OpenVPN

[Gość mazi]

no to po update mam dalej to samo nie mogę odpalić openvpn jako klienta na nbox

 

postawiłem serwer openvpn na centosie pecety i telefony śmigaja a nie ogarniam boxa

 

po starcie boksa ifconfig i nie widzę TUN, nie widzę w procesach (htop) odpalonego openvpn

 

nie mogę zlokalizować żadnych logów żeby zerknąć co się sypie

 

próbowałem odinstalowania i ponownej instalacji openvpn i nic

 

może od nowa wgrać system do dekodera od jakiegoś czasu robiłem wszystko przez aktualizacje

 

podeślijcie może jakiegoś gotowca pod serwer możne serwer ruszy co by mi potwierdziło że config klienta do boksa mam niepoprawny

[tux]

To może zacznij od podania co masz w plikach konfiguracyjnych, jak się one nazywają i gdzie je wgrałeś. Wtedy ktoś może coś pomoże.

[Gość mazi]

ok to podaje co mam w plikach:

 

plik client.conf wgrany z reszta plikow do /etc/openvpn

 

client

proto udp

dev tun

ca ca.crt

dh dh2048.pem

cert mazi_nbox.crt

key mazi_nbox.key

remote 10.0.0.x 1194

cipher AES-128-CBC

user nobody

group nobody

verb 2

mute 20

keepalive 10 120

comp-lzo

persist-key

persist-tun

float

resolv-retry infinite

nobind

 

klucz certyfikat i ustawienia wygenerowałem na serwerze (centos)

 

[Gość voyteckst]

1. Spróbuj odpalić ręcznie skrypt do openvpn - on tworzy urządzenie i łąduje moduł. Jeżeli nie zadziała, to napisz co konkretnie.

2. Sprawdź czy masz w ogóle plik tun.ko w /lib/modules (poszukaj). Spróbuj też załadować ten moduł ręcznie (o ile jest).

3. Samą binarkę openvpn możesz przecież odpalić ręcznie i wtedy będziesz miał logi na ekranie:

/usr/sbin/openvpn --config /etc/openvpn/client.conf

[Gość mazi]

no to po kolei co ustaliłem i na czym się zblokowałem ...

 

plik tun.ko jest na pewno i wydaje mi się że jest załadowany otrzymuje to:

# /sbin/insmod /lib/modules/tun.ko
insmod: can't insert '/lib/modules/tun.ko': File exists

 

openvpn startuje problem był w pliku konfiguracyjnym, należało podać pełną ścieżkę do klucza i certyfikatu, na końcu oczywiście błąd i koniec pracy ponieważ brak TUN, interfejs nie wstaje po resecie boxa i nie wiem czemu

 

# /usr/sbin/openvpn --config /etc/openvpn/client.conf
Tue Apr 29 22:07:48 2014 OpenVPN 2.3.2 sh4-unknown-linux-gnu [sSL (OpenSSL)] [LZO] [EPOLL] [MH] [iPv6] built on Mar 11 2014
Tue Apr 29 22:07:48 2014 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Tue Apr 29 22:07:49 2014 WARNING: file '/etc/openvpn/mazi_nbox.key' is group or others accessible
Tue Apr 29 22:07:49 2014 UDPv4 link local: [undef]
Tue Apr 29 22:07:49 2014 UDPv4 link remote: [AF_INET]10.0.0.x:1194
Tue Apr 29 22:07:49 2014 VERIFY OK: depth=1, C=US, ST=NY, L=New York, O=My Org, emailAddress=me@my.org
Tue Apr 29 22:07:49 2014 VERIFY OK: depth=0, C=US, ST=NY, L=New York, O=My Org, OU=Office, CN=xxx_srv, emailAddress=me@my.org
Tue Apr 29 22:07:53 2014 Data Channel Encrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Tue Apr 29 22:07:53 2014 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Tue Apr 29 22:07:53 2014 Data Channel Decrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Tue Apr 29 22:07:53 2014 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Tue Apr 29 22:07:53 2014 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
Tue Apr 29 22:07:53 2014 [xxx_srv] Peer Connection Initiated with [AF_INET]10.0.0.x:1194
Tue Apr 29 22:07:56 2014 Options error: Unrecognized option or missing parameter(s) in [PUSH-OPTIONS]:1: register-dns (2.3.2)
Tue Apr 29 22:07:56 2014 Options error: Unrecognized option or missing parameter(s) in [PUSH-OPTIONS]:2: register-dns (2.3.2)
Tue Apr 29 22:07:56 2014 ERROR: Cannot open TUN/TAP dev /dev/net/tun: No such file or directory (errno=2)
Tue Apr 29 22:07:56 2014 Exiting due to fatal error

 

zostaje mi zmusić TUN do startu i powinno smigać

 

 

[uukasz]

Po restarcie znikają katalogi, jeśli się je utworzy to wszystko działa.

mkdir /dev/net
mknod -m 666 /dev/net/tun c 10 200

 

W poprzedniej wersji oprogramowania w pliku ./etc/init.d/rCS po dopisaniu

if [ ! -e /dev/net ]; then
    mkdir /dev/net
    mknod -m 666 /dev/net/tun c 10 200
fi

obecność tych katalogów katalogów była sprawdzana przy każdym uruchomieniu.

W razie ich braku były tworzone.

 

 

Obecnie testowałem, próbowałem dopisać te linijki. Niestety nie przynosi to oczekiwanego rezultatu.

 

 

Druga rzecz to do pliku konfiguracyjnego client.conf należy dopisać pełną ścieżkę dostępu tj. /etc/openvpn/

client
dev tap
proto udp
remote adres_ip
resolv-retry infinite
nobind
persist-key
persist-tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/nbox.crt
key /etc/openvpn/nbox.key
ns-cert-type server
verb 3

lub dodać przed wywołaniem openvpn przejście do katalogu konfiguracyjnego cd /etc/openvpn

cd /etc/openvpn
openvpn --daemon --config client.conf

[tux]

Za jakieś 30 minut UPDATE. Pracuje jeszcze nad jedną paczką :)

 

EDIT tux:

troszkę dłużej mi zajęło ale już jest update.

Przy okazji w test mały skrypcik....

[Gość wrybka]

Mam problem z uruchomieniem openvpn na esi-88 z ostatnią oficjalną wersja GOS2.

 

Dostałem od mojego dostawcy vpn plik *.conf (zawartość poniżej), plik root.cfg oraz stworzyłem plik pas.key gdzie umieściłem nazwę usera i hasło.

Niestety ruch nie jest tunelowany bo jak sprawdzam ip to cały czas widzę, że mam swoje więc coś jest NOK.

 

Może mi ktoś sprawdzić czy ten plik poniżej jest poprawny by działał openvpn w trybie klienta?

