LINUXPORTAL.RU  |   Живое общение LinuxPortal.Ru   |    Ленты событий        |   ФОРУМЫ  |   БИБЛИОТЕКА  |   ССЫЛКИ  |   НОВОСТИ  |   БЛОГИ АДМИНОВ

Участники   Поиск   F.A.Q.    Регистрация    Вход   Начало
Начало » Для администраторов и программистов » Взаимодействие систем » пробелма с OpenVPN
Показать: Сегодняшние сообщения  :: Показать голосования :: Навигатор по сообщениям
Отправить по e-mail 		 Переключение в режим просмотра в виде древовидного списка сообщений и ответов Создать новую тему Отправить ответ
пробелма с OpenVPN Пнд, 07 Сентябрь 2009 12:26 Переход к следующему сообщения
sergeym11 в настоящее время не в онлайне sergeym11  RUSSIAN FEDERATION
Сообщений: 5
Зарегистрирован: Сентябрь 2009
Частый Гость
Доброго всем дня,такая проблема.имеется комп1(192.168.1.42) в сети с шлюзом в внешний мир(192.168.1.1) на комп1 настроен OpenVPN сервер(конфиг чуть ниже).На комп1 установлена убунта9.04,так же есть удаленная машина под ВинХП,с которой нужно подключится к впнсерверу и сидеть в инете под айпи этого сервера.Все прекрасно подключается, с вин машины комп1 пингуется,но инет не идет через комп1,а все так же через провайдера винмашины.уже перекопал что можно,опыта у меня не особо много,был бы рад любой помощи.
Сервер:
dev tun
server 10.1.0.0 255.255.255.0
push "route 192.168.1.0 255.255.255.0"
push "route-gateway 10.1.0.1"
push "redirect-gateway defl"
tls-server
ca ca.crt
cert haloser.crt
key haloser.key
dh dh1024.pem
proto udp
port 1112
client-to-client
comp-lzo
keepalive 10 120
verb 4

Клиент

dev tun
client
remote 81.201.80.94 1112

tls-client
ca ca.crt
cert client.crt
key client.key
proto udp
comp-lzo
verb 4
Известить модератора
Re: пробелма с OpenVPN Пнд, 07 Сентябрь 2009 14:35 Переход к предыдущему сообщенияПереход к следующему сообщения
San АНДРЕЕВ в настоящее время не в онлайне San АНДРЕЕВ  RUSSIAN FEDERATION
Сообщений: 8446
Зарегистрирован: Июнь 2002
Географическое положение: Санкт-Петербу...

administrator · partner
Тут есть тонкий момент с ip-адресом и маршрутизатором по умолчанию для клиентской части туннеля:
- либо он из той же сети, что и система с vpn-сервером, тогда в качестве маршрутизатора нужно указывать тот же шлюз, который указан у системы с vpn-сервером; система с vpn-сервером в этом случае также должна работать как arp proxy;
- либо он из произвольной сети, тогда в качестве маршрутизатора по умолчанию на клиенте надо указывать серверную сторону туннеля, а в системе сервера использовать NAT (в виде хотя бы маскарадинга).

Во втором случае можно обойтись и без NAT'а, но тогда нужно прописывать маршрут до клиентской части туннеля на маршрутизаторе, чтобы тот знал куда слать ответы на клиентские запросы.
Известить модератора
Re: пробелма с OpenVPN Втр, 08 Сентябрь 2009 02:17 Переход к предыдущему сообщенияПереход к следующему сообщения
unsen в настоящее время не в онлайне unsen  RUSSIAN FEDERATION
Сообщений: 206
Зарегистрирован: Июль 2002
Географическое положение: Санкт-Петербу...
Завсегдатай

Надо еще проверить включен ли форвардинг:
cat /proc/sys/net/ipv4/ip_forward
должен вернуть 1.
И если надо сидеть именно под ip сервера - без NAT не обойтись.
Кроме того на клиенте должны быть логи установки соединения, неплохо бы проверить установились ли маршруты вообще (под openvpn вполне возможно что нет).
Известить модератора
Re: пробелма с OpenVPN Втр, 08 Сентябрь 2009 10:09 Переход к предыдущему сообщенияПереход к следующему сообщения
San АНДРЕЕВ в настоящее время не в онлайне San АНДРЕЕВ  RUSSIAN FEDERATION
Сообщений: 8446
Зарегистрирован: Июнь 2002
Географическое положение: Санкт-Петербу...

