192.168.4.0 255.255.255.0"，并將地址和掩碼替換為辦公網絡的地址和掩碼
目的是為客戶端加一條路由，這樣客戶端才有可能訪問到辦公網絡中出VPN Server之外的其它主機（有很多VPN客戶端直接添加默認路由，這樣客戶端的所有連接請求都被路由到 VPN 通道內，結果是客戶端此時不能訪問VPN，而此項添加指定地址的路由不會導致這一問題）
關鍵二：server端開啟ip轉發
配置服務器，運行包轉發： echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward關鍵三：若VPN Server不是辦公網絡的默認網關，則想辦法在默認網關上添加到 10.8.0.0／24 的路由項目，網關為服務器的內部 IP 地址。
關鍵一中的操作只是能夠讓客戶端知道去往公司網絡的包如何路由，而關鍵三的操作是為了讓公司網絡里的主機知道去往VPN Client的包如何路由。
其實第三步本來其實也很好實現，但由于我們的辦公網絡由美國總部劃分，防火墻是不能隨便添加靜態路由的，雖然VPN進行到這步時基本就告失敗了。今天特的嘗試了單網卡下配置pptpd的過程，很順利的就將點對局實現了，特將過程跟大家分享下：#p#
操作系統:64位的Centos5.5，IP:192.168.4.222，準備安裝pptpd服務，安裝過程參考了網友Ren的相關文章，我更喜歡將精力集中在以后的調優、安全及分析上，其過程如下：
1、檢查服務器是否有必要的支持。如果檢查結果沒有這些支持的話，是不能安裝pptp的。執行指令：
- #modprobe ppp-compress-18 && echo ok
這條執行執行后，顯示"ok"則表明通過。不過接下來還需要做另一個檢查，輸入指令：
- #cat /dev/net/tun
如果這條指令顯示結果為下面的文本，則表明通過：
- cat: /dev/net/tun: File descriptor in bad state
2、修改內核設置，使其支持轉發。這步必須做，不然你僅僅能連結你的VPN機器，后面的局域網的資源你均不能訪問。編輯/etc/sysctl.conf文件：
- #vim /etc/sysctl.conf
將"net.ipv4.ip_forward"改為1，變成下面的形式：
- net.ipv4.ip_forward=1
保存退出，并執行下面的命令來生效它：
- #sysctl -p
3、安裝pptp。這個軟件在yum源里是沒有的，我們需要手動下載。我們先切換到tmp目錄：
- #cd /tmp
然后執行下面的命令來下載pptp安裝包：#wget http://acelnmp.googlecode.com/files/pptpd-1.3.4-1.rhel5.1.i386.rpm （32位系統使用）#wget http://acelnmp.googlecode.com/files/pptpd-1.3.4-1.rhel5.1.x86_64.rpm （64位系統使用）
如果你的CentOS是32位的，則執行32位的那條指令；如果是64位的CentOS，則執行64位的那條指令。注意不要搞錯了。
接下來安裝pptp，同樣分32位和64位系統：
#rpm -ivh pptpd-1.3.4-1.rhel5.1.i386.rpm （32位系統使用）
#rpm -ivh pptpd-1.3.4-1.rhel5.1.x86_64.rpm （64位系統使用）
PS：這里補充說明一點，由于我的辦公網絡就是單網卡環境，所以沒必要開啟iptables的MASQUERADE功能，因為我的VPN撥進來就可以利用防火墻的NAT功能上網，我特的用http://www.ip168.com來觀察了我的客戶機出去的公網IP，全被替換成防火墻的公網IP了。 #p#
4、配置pptp。首先我們要編輯/etc/pptpd.conf文件：
- #vim /etc/pptpd.conf
找到"locapip"和"remoteip"這兩個配置項，將前面的";"注釋符去掉，更改為你期望的IP段值。localip表示服務器的IP，remoteip表示分配給客戶端的IP地址，可以設置為區間。這里我們使用pptp默認的配置：
- localip 192.168.4.222
- remoteip 192.168.4.242-246
注意，這里的IP段設置，將直接影響后面的iptables規則添加命令。請注意匹配的正確性，如果你嫌麻煩，建議就用本文的配置，就可以一直復制命令和文本使用了。
5、設置pptp VPN賬號密碼。我們需要編輯/etc/ppp/chap-secrets這個文件：
#vim /etc/ppp/chap-secrets
在這個文件里面，按照"用戶名 pptpd 密碼 *"的形式編寫，一行一個賬號和密碼。比如添加用戶名為test，密碼為1234的用戶，則編輯如下內容：
- test pptpd 1234 *
6、重啟pptp服務。輸入下面的指令重啟pptp：
- #/etc/init.d/pptpd restart
我個人習慣用service pptpd restart
現在你已經可以連接自己的VPN并瀏覽網頁了。不過我們還需要做最后的一步。#p#
7、設置開機自動運行服務。我們最后一步是將pptp和iptables設置為開機自動運行，這樣就不需要每次重啟服務器后手動啟動服務了。當然你不需要自動啟動服務的話可以忽略這一步。輸入指令：
- #chkconfig pptpd on
記得讓你的Network Engineer將192.168.4.222映射一個公網IP，如220.249.xx.xx，我是做的DMZ映射；這個即是你的客戶機撥號時連接的公網IP。
客戶機如何在windows機上進行撥號連接呢?
這樣服務器端的配置就完成了，我下面再簡單說下windows客戶端的VPN連接情況。
選擇你的網絡鄰居，用右鍵點屬性，然后選擇"創建一個新的連接"
#p#
#p#
當你從公網上面用VPN撥號上來以后，你就身處公司的辦公環境，此時你想遠程桌面，連接SVN服務器，或連接Samba或公司內部的MySQL0均可，注意安全。
后記：
對比openVPN和pptpd二款VPN軟件，我感覺它們做點對點均可，如果是做成點對局效果的話，我建議用pptpd，openVPN復雜不說，對網絡要求更為苛刻；如果是做成局對局的VPN環境，我建議用openVPN（當然這種情況直接在防火墻或路由器上做的話更簡單）最后，希望上述文檔能幫助跟我的網絡環境差不多的小伙們，祝大家工作愉快，生活亦愉快！
【51CTO.com獨家特稿，非經授權謝絕轉載！合作媒體轉載請注明原文出處及作者！】