 

dev tap

[nazwa serwera] [port]

proto tcp-client

tls-client

ca root.crt

pull

auth-user-pass

persist-key

resolv-retry infinite

reneg-sec 0

verb 3

script-security 2 system

auth-nocache

route-delay 2

redirect-gateway def1

route-method exe

[Gość voyteckst]

Odpal openvpn z linii komend i sprawdź o co mu nie pasuje. W pliku konfiguracyjnym nie masz na pewno wskazania na plik z użytkownikiem/hasłem (auth-user-pass przyjmuje jako parametr plik z danymi logowania - w Twoim przypadku pas.key):

auth-user-pass pas.key

 

Plik w formacie:

nazwa_użytkownika
hasło

[garus]

Też niedawno zacząłem sobie OPENVPN testować i w konfiguracji wygenerowanej przez router z gargoyle zmieniłem nazwę pliku konfiguracyjnego na client.conf. No i dalej musiałem poszukać sobie w tym temacie czemu tunel nie działa. Chodziło o pełną ścieżkę do certyfikatów i kluczy (napisane o tym w tym temacie), po podaniu pełnej ścieżki tunel ruszył z kopyta :)  Troszkę szkoda, że nie ruszył od razu, bo byłby pełen profesjonalizm, a chyba dużej poprawki nie trzeba robić żeby openvpn ładował te pliki bez pełnych ścieżek. No ale to w sumie tylko kosmetyka, a nie problem...

 

 

A korzystając z okazji mam pytania do mądrzejszych:

1. Czy (a jeśli tak to jak) da się skonfigurować openvpn lub system, żeby po vpn szła tylko komunikacja do innych klientów openvpn, a reszta ruchu internetowego bez pośrednictwa tunelu?

2. Czy (a jeśli tak to jak) da się skonfigurować openvpn lub system, żeby przy włączonym tunelu z sieci lokalnej w której jest odbiornik można było się z nim połączyć bez pośrednictwa tunelu?

 

 

[mickey]

Ad. 1 i 2: Ja bym musiał raczej zadać pytanie jak zrobić, żeby tunel OpenVPN cały ruch mi kontrolował, bo od kilku lat używania OpenVPNa daje mi on dostęp tylko do zdefiniowanej sieci lokalnej i łączenia pomiędzya maszynami podpiętymi do tunelu. Cała reszta ruchu idzie normalną bramą...

 

Z tego co na szybko przejrzałem w przykładowych plikach:

 

# If enabled, this directive will configure
# all clients to redirect their default
# network gateway through the VPN, causing
# all IP traffic such as web browsing and
# and DNS lookups to go through the VPN
# (The OpenVPN server machine may need to NAT
# or bridge the TUN/TAP interface to the internet
# in order for this to work properly).
;push "redirect-gateway def1 bypass-dhcp"

[garus]

@mickey

A używasz też tuneli w tunerze? Ja dopiero zaczynam rozgryzać ten temat i bardziej szukałem opcji w kliencie niż w serwerze, a faktycznie wygląda na to, że to co podałeś to odpowiada za przekierowanie całego ruchu przez serwer. A dokładniej polecenie to wysyła do klientów instrukcję modyfikującą tablice routingu w systemie tak, by trasa przez tunel VPN miała niższą metrykę niż na zwykłym interfejsie eth0.

Ale nawet pomimo tego polecenie np.:

ping -I eth0 jakiś_poprawny_adres

powinno działać. A nie działa.

Mój konfig serwera:

mode                  server
port                  1194
proto                 udp
tls-server
ifconfig              10.8.0.1 255.255.255.0
topology              subnet
client-config-dir     /etc/openvpn/ccd
client-to-client

cipher                BF-CBC
keysize               128

dev                   tun
keepalive             25 180
status                /var/openvpn/current_status
verb                  3

dh                    /etc/openvpn/dh1024.pem
ca                    /etc/openvpn/ca.crt
cert                  /etc/openvpn/server.crt
key                   /etc/openvpn/server.key
tls-auth              /etc/openvpn/ta.key 0

persist-key
persist-tun
comp-lzo

push "topology subnet"
push "route-gateway 10.8.0.1"
push "redirect-gateway def1"

 

 

i klienta:

client
remote          192.168.1.1 1194
dev             tun
proto           udp
status          current_status
resolv-retry    infinite
ns-cert-type    server
topology        subnet
verb            3

cipher          BF-CBC
keysize               128

ca              /etc/openvpn/ca.crt
cert            /etc/openvpn/esi_test.crt
key             /etc/openvpn/esi_test.key
tls-auth        /etc/openvpn/ta.key 1

nobind
persist-key
persist-tun
comp-lzo

 

 

I nie mam możliwości po adresie na interfejsie eth0 dostać się do tunera, ani poprzez ten interfejs wyjść na zewnątrz.

Z kolei jak wywalę:

push "redirect-gateway def1"

z konfigu serwera i przestartuję usługę openvpn na serwerze i tunerze całkowicie tracę jakąkolwiek komunikację z tunerem. Co prawda na pewien czas w serwerze pojawia się informacja, że klient jest zalogowany, ale w żaden sposób (ani przez sieć lokalną ani vpn) nie jestem w stanie na niego zalogować się. Po pewnym czasie info o zalogowanym kliencie znika. Jedyny sposób odzyskania komunikacji to ponowna zmiana konfigu w serwerze (przywrócenie tej skasowanej linii) i ponowny restart usług.

 

 

Wygląda na to, że interfejs tun0 w tunerze przejmuje całkowicie kontrolę nad eth0 i bezpośrednio do eth0 nie ma dostępu. A tak chyba być nie powinno?

[Gość herpoi]

Mam problem z uruchomieniem openvpn na esi-88 z ostatnią oficjalną wersja GOS2.

 

Dostałem od mojego dostawcy vpn plik *.conf (zawartość poniżej), plik root.cfg oraz stworzyłem plik pas.key gdzie umieściłem nazwę usera i hasło.

Niestety ruch nie jest tunelowany bo jak sprawdzam ip to cały czas widzę, że mam swoje więc coś jest NOK.

 

Może mi ktoś sprawdzić czy ten plik poniżej jest poprawny by działał openvpn w trybie klienta?

 

dev tap

[nazwa serwera] [port]

proto tcp-client

tls-client

ca root.crt

pull

auth-user-pass

persist-key

resolv-retry infinite

reneg-sec 0

verb 3

script-security 2 system

auth-nocache

route-delay 2

redirect-gateway def1

route-method exe

Żeby to zadziałało musi być dostępny interfejs tap, a u nas chyba dostępny jest jedynie tun.

 

Tutaj linki do poczytania o różnicach między tap i tun:

https://community.openvpn.net/openvpn/wiki/BridgingAndRouting

http://pl.wikipedia.org/wiki/TUN/TAP

 

A tak wogóle sposobów konfiguracji openvpn jest piedyrlion.

Osobiście używam opcji serwera na terminalu z publicznym IP, który stoi w biurze.

W domu i u brata mam na routerach Gargoyle i openvpn skonfigurowany jako klient, ale w ten sposób, że komputery z sieci lokalnej mojej i brata widzą się bez problemu po swoich adresach LAN. Konfiguracja jet prosta i wymaga tylko skonfigurowania SERWERA, KLIENTA na routerze u mnie, KLIENTA na routerze u brata, nie trzeba już konfigurować klientów na tunerach i komputerach. Bez problemu widzą się między sobą. Komórka łącząca się z doskoku przez wifi u brata bez problemu widzi mój tuner w domu bez żadnej dodatkowej konfiguracji. Jak jest potrzeba to w weekend mogę opisać konfigurację wraz z rysunkowym schematem.