administrator · partner
+1
Известить модератора
Re: пробелма с OpenVPN Втр, 08 Сентябрь 2009 10:31 Переход к предыдущему сообщенияПереход к следующему сообщения
sergeym11 в настоящее время не в онлайне sergeym11  RUSSIAN FEDERATION
Сообщений: 5
Зарегистрирован: Сентябрь 2009
Частый Гость
вообщем докладываю,ip_forward = 1,сейчас покажу таблицу маршрутизации на клиенте и на сервере,после подключения.

сервер
Destination Gateway Genmask Metric Ref Use Iface
192.168.1.0 * 255.255.255.0 0 0 0 eth0
10.10.10.0 * 255.255.255.0 0 0 0 tap0
default 192.168.1.1 0.0.0.0 100 0 0 eth0

клиент
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.0.1 192.168.0.203 20
10.10.10.0 255.255.255.0 10.10.10.11 10.10.10.11 30
10.10.10.11 255.255.255.255 127.0.0.1 127.0.0.1 30
10.255.255.255 255.255.255.255 10.10.10.11 10.10.10.1 30
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.0.0 255.255.255.0 192.168.0.203 192.168.0.203 20
192.168.0.203 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.0.255 255.255.255.255 192.168.0.203 192.168.0.203 20
224.0.0.0 240.0.0.0 10.10.10.11 10.10.10.11 30
224.0.0.0 240.0.0.0 192.168.0.203 192.168.0.203 20
255.255.255.255 255.255.255.255 10.10.10.11 10.10.10.11 1
255.255.255.255 255.255.255.255 10.10.10.11 20005 1
255.255.255.255 255.255.255.255 192.168.0.203192.168.0.203 1
Основной шлюз: 192.168.0.1

тут как бы 10.10.10.0 виртуальная сеть 10.10.10.11 клиент и 10.10.10.10 сервер.я немного изменил конфиги,сейчас их тоже покажу.
Известить модератора
Re: пробелма с OpenVPN Втр, 08 Сентябрь 2009 10:35 Переход к предыдущему сообщенияПереход к следующему сообщения
sergeym11 в настоящее время не в онлайне sergeym11  RUSSIAN FEDERATION
Сообщений: 5
Зарегистрирован: Сентябрь 2009
Частый Гость
proto udp
dev tap0
port 1112
tls-server
ca ca.crt
cert haloser.crt
key haloser.key
dh dh1024.pem
mode server
ifconfig 10.10.10.10 255.255.255.0
ifconfig-pool 10.10.10.11 10.10.10.15
route 10.10.10.0 255.255.255.0
duplicate-cn
tls-auth ta.key 0
#cipher BF-CBC # Blowfish (default)
#cipher AES-128-CBC # AES
cipher DES-EDE3-CBC # Triple-DES
user nobody
;group nobody
persist-key
persist-tun
comp-lzo
keepalive 10 120
status /var/log/openvpn-status.log
log /var/log/openvpn.log
verb 3
это сервер,а это клиент :
client
proto udp
remote 81.200.80.96
port 1112
dev tap

resolv-retry infinite

persist-key
persist-tun

tls-client
dh dh1024.pem
ca ca.crt
cert client.crt
key client.key

#cipher BF-CBC # Blowfish (default)
#cipher AES-128-CBC # AES
cipher DES-EDE3-CBC # Triple-DES