[mickey]

@garus: Jak napisał przedmówca "sposobów konfiguracji openvpn jest piedyrlion". W skórcie:

 

- można zrobić tak, że cały ruch idzie przez tunel (tak masz)

- można tylko konkretne pakiety puszczać przez tunel, ale wtedy po usunięciu push "redirect-gateway def1" potrzebujesz dodać coś w stylu push "route 192.168.1.0 255.255.255.0 10.8.0.1"

 

Jeżeli łączysz ze sobą tylko konkretne hosty, to rozwiązanie @herpoi bardzo dobrze się sprawdza. Czyli masz serwer i klientów, którzy się do niego podłączają. Wszyscy podłączeni klienci widzą się nawzajem przez tunel.

 

Kiedy łączysz całe podsieci to najlepiej OpenVPNa postawić na bramach - na jednej serwer, na pozostałych klienci. W innym przypadku trzeba będzie na niektórych hostach w sieci lokalnej ręcznie tablice routingu ustawić..

 

Jest jeszcze możliwość taka, że OpenVPN działa w trybie mostu. Wtedy podłączony klient jest kolejnym komputerem w sieci lokalnej.

[Gość terrazo]

Mam problem z uruchomieniem openvpn na esi-88 z ostatnią oficjalną wersja GOS2.

 

Dostałem od mojego dostawcy vpn plik *.conf (zawartość poniżej), plik root.cfg oraz stworzyłem plik pas.key gdzie umieściłem nazwę usera i hasło.

Niestety ruch nie jest tunelowany bo jak sprawdzam ip to cały czas widzę, że mam swoje więc coś jest NOK.

 

Może mi ktoś sprawdzić czy ten plik poniżej jest poprawny by działał openvpn w trybie klienta?

 

dev tap

[nazwa serwera] [port]

proto tcp-client

tls-client

ca root.crt

pull

auth-user-pass

persist-key

resolv-retry infinite

reneg-sec 0

verb 3

script-security 2 system

auth-nocache

route-delay 2

redirect-gateway def1

route-method exe

Żeby to zadziałało musi być dostępny interfejs tap, a u nas chyba dostępny jest jedynie tun.

 

Tutaj linki do poczytania o różnicach między tap i tun:

https://community.openvpn.net/openvpn/wiki/BridgingAndRouting

http://pl.wikipedia.org/wiki/TUN/TAP

 

A tak wogóle sposobów konfiguracji openvpn jest piedyrlion.

Osobiście używam opcji serwera na terminalu z publicznym IP, który stoi w biurze.

W domu i u brata mam na routerach Gargoyle i openvpn skonfigurowany jako klient, ale w ten sposób, że komputery z sieci lokalnej mojej i brata widzą się bez problemu po swoich adresach LAN. Konfiguracja jet prosta i wymaga tylko skonfigurowania SERWERA, KLIENTA na routerze u mnie, KLIENTA na routerze u brata, nie trzeba już konfigurować klientów na tunerach i komputerach. Bez problemu widzą się między sobą. Komórka łącząca się z doskoku przez wifi u brata bez problemu widzi mój tuner w domu bez żadnej dodatkowej konfiguracji. Jak jest potrzeba to w weekend mogę opisać konfigurację wraz z rysunkowym schematem.

 

Odkopie trochę stary temat ;) Mianowicie u siebie tak samo mam serwer z publicznym IP i zainstalowałem na nim OpenVPN wygenerowałem sobie klucze dla serwera i dla klienta1 i klienta2.

Korzystam z OpenVPN bo mam klientów za natem i nie ma możliwości ani uzyskania ani publicznego IP ani otawrcia portu (w jednym siec lan osiedlowa a w drugim GSM).

I teraz chciałbym utworzyć sieć lokalną tak abym widział wszystkich dwóch klientów tak jakby w sieci LAN to co pisał herpoi w swoim poście.

I teraz pytanie ;) czy mam OpenVPN zainstalować na Garygole w routerze czy w tunerze?? Mi w zasadzie chodzi o sam dostęp do tunera i nic poza tym. Tak abym od czasu do czasu zamiast chodzić do ojca mógł mu zdalnie zrobić aktualizacje albo podmienić listę kanałów.

Drugie pytanie jakie mnie nurtuje bo nie miałem do czynienia z linuksem nigdy i ucze się dopiero go ;) i całej zawiłości materii czy jak potem na swoim serwerze otworze port np. 3333 i przekieruje na klienta A 10.8.0.23:22 to będę miał dostęp z zewnątrz poprzez SSH podając jego IP np. 99.91.99.99:3333 do tego klienta ??

[mickey]

Ad. 1: Jak zainstalujesz na routerze w zdalnej lokalizacji klienta OpenVPN, to przy odpowiedniej konfiguracji będziesz miał dostęp od razu do wszystkich urządzeń korzystających z tego routera. Jak zainstalujesz na tunerze, to praktycznie tylko do tunera. Poza tym, jeżeli klient OpenVPN będzie na routerze, to oszczędzasz trochę zasobów tunera, które mogą się przydać do czegoś innego.

 

Ad. 2: Zakładając, że pod 10.8.. na porcie 22 jest SSH to tak.

 

PS. Ad. 2: To pytanie właściwie nie ma związku z linuksem. Dotyczy konfiguracji sieci niezależnie od systemu.

[Gość terrazo]

Dzięki za odpowiedź....

Czyli co do 2 pytania jak dobrze rozumiem że jak zrobię na serwerze z linuksem bo to mi chodziło:

iptables -t nat -A PREROUTING -i ppp0 -p tcp -m tcp –dport 3333 -j DNAT –to-destination 10.8.0.23:22

iptables -t nat -A PREROUTING -i ppp0 -p udp -m udp –dport 3333 -j DNAT –to-destination 10.8.0.23:22

 

To otworzę na świat port 22 będący za nat u klienta A ;) a logować się będę na ip_serwera:3333

[Gość voyteckst]

A ta druga linijka z UDP, to po co? SSH działa na TCP...

I sprawdź czy masz forwarding włączony (cat /proc/sys/net/ipv4/conf/{interface_name}/forwarding ma być 1).

[Gość herpoi]

@terrazo jeśli zależy ci tylko i wyłącznie na dostępie z zewnątrz do tunera, a nie potrzebujesz innych bonusów wynikających z VPN to możesz sobie zwyczajnie ustawić tunele SSH z tunera do serwera na określonych portach i też będzie działać. Można tak sobie tunelować ssh, webif i co tam sobie jeszcze chcesz i nie potrzeba do tego VPN. Tak więc musisz odpowiedzieć sobie na pytanie jakich konkretnie funkcjonalności potrzebujesz i wybrać odpowiednie rozwiązanie.

[Gość terrazo]

Dzięki za odpowiedzi Panowie są dla mnie bardzo cenne ;) w sumie UDP no właśnie nie jest potrzebne tylko protokół TCP ;)

 

@herpoi No właśnie im więcej czytam tym więcej możliwości widzę zastosowania tego u mnie na innych urządzeniach w sieci lokalnej ;) Co do SSH czytałem o tym ale stwierdziłem że OpenVPN daje więcej możliwości konfiguracyjnych i dlatego wybrałem OpenVPN. Wracając do tematu na jednym kliencie u mnie jest router ale niestety za mało pamięci ma żeby dograć mu OpenVpn ale tam prócz lapka i tunka nie ma nic więcej a tylko do tego ostatniego chce mieć dostęp. Ale drugi klient ma już tunek, NAS oraz system wizyjny z dwoma kamerami IP... niestety wieć i tylko GSM LTE PLAY a oni zewn. IP nie dają... I tu mi się zapaliła lampka że w sumie mógłbym sobie to wszystko ładnie spiąć i mieć dostęp w pracy jak mnie nie ma w domu do wszystkich urządzeń.