tls-auth ta.key 1

ping 10

comp-lzo

verb 3
mute 10

и соответственно лог опенвпн :
Tue Sep 08 10:15:08 2009 OpenVPN 2.0.9 Win32-MinGW [SSL] [LZO] built on Oct 1 2006
Tue Sep 08 10:15:08 2009 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Tue Sep 08 10:15:08 2009 Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
Tue Sep 08 10:15:08 2009 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Tue Sep 08 10:15:08 2009 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Tue Sep 08 10:15:08 2009 LZO compression initialized
Tue Sep 08 10:15:08 2009 Control Channel MTU parms [ L:1574 D:166 EF:66 EB:0 ET:0 EL:0 ]
Tue Sep 08 10:15:08 2009 Data Channel MTU parms [ L:1574 D:1450 EF:42 EB:135 ET:32 EL:0 AF:3/1 ]
Tue Sep 08 10:15:08 2009 Local Options hash (VER=V4): 'a67f827a'
Tue Sep 08 10:15:08 2009 Expected Remote Options hash (VER=V4): 'b45c974d'
Tue Sep 08 10:15:08 2009 UDPv4 link local (bound): [undef]:1112
Tue Sep 08 10:15:08 2009 UDPv4 link remote: 81.203.0.94:1112
Tue Sep 08 10:15:08 2009 TLS: Initial packet from 81.203.0.94:1112, sid=145cb5bc c02efc52
Tue Sep 08 10:15:09 2009 VERIFY OK: depth=1, /C=RU/ST=NA/L=Amsterdam/O=gg.bb.ru/CN=halo/emailAddress=me@gg.bb.ru
Tue Sep 08 10:15:09 2009 VERIFY OK: depth=0, /C=RU/ST=NA/L=Amsterdam/O=gg.bb.ru/CN=haloser/emailAddress=me@gg.bb.ru
Tue Sep 08 10:15:09 2009 Data Channel Encrypt: Cipher 'DES-EDE3-CBC' initialized with 192 bit key
Tue Sep 08 10:15:09 2009 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Tue Sep 08 10:15:09 2009 Data Channel Decrypt: Cipher 'DES-EDE3-CBC' initialized with 192 bit key
Tue Sep 08 10:15:09 2009 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Tue Sep 08 10:15:09 2009 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Tue Sep 08 10:15:09 2009 [haloser] Peer Connection Initiated with 81.200.80.96:1112
Tue Sep 08 10:15:10 2009 SENT CONTROL [haloser]: 'PUSH_REQUEST' (status=1)
Tue Sep 08 10:15:10 2009 PUSH: Received control message: 'PUSH_REPLY,ping 10,ping-restart 120,ifconfig 10.10.10.11 255.255.255.0'
Tue Sep 08 10:15:10 2009 OPTIONS IMPORT: timers and/or timeouts modified
Tue Sep 08 10:15:10 2009 OPTIONS IMPORT: --ifconfig/up options modified
Tue Sep 08 10:15:10 2009 TAP-WIN32 device [Подключение по локальной сети 2] opened: \\.\Global\{67509460-206A-43B2-8384-19C0F8F61758}.tap
Tue Sep 08 10:15:10 2009 TAP-Win32 Driver Version 8.4
Tue Sep 08 10:15:10 2009 TAP-Win32 MTU=1500
Tue Sep 08 10:15:10 2009 Notified TAP-Win32 driver to set a DHCP IP/netmask of 10.10.10.11/255.255.255.0 on interface {67509460-206A-43B2-8384-19C0F8F61758} [DHCP-serv: 10.10.10.0, lease-time: 31536000]
Tue Sep 08 10:15:10 2009 Successful ARP Flush on interface [2] {67509460-206A-43B2-8384-19C0F8F61758}
Tue Sep 08 10:15:10 2009 TEST ROUTES: 0/0 succeeded len=-1 ret=0 a=0 u/d=down
Tue Sep 08 10:15:10 2009 Route: Waiting for TUN/TAP interface to come up...
Tue Sep 08 10:15:11 2009 TEST ROUTES: 0/0 succeeded len=-1 ret=0 a=0 u/d=down
Tue Sep 08 10:15:11 2009 Route: Waiting for TUN/TAP interface to come up...
Tue Sep 08 10:15:13 2009 TEST ROUTES: 0/0 succeeded len=-1 ret=0 a=0 u/d=down
Tue Sep 08 10:15:13 2009 Route: Waiting for TUN/TAP interface to come up...
Tue Sep 08 10:15:14 2009 TEST ROUTES: 0/0 succeeded len=-1 ret=0 a=0 u/d=down
Tue Sep 08 10:15:14 2009 Route: Waiting for TUN/TAP interface to come up...
Tue Sep 08 10:15:15 2009 TEST ROUTES: 0/0 succeeded len=-1 ret=0 a=0 u/d=down
Tue Sep 08 10:15:15 2009 Route: Waiting for TUN/TAP interface to come up...
Tue Sep 08 10:15:16 2009 TEST ROUTES: 0/0 succeeded len=-1 ret=1 a=0 u/d=up
Tue Sep 08 10:15:16 2009 Initialization Sequence Completed
Tue Sep 08 10:37:35 2009 TCP/UDP: Closing socket
Tue Sep 08 10:37:35 2009 Closing TUN/TAP interface
Tue Sep 08 10:37:35 2009 SIGTERM[hard,] received, process exiting