1. Jak rozumiem koncepcje client--server w OpenVPN tak nie wiem jak to ma wyglądać na routerze jak zainstaluję sobie i teraz chciałbym aby kamery, tuner i NAS były dostępne w sieci lokalnej OpenVPN czy każdemu z tych urządzeń muszę przyporządkować adres IP VPN czy przekierowuję tylko porty??

2. Jak mam podłączony tuner do routera na którym jest OpenVPN i mam do niego dostęp z zewnątrz to czy jak będę chciał sobie zobaczyć coś na IPTV to cały ruch będzie szedł przez serwer VPN ?? czy można zrobić tak że będzie dostęp do niego z zewnątrz mimo że jest za NAT ale cały ruch odbywa się normalnie przez "lokalny" net czyli połączenie GSM bez użycia serwera VPN.

 

 

[mickey]

Jak dla mnie, to musisz jaśniej napisać o co Ci chodzi....

 

Ogólnie: Jak masz ruch przez VPN, to Cię żadne przekierowania portów nie obchodzą. Robisz routing przez tunel i tyle.

 

Lokalizację serwer OpenVPN pominę, bo to w sumie nie jest krytyczne. Załóżmy, że go masz. Na publicznym, czyli dostępnym ogólnie IP. W sumie chyba może być na dynamicznym (musiałbym się chwilę zastanowić). Możesz też serwer taki wynająć, np. od twórcy OpenVPN.

 

Przypadek 1: Klient A łączy się z serwerem OpenVPN. Klient B też się łączy z serwerem. I klient C też. Wszystkie 3 mogą być za NATem, ale po podłączeniu wszystkich do serwera mogą się ze sobą w pełni (w tej chwili nie przychodzą mi do głowy ograniczenia) komunikować. Ale cały ruch pomiędzy nimi idzie przez tunel, czyli de facto przez serwer jako pośrednika.

 

Przypadek 2: Brama dostępowa do sieci A łączy się z serwerem OpenVPN. To samo robią bramy dostępowe sieci B i C. Jako, że to są bramy, to urządzenia w sieciach A,B i C z nich korzystają, czego skutkiem ubocznym jest to, że odpowiednio konfigurując routiung wszystkie urządzenia w sieciach A, B i C, mimo że za NATem, mogą się komunikować.

 

To, że ruch idzie przez tunel może czasami faktycznie być niepotrzebnym obciążeniem sieci i np. dla samego strumieniowania może warto zrobić zwykłe przekierowania portu. Ale można to zrobić np. konfigurując na czas transmisji odpowiednio router ... właśnie przez tunel VPN.

[Gość voyteckst]

@mickey: może działać na zmiennym publicznym IP, trzeba tylko sobie skonfigurować gdzieś dynamiczny DNS (np. no-ip.eu - ja tak mam i działa jak trzeba).

[Gość herpoi]

mickey w zasadzie wszystko napisał, ja tylko uzupełnię.

OpenVPN nie wyklucza przekierowania potów. Możesz sobie skonfigurować całą sieć VPN, a także przekierować port do podglądu kamer. Jedno działa obok drugiego i nie koliduje.

[Gość terrazo]

Dzięki panowie mam stałe IP na serwerze także korzystanie dyndns nie jest mi potrzebne. Z przekierowaniem portów już mam jasność że mogę na serwerze przekierować sobie dowolny port na port w OpenVPN np. do podglądu kamer i nawet wiem już jak to zrobić ;) Ale wracając do tego co napisał @Mickey najbardziej interesował by mnie przypadek 2 który opisał. I teraz tak na serwerze mam już wszystko zainstalowane czyli OpenVPN na razie config serwera wygląda tak:

port 1194
proto udp
dev tun
ca ca.crt
cert openvpn-server.crt
key openvpn-server.key  # This file should be kept secret
dh dh2048.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
ifconfig-pool-persist ipp.txt
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3

 

Na jednym kliencie nazwijmy go KlientA będącego za NAT w moim wypadku laptop z Windows też zainstalowałem OpenVPN a config klienta A wygląda tak:

dev tun
proto udp
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
ns-cert-type server
comp-lzo
verb 3

 

Połączenie nawiązuje idealnie ale nie mam internetu na laptopie. Wyczytałem że potrzebne jest chyba dodanie routingu i Masquerade ale nie wiem jak się do tego zabrać możecie coś podpowiedzieć??.

Docelowo chodzi mi o to ażeby mój laptop łączył się z internetem normalnie poprzez swoje łącze nie przez tunel ale jednocześnie by mógł się komunikować z siecią OpenVPN gdzie klientem B będzie tuner który stoi też za NAT. Tak abym mógł zdalnie za pomocą laptopa (klienta A) wgrać listę kanałów do tunera (klienta B) i aby oba urządzenia się widziały i komunikowały ale żeby internet na lapku czy tunerze jeśli będę oglądał jakiś stream tak jak napisałem wcześniej nie szedł mi przez tunel... o ile jest taka możliwość i dobrze zrozumiałem to co napisaliście ;).

 

 

 

[Gość herpoi]

Na początek wywal z obu konfiguracji wpisy:

push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"

 

Aha, no i dla klienta wkleiłeś tą samą konfigurację co dla serwera.

 

 

W moim przypadku jest taka konfiguracja:

    +---------------+ +--------------------+                         
    |KOMP A1        | |ROUTER A            |                         
+--->192.168.100.25 | |WAN: A.A.A.A        |                         
|   +---------------+ |LAN: 192.168.100.1  <--------------+          
|                     |OPENVPN-KLIENT-A    |              |          
|   +---------------+ |                    |              |          
|   |KOMP A2        | |                    |              |          
+--->192.168.100.26 | |                    |              |          
|   +---------------+ +--------------------+    +---------v---------+
|                                               |OPENVPN SERWER     |
|                                               |WAN: Z.Z.Z.Z       |
|                                               |VPN LAN: 10.9.8.1  |
|   +---------------+ +--------------------+    |                   |
|   |KOMP B1        | |ROUTER B            |    |                   |
+--->192.168.150.101| |WAN: B.B.B.B        |    |                   |
|   +---------------+ |LAN: 192.168.150.1  |    +---------^----^----+
|                     |OPENVPN-KLIENT-B    |              |    |     
|   +---------------+ |                    |              |    |     
|   |KOMP B2        | |                    <--------------+    |     
+--->192.168.150.102| |                    |                   |     
|   +---------------+ +--------------------+                   |     
|                                                              |     
|                                                              |     
|   +---------------+                                          |     
|   |KLIENT C       |                                          |     
|   |WAN: C.C.C.C   <------------------------------------------+     
+--->VPN: 10.9.8.10 |                                                
    +---------------+                                                

 

OPENVPN SERWER

port 1194
proto udp
dev tun

ca      ca.crt    # generated keys
cert    server.crt
key     server.key  # keep secret
dh      dh1024.pem

server 10.9.8.0 255.255.255.0
ifconfig-pool-persist ipp.txt

keepalive 10 120

comp-lzo       
persist-key
persist-tun

status log/openvpn-status.log

verb 3  # verbose mode
client-config-dir ccd
route 192.168.150.0 255.255.255.0
route 192.168.100.0 255.255.255.0

client-to-client
push "route 192.168.150.0 255.255.255.0"
push "route 192.168.100.0 255.255.255.0"

 

OPENVPN SERWER plik: ccd/client-a

iroute 192.168.100.0 255.255.255.0

 

OPENVPN SERWER plik: ccd/client-b

iroute 192.168.150.0 255.255.255.0

 

OPENVPN-KLIENT-A

client
dev tun
port 1194
proto udp

remote Z.Z.Z.Z 1194
nobind
resolv-retry infinite
ca /etc/openvpn/ca.crt
cert /etc/openvpn/klient-a.crt
key /etc/openvpn/klient-a.key

comp-lzo
persist-key
persist-tun

verb 3

 

OPENVPN-KLIENT-B

client
dev tun
port 1194
proto udp

remote Z.Z.Z.Z 1194
nobind
resolv-retry infinite
ca /etc/openvpn/ca.crt
cert /etc/openvpn/klient-b.crt
key /etc/openvpn/klient-b.key

comp-lzo
persist-key
persist-tun

verb 3

 

KLIENT-C

client
dev tun
port 1194
proto udp

remote Z.Z.Z.Z 1194
nobind
resolv-retry infinite
ca /etc/openvpn/ca.crt
cert /etc/openvpn/klient-c.crt
key /etc/openvpn/klient-c.key

comp-lzo
persist-key
persist-tun

verb 3

 

Dodatkowe wpisy firewalla na OPENVPN-KLIENT-A i OPENVPN-KLIENT-B

iptables -t nat -A prerouting_wan -p udp --dport 1194 -j ACCEPT
iptables -A input_wan -p udp --dport 1194 -j ACCEPT

iptables -I INPUT -i tun+ -j ACCEPT
iptables -I FORWARD -i tun+ -j ACCEPT
iptables -I OUTPUT -o tun+ -j ACCEPT
iptables -I FORWARD -o tun+ -j ACCEPT

 

 

Przy takiej konfiguracji wszystkie komputery widzą się po adresach lokalnych: 192.168.100.25, 192.168.150.101. Klient C jest widziany jako 10.9.8.10. Dodatkowo jeśli na routerze A zrobisz przekierowanie portu do KOMP-A1 to będzie on widoczny po adresie A.A.A.A:PORT.

 

Ważne aby router A i B oraz klient C były w różnych klasach adresowych LAN i najlepiej aby nie było to 192.168.0.X, 192.168.1.X, 10.1.0.X itp. Dlaczego? Dlatego, że z laptopa (telefonu, tableta) możesz korzystać także jako klient swojego serwera openvpn. Są to uradzenia mobilne i nigdy nie wiesz z jakiej sieci będziesz korzystał, a tak się jakoś dziwnie składa, że u większości ludzi routery są skonfigurowane standardowo i korzystają z tych podstawowych klas, dlatego mając w swoich sieciach inne, których prawdopodobieństwo występowania jest dużo mniejsze unikniesz konfliktów :)

 

U mnie serwer to jakiś mały terminal, który stoi sobie gdzieś tam, a routery są na Gargoyle. Równie dobrze serwerem może być jeden z routerów pod warunkiem, że ma publiczny adres IP.

[Gość terrazo]

Super działa ;)

Co do tunera to nie mam jak sprawdzić dzisiaj z nim powalczę tak abym miał komunikację między klientem A (laptopem) i B (tunerem) zobaczymy czy się uda ;).

 

P.S. Co trzeba zmienić w configu klienta aby cały ruch szedł przez tunel to już tak z czystej ciekawości pytam ??

P.S.2 Dzięki za schemat twój teraz już widzę schemat jak to może wyglądać ;) i po części na pewno u mnie znajdzie zastosowanie ale konfiguracje routera na Garygole zostawię sobie na weekend na razie to "prościejsze" rzeczy ;)

[Gość herpoi]

Uzupełniłem mojego poprzedniego posta i kilka przydatnych informacji.

 

Co do puszczania całego ruchu przez VPN. Nigdy tego nie testowałem. Teoretycznie odpowiadają za to opcje na serwerze:

push "redirect-gateway def1"
push "remote-gateway vpn_server_ip"
push "dhcp-option DNS X.X.X.X"

 

i na kliencie:

redirect-gateway def1

 

Dodatkowo może być potrzebna jakaś dodatkowa konfiguracja NAT na serwerze, ale nigdy tego nie próbowałem więc nie wiem na pewno. No i jeśli klientem jest Windows to też różnie bywa z tymi opcjami push, bo niektóre nie przechodzą jak powinny (widać to z reguły w logu OpenVPN pod windowsem) i trzeba wtedy kombinować.

[Gość terrazo]

Dzięki co do puszczenia ruchu całego przez VPN to tak z ciekawości pytałem jak to wygląda i jak będzie chwila to potestuje to sobie.

Co do konfiguracji jeszcze Twojej jednej rzeczy nie rozumiem w tych configach mianowicie: OPENVPN SERWER plik: ccd/client-a

ten wpis iroute mam dopisać do nowo utworzonego pliku o nazwie client.ccd ??

[mickey]

Swego czasu miałem serwer OpenVPN na FreeBSD i konfigurację całkowicie własną. Ponieważ nawet nie przyszło mi do głowy co można zrobić poleceniami "push", to cały routing konfigurowałem sobie ręcznie dopasowując do potrzeb. A później trochę się zmieniło i obecnie sieć obsługuje mi Gargoyle skutkiem czego zdecydowaną większość konfiguracji wyklikuję sobie przez WWW.

 

Przykładowo są tam opcje:

 

- Clients Use VPN For: "All Client Traffic" albo "Only Traffic Destined for Host Behind VPN"

 

- Subnet Behind Client: Jeżeli klientem jest router, to tu podaje się sieć jaka jest podłączona do niego.

 

Reszta opcji jest też dość jasna.

 

A co do klientów:

 

- W Windows jak na razie natrafiłem tylko na jeden problem: OpenVPN GUI musi być uruchomione na prawach administratora, bo inaczej Windows nie pozwala na zmianę tablic routingu. Gdzieś w logach są komunikaty, ale ogólnie GUI udaje, że działa (zmienia kolor na zielony), ale routing się nie ustawia.

 

- W przypadku klienta na Androidzie musiałem zmienić ręcznie wpisy w katalogu /etc/openvpn/ccd na serwerze dla tego klienta na push "route 192.168.128.0 255.255.255.0 vpn_gateway". Interfejs Gargoyle wpisał mi zamiast vpn_gateway odpowiedni adres IP bramy, który działa poprawnie z Windows czy z innym Gargoyle. Ale w Androidzie klient awanturuje się, że musi być "vpn_gateway" (i jeszcze jedna możliwość, też opisowa, teraz nie pamiętam).

 

W przypadku klienta na Windows mam jeszcze taki problem, że [prawie zawsze] po starcie systemu pierwsze uruchomienie kończy się niepowodzeniem. IP niby klient dostaje, ale kompletnie nie działa routing przez tunel. Wtedy wyłączam interfejs sieciowy OpenVPNa, włączam ponownie, łączę z serwerem i od tego momentu działa już samo. Nawet jak połączenie się zerwie, to wszystko się renegocjuje samo jak tylko dostęp do sieci powróci.

 

Co do konfiguracji jeszcze Twojej jednej rzeczy nie rozumiem w tych configach mianowicie: OPENVPN SERWER plik: ccd/client-a

ten wpis iroute mam dopisać do nowo utworzonego pliku o nazwie client.ccd??