[Обновления: Втр, 08 Сентябрь 2009 10:42]

Известить модератора
Re: пробелма с OpenVPN Втр, 08 Сентябрь 2009 22:42 Переход к предыдущему сообщенияПереход к следующему сообщения
unsen в настоящее время не в онлайне unsen  RUSSIAN FEDERATION
Сообщений: 206
Зарегистрирован: Июль 2002
Географическое положение: Санкт-Петербу...
Завсегдатай

Ну в такой конфигурации никуда кроме как на 10.10.10.0/24 трафик по тунелю не пойдет, первый конфиг был верным.
Подозреваю что проблема в все же была в NAT. Врядли 192.168.1.1 знал куда надо роутить 10.1.0.0/24. Можно добавить правило типа:
iptables -t nat -A POSTROUTING -s 10.0.0.0/8 -j MASQUERADE
и смотреть снифером что конкретно происходит с пакетами.
Можно еще проверить на предмет запрещающих правил цепочку FORWARD.
Известить модератора
Re: пробелма с OpenVPN Срд, 09 Сентябрь 2009 10:10 Переход к предыдущему сообщенияПереход к следующему сообщения
sergeym11 в настоящее время не в онлайне sergeym11  RUSSIAN FEDERATION
Сообщений: 5
Зарегистрирован: Сентябрь 2009
Частый Гость
вообщем куда копать я понял,попробую что нибудь изобразить :) спасибо за советы :) если что отпишу сюда.
Известить модератора
Re: пробелма с OpenVPN Срд, 09 Сентябрь 2009 12:13 Переход к предыдущему сообщенияПереход к следующему сообщения
sergeym11 в настоящее время не в онлайне sergeym11  RUSSIAN FEDERATION
Сообщений: 5
Зарегистрирован: Сентябрь 2009
Частый Гость
вообщем все заработало решил так(дя первого конфига) :
убрал push "route-gateway 10.1.0.1"
добавил push "route 10.1.0.0 255.255.255.0"
заменил push "redirect-gateway"

и все подключилось и прошло :) и ещё добавил правило из предыдущего поста :)
Известить модератора
Re: пробелма с OpenVPN Чтв, 17 Декабрь 2009 12:57 Переход к предыдущему сообщения
linuxgid в настоящее время не в онлайне linuxgid  UKRAINE
Сообщений: 2
Зарегистрирован: Декабрь 2009
спасибо за тему!
самому пригодилось, была такая же проблема, но теперь ее нету.
Известить модератора
  Переключение в режим просмотра в виде древовидного списка сообщений и ответов Создать новую тему Отправить ответ
Предыдущая тема:pf+round-robin+rdp
Следующая тема:Fedora 11; тест iptables
Переход к форуму:
  

-=] Вернуться вверх [=-
[ Сформировать XML ] [ RSS ]

Текущее время: Сбт Июл 31 17:31:33 MSD 2010
.:: Обратная связь :: Начало ::.

При поддержке: FUDforum 3.0.0.
Copyright © 2001-2009 FUDforum Bulletin Board Software

©"Linuxportal.Ru". Материалы сайта можно использовать свободно при условии сохранения этой свободы при дальнейшем распространении, если явно не указано иное.

Дизайн и программирование: ,
Поставьте нашу кнопку: Linux Portal.ru ::: Линукс Портал.ру