 

W gargoyle w katalogu ccd są uzupełnienia pliku konfiguracyjnego dla konkretnych klientów.

[Gość herpoi]

U mnie jest tak:

- katalog konfiguracyjny openvpn: /etc/openvpn

- dodatkowa konfiguracja klientów ccd: /etc/openvpn/ccd/client-a ; /etc/openvpn/ccd/client-a

Odnosi się do tego zapis w konfiguracji klienta:

client-config-dir ccd

 

 

[Gość terrazo]

A no to teraz mam jasność odnośnie tego ccd bo w przykładach tego nie było domyślnie jak instalowałem z angielskim za bardzo nie jestem kumaty więc dokumentacje przeleciałem po łepkach... W weekend spróbuje właśnie odpalić sobie na routerze z Gargoyle OpenVPN tak by wszystkie urządzenia widziały się po adresach lokalnych tak jak ma to @herpoi skonfigurowane i potem kamery, NAS wypuszczę sobie na świat a tuner z OS Graterlia na pokładzie niech pomyka po lokalu VPN ;)

Dziękuje Panowie za dobre rady i wskazówki o sukcesie bądź porażce poinformuję niebawem... Ale powiem szczerze że dzięki waszym podpowiedziom powstał dobry FAQ i właściwie każdy kto nie miał za bardzo styczności po przeczytaniu tego wątku powinien łatwo sobie wszystko sam skonfigurować.

Jeszcze raz dzięki

Piwko wam się należy ;)

[mickey]

Zapomniałem napisać poprzednio. Co do samego Gargoyle (u mnie 1.6.1, więc może poprawione jest) miałem jeszcze taki problem. Dodałem sobie "Subnet Behind Client" a potem chciałem usunąć ... i się nie dało przez przeglądarkę. Gdzieś jest drobny błąd w skryptach powodujący, że niektóre wpisy trzeba było usuwać ręcznie w odpowiednich katalogach przez terminal albo ftp. Ale to uwaga dotycząca samego gargoyle a nie OpenVPNa...

[Gość terrazo]

Witam po dłuższej nieobecności ;) rozłożyłem się z tunerem  :'( w logu mam taki komunikat:

GraterliaOS:~# /usr/sbin/openvpn --config /etc/openvpn/client.conf
Thu Feb 19 19:46:52 2015 OpenVPN 2.3.2 sh4-unknown-linux-gnu [sSL (OpenSSL)] [LZO] [EPOLL] [MH] [iPv6] built on Mar 11 2014
Thu Feb 19 19:46:52 2015 WARNING: file '/etc/openvpn/openvpn-client1.key' is group or others accessible
Thu Feb 19 19:46:52 2015 Socket Buffers: R=[105472->131072] S=[105472->131072]
Thu Feb 19 19:46:52 2015 UDPv4 link local: [undef]
Thu Feb 19 19:46:52 2015 UDPv4 link remote: [AF_INET]22.22.22.22:1194
Thu Feb 19 19:46:52 2015 TLS: Initial packet from [AF_INET]22.22.22.22:1194, sid=5a633333333d
Thu Feb 19 19:46:52 2015 VERIFY OK: depth=1, C=PL, ST=bledow, L=SimCity, O=Atcom, OU=Atcom, CN=Moje-CA, name=Moje-CA, emailAddress=xxx@xxx.com
Thu Feb 19 19:46:52 2015 VERIFY OK: nsCertType=SERVER
Thu Feb 19 19:46:52 2015 VERIFY OK: depth=0, C=PL, ST=bledow, L=SimCity, O=Atcom, OU=Atcom, CN=openvpn-server, name=Moje-CA, emailAddress=xxx@xxx.com
Thu Feb 19 19:46:57 2015 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Thu Feb 19 19:46:57 2015 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Feb 19 19:46:57 2015 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Thu Feb 19 19:46:57 2015 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Feb 19 19:46:57 2015 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
Thu Feb 19 19:46:57 2015 [openvpn-server] Peer Connection Initiated with [AF_INET]185.5.97.20:1194
Thu Feb 19 19:46:59 2015 SENT CONTROL [openvpn-server]: 'PUSH_REQUEST' (status=1)
Thu Feb 19 19:46:59 2015 PUSH: Received control message: 'PUSH_REPLY,route 10.8.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.6 10.8.0.5'
Thu Feb 19 19:46:59 2015 OPTIONS IMPORT: timers and/or timeouts modified
Thu Feb 19 19:46:59 2015 OPTIONS IMPORT: --ifconfig/up options modified
Thu Feb 19 19:46:59 2015 OPTIONS IMPORT: route options modified
Thu Feb 19 19:46:59 2015 TUN/TAP device tun3 opened
Thu Feb 19 19:46:59 2015 TUN/TAP TX queue length set to 100
Thu Feb 19 19:46:59 2015 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Thu Feb 19 19:46:59 2015 /sbin/ifconfig tun3 10.8.0.6 pointopoint 10.8.0.5 mtu 1500
Thu Feb 19 19:46:59 2015 /sbin/route add -net 10.8.0.1 netmask 255.255.255.255 gw 10.8.0.5
route: SIOCADDRT: File exists
Thu Feb 19 19:46:59 2015 ERROR: Linux route add command failed: external program exited with error status: 1
Thu Feb 19 19:46:59 2015 Initialization Sequence Completed

[mickey]

http://www.cyberciti.biz/faq/siocaddrt-file-exists-ubuntu-linux-error-solution/

 

To pierwsza próba, czy któraś z kolei?

 

Masz tun3 ... mam wrażenie, że powinien być tun0, czyli masz już 4 interfejsy OpenVPNa w tunerze? Może jakiś reboot?

[Gość voyteckst]

Pewnie ma 4 urządzenia tun, ponieważ de facto openvpn wystartował i tylko routingu nie ustawił. Albo reboot albo wyłączenie działających openvpn.

[Gość terrazo]

Moja wina była bo uruchomiłem go właśnie kilka razy bo myślałem że jak zamykam okno putty to też zamyka się proces openvpn. Ale zrobiłem restart tunka i połączył się ale nie było komunikacji nie mogłem dalej nic testować bo wypadły mi inne obowiązki. Ale dzisiaj wrócę do tematu.

Ale z tego co sobie zgrałem po restarcie:

Thu Feb 19 21:06:33 2015 Socket Buffers: R=[105472->131072] S=[105472->131072]
Thu Feb 19 21:06:33 2015 UDPv4 link local: [undef]
Thu Feb 19 21:06:33 2015 UDPv4 link remote: [AF_INET]xx.xx.xx.xx:1194
Thu Feb 19 21:06:33 2015 TLS: Initial packet from [AF_INET]xx.xx.xx.xx:1194, sid=xx.xx.xx.xx
Thu Feb 19 21:06:34 2015 VERIFY OK: depth=1, C=PL, ST=bledow, L=SimCity, O=Atcom, OU=Atcom, CN=Moje-CA, name=Moje-CA, emailAddress=xx.xx.xx.xx
Thu Feb 19 21:06:34 2015 VERIFY OK: nsCertType=SERVER
Thu Feb 19 21:06:34 2015 VERIFY OK: depth=0, C=PL, ST=bledow, L=SimCity, O=Atcom, OU=Atcom, CN=openvpn-server, name=Moje-CA, emailAddress=xx.xx.xx.xx
Thu Feb 19 21:06:40 2015 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Thu Feb 19 21:06:40 2015 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Feb 19 21:06:40 2015 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Thu Feb 19 21:06:40 2015 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Feb 19 21:06:40 2015 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
Thu Feb 19 21:06:41 2015 [openvpn-server] Peer Connection Initiated with [AF_INET]xx.xx.xx.xx:1194
Thu Feb 19 21:06:43 2015 SENT CONTROL [openvpn-server]: 'PUSH_REQUEST' (status=1)
Thu Feb 19 21:06:43 2015 PUSH: Received control message: 'PUSH_REPLY,route 10.8.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.6 10.8.0.5'
Thu Feb 19 21:06:43 2015 OPTIONS IMPORT: timers and/or timeouts modified
Thu Feb 19 21:06:43 2015 OPTIONS IMPORT: --ifconfig/up options modified
Thu Feb 19 21:06:43 2015 OPTIONS IMPORT: route options modified
Thu Feb 19 21:06:43 2015 TUN/TAP device tun0 opened
Thu Feb 19 21:06:43 2015 TUN/TAP TX queue length set to 100
Thu Feb 19 21:06:43 2015 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Thu Feb 19 21:06:43 2015 /sbin/ifconfig tun0 10.8.0.6 pointopoint 10.8.0.5 mtu 1500
Thu Feb 19 21:06:43 2015 /sbin/route add -net 10.8.0.1 netmask 255.255.255.255 gw 10.8.0.5
Thu Feb 19 21:06:43 2015 Initialization Sequence Completed

 

Rozumiem że IP tunera z którym się mam połączyć przez VPN jest 10.8.0.6 ?? Ale jak próbuje to ani strona webif tunera ani ssh nie odpowiada

 

I jeszcze poranny log z serwera po restarcie:

Fri Feb 20 07:35:31 2015 OpenVPN 2.2.1 i686-linux-gnu [sSL] [LZO2] [EPOLL] [PKCS11] [eurephia] [MH] [PF_INET6] [iPv6 payload 20110Fri Feb 20 07:35:31 2015 OpenVPN 2.2.1 i686-linux-gnu [sSL] [LZO2] [EPOLL] [PKCS11] [eurephia] [MH] [PF_INET6] [iPv6 payload 20110424-2 (2.2RC2)] built on Dec  1 2014
Fri Feb 20 07:35:31 2015 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Fri Feb 20 07:35:31 2015 Diffie-Hellman initialized with 2048 bit key
Fri Feb 20 07:35:31 2015 TLS-Auth MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Fri Feb 20 07:35:31 2015 Socket Buffers: R=[245760->131072] S=[245760->131072]
Fri Feb 20 07:35:31 2015 ROUTE: default_gateway=UNDEF
Fri Feb 20 07:35:31 2015 TUN/TAP device tun0 opened
Fri Feb 20 07:35:31 2015 TUN/TAP TX queue length set to 100
Fri Feb 20 07:35:31 2015 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Fri Feb 20 07:35:31 2015 /sbin/ifconfig tun0 10.8.0.1 pointopoint 10.8.0.2 mtu 1500
Fri Feb 20 07:35:31 2015 /sbin/route add -net 10.8.0.0 netmask 255.255.255.0 gw 10.8.0.2
Fri Feb 20 07:35:31 2015 Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Fri Feb 20 07:35:31 2015 UDPv4 link local (bound): [undef]
Fri Feb 20 07:35:31 2015 UDPv4 link remote: [undef]
Fri Feb 20 07:35:31 2015 MULTI: multi_init called, r=256 v=256
Fri Feb 20 07:35:31 2015 IFCONFIG POOL: base=10.8.0.4 size=62, ipv6=0
Fri Feb 20 07:35:31 2015 ifconfig_pool_read(), in='openvpn-client1,10.8.0.4', TODO: IPv6
Fri Feb 20 07:35:31 2015 succeeded -> ifconfig_pool_set()
Fri Feb 20 07:35:31 2015 ifconfig_pool_read(), in='openvpn-client2,10.8.0.8', TODO: IPv6
Fri Feb 20 07:35:31 2015 succeeded -> ifconfig_pool_set()
Fri Feb 20 07:35:31 2015 IFCONFIG POOL LIST
Fri Feb 20 07:35:31 2015 openvpn-client1,10.8.0.4
Fri Feb 20 07:35:31 2015 openvpn-client2,10.8.0.8
Fri Feb 20 07:35:31 2015 Initialization Sequence Completed
Fri Feb 20 07:36:32 2015 MULTI: multi_create_instance called
Fri Feb 20 07:36:32 2015 yy.yy.yy.yy:62362 Re-using SSL/TLS context
Fri Feb 20 07:36:32 2015 yy.yy.yy.yy:62362 LZO compression initialized
Fri Feb 20 07:36:32 2015 yy.yy.yy.yy:62362 Control Channel MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Fri Feb 20 07:36:32 2015 yy.yy.yy.yy:62362 Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Fri Feb 20 07:36:32 2015 yy.yy.yy.yy:62362 Local Options hash (VER=V4): '530fdded'
Fri Feb 20 07:36:32 2015 yy.yy.yy.yy:62362 Expected Remote Options hash (VER=V4): '41690919'
Fri Feb 20 07:36:32 2015 yy.yy.yy.yy:62362 TLS: Initial packet from [AF_INET]yy.yy.yy.yy:62362, sid=898228ec a4254915
Fri Feb 20 07:36:39 2015 yy.yy.yy.yy:62362 VERIFY OK: depth=1, /C=PL/ST=bledow/L=SimCity/O=Atcom/OU=_xE2_x80_x9DAtcom_xE2_x80_x9D/CN=Moje-CA/name=Moje-CA/emailAddress=xxx@xxx.pl
Fri Feb 20 07:36:39 2015 yy.yy.yy.yy:62362 VERIFY OK: depth=0, /C=PL/ST=bledow/L=SimCity/O=Atcom/OU=_xE2_x80_x9DAtcom_xE2_x80_x9D/CN=openvpn-client2/name=Moje-CA/emailAddress=xxx@xxx.pl
Fri Feb 20 07:36:39 2015 yy.yy.yy.yy:62362 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Feb 20 07:36:39 2015 yy.yy.yy.yy:62362 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Feb 20 07:36:39 2015 yy.yy.yy.yy:62362 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Feb 20 07:36:39 2015 yy.yy.yy.yy:62362 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Feb 20 07:36:39 2015 yy.yy.yy.yy:62362 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
Fri Feb 20 07:36:39 2015 yy.yy.yy.yy:62362 [openvpn-client2] Peer Connection Initiated with [AF_INET]yy.yy.yy.yy:62362
Fri Feb 20 07:36:39 2015 openvpn-client2/yy.yy.yy.yy:62362 MULTI_sva: pool returned IPv4=10.8.0.10, IPv6=14da:79b7:8ee:82b7::8ee:82b7
Fri Feb 20 07:36:39 2015 openvpn-client2/yy.yy.yy.yy:62362 MULTI: Learn: 10.8.0.10 -> openvpn-client2/yy.yy.yy.yy:62362
Fri Feb 20 07:36:39 2015 openvpn-client2/yy.yy.yy.yy:62362 MULTI: primary virtual IP for openvpn-client2/yy.yy.yy.yy:62362: 10.8.0.10
Fri Feb 20 07:36:41 2015 openvpn-client2/yy.yy.yy.yy:62362 PUSH: Received control message: 'PUSH_REQUEST'
Fri Feb 20 07:36:41 2015 openvpn-client2/yy.yy.yy.yy:62362 send_push_reply(): safe_cap=960
Fri Feb 20 07:36:41 2015 openvpn-client2/yy.yy.yy.yy:62362 SENT CONTROL [openvpn-client2]: 'PUSH_REPLY,route 10.8.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.10 10.8.0.9' (status=1)
Fri Feb 20 07:37:29 2015 MULTI: multi_create_instance called
Fri Feb 20 07:37:29 2015 xx.xx.xx.xx:47155 Re-using SSL/TLS context
Fri Feb 20 07:37:29 2015 xx.xx.xx.xx:47155 LZO compression initialized
Fri Feb 20 07:37:29 2015 xx.xx.xx.xx:47155 Control Channel MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Fri Feb 20 07:37:29 2015 xx.xx.xx.xx:47155 Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Fri Feb 20 07:37:29 2015 xx.xx.xx.xx:47155 Local Options hash (VER=V4): '530fdded'
Fri Feb 20 07:37:29 2015 xx.xx.xx.xx:47155 Expected Remote Options hash (VER=V4): '41690919'
Fri Feb 20 07:37:29 2015 xx.xx.xx.xx:47155 TLS: Initial packet from [AF_INET]xx.xx.xx.xx:47155, sid=eb662e5e 21522459
Fri Feb 20 07:37:33 2015 xx.xx.xx.xx:47155 VERIFY OK: depth=1, /C=PL/ST=bledow/L=SimCity/O=Atcom/OU=_xE2_x80_x9DAtcom_xE2_x80_x9D/CN=Moje-CA/name=Moje-CA/emailAddress=xxx@xxx.pl
Fri Feb 20 07:37:33 2015 xx.xx.xx.xx:47155 VERIFY OK: depth=0, /C=PL/ST=bledow/L=SimCity/O=Atcom/OU=_xE2_x80_x9DAtcom_xE2_x80_x9D/CN=openvpn-client1/name=Moje-CA/emailAddress=xxx@xxx.pl
Fri Feb 20 07:37:33 2015 xx.xx.xx.xx:47155 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Feb 20 07:37:33 2015 xx.xx.xx.xx:47155 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Feb 20 07:37:33 2015 xx.xx.xx.xx:47155 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Feb 20 07:37:33 2015 xx.xx.xx.xx:47155 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Feb 20 07:37:33 2015 xx.xx.xx.xx:47155 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
Fri Feb 20 07:37:33 2015 xx.xx.xx.xx:47155 [openvpn-client1] Peer Connection Initiated with [AF_INET]xx.xx.xx.xx:47155
Fri Feb 20 07:37:33 2015 openvpn-client1/xx.xx.xx.xx:47155 MULTI_sva: pool returned IPv4=10.8.0.6, IPv6=14da:79b7:6030:84b7::6030:84b7
Fri Feb 20 07:37:33 2015 openvpn-client1/xx.xx.xx.xx:47155 MULTI: Learn: 10.8.0.6 -> openvpn-client1/xx.xx.xx.xx:47155
Fri Feb 20 07:37:33 2015 openvpn-client1/xx.xx.xx.xx:47155 MULTI: primary virtual IP for openvpn-client1/xx.xx.xx.xx:47155: 10.8.0.6
Fri Feb 20 07:37:35 2015 openvpn-client1/xx.xx.xx.xx:47155 PUSH: Received control message: 'PUSH_REQUEST'
Fri Feb 20 07:37:35 2015 openvpn-client1/xx.xx.xx.xx:47155 send_push_reply(): safe_cap=960
Fri Feb 20 07:37:35 2015 openvpn-client1/xx.xx.xx.xx:47155 SENT CONTROL [openvpn-client1]: 'PUSH_REPLY,route 10.8.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.6 10.8.0.5' (status=1)

 

client1 = tuner

client2 = laptop z łindołsem 7

 

Jak wbijam 10.8.0.1 wyskakuje mi apache z serwera czyli jest oki

Jak wbijam 10.8.0.10 wyskakuje mi IIS bo mam na 7 czyli jest oki

Jak wbijam 10.8.0.6 nie wskakuje nic próba połączenia po ssh z tunkiem na porcie 22 też lipa

[Gość herpoi]

Na serwerze opcja client-to-client jest w konfigu?

[Gość terrazo]

Bingo nie było w configu serwera tego  :P teraz chodzi aż miło ;) także teraz dla mnie ograniczenia wszystkie zniknęły jakie powodował internet GSM ;)

Dzięki Panowie... chylę czoła za wiedzę i dziękuje jeszcze raz za cierpliwość ;)

 

P.S.Jednak do walki z routerem muszę poczekać bo okazało się że mam 4MB ale nie chce mi się robić exroota także po prostu wymienię sobie na 8MB i przystąpię do ostatecznej walki z materią OpenVPN  ;)

[Gość voyteckst]

Bingo nie było w configu serwera tego  :P teraz chodzi aż miło ;) także teraz dla mnie ograniczenia wszystkie zniknęły jakie powodował internet GSM ;)

Dzięki Panowie... chylę czoła za wiedzę i dziękuje jeszcze raz za cierpliwość ;)

 

P.S.Jednak do walki z routerem muszę poczekać bo okazało się że mam 4MB ale nie chce mi się robić exroota także po prostu wymienię sobie na 8MB i przystąpię do ostatecznej walki z materią OpenVPN  ;)

Może to offtopic, ale akurat extroot jest ok - używam aktualnie a jakimś TP-Link z Gargoyle własnie.

[Gość terrazo]

Nie mówię że nie jest oki tylko wymaga jakiś tam nakładów pracy i czasu i masz zablokowane wtedy port USB jedyny jaki mam w tym routerze. A ja chcę mieć w tym porcie modem GSM. A że modem ledwo 3 dni kupiłem temu to nie ma problemu z jego zwrotem i wymianą na "lepszy" z większą ilością pamięci.

 

Żeby nie było całkiem off-top mam pytania ;)... jeszcze odnośnie openVPN i konfiguracji serwera mianowicie chodzi mi adres IP sieci to określamy go w pliku openvpn.conf na serwerze

 server 10.8.0.0 255.255.255.0   # klasa IP dla tunelu VPN

I ten adres 10.8.0.0 może być każdym innym zgodnie z tym co tutaj jak dobrze główkuje???:

http://pl.wikipedia.org/wiki/Adres_prywatny

 

Adresy klienta są przydzielane dynamicznie ?? czy raczej statycznie przypisywane w momencie generowania certyfikatów?? Jeśli statycznie to gdzie są zapisywane i czy istnieje możliwość zmiany takiego adresu IP w późniejszym czasie ??

[mickey]

Pula adresów - ok. Pamiętaj o tym co pisał herpoi wcześniej o najczęściej używanych adresach.

 

Jeżeli używasz gargoyle, to te dynamiczne wpisy do DHCP są na stałe przypisywane do certyfikatów. Zmienić ... przez przeglądarkę, to chyba tylko usunąć i dodać nowe. A poza tym: szukaj w /etc/openvpn.

[Gość herpoi]

Statyczne adresy można chyba przez ifconfig-push (w pliku ccd klienta). Poszukaj w google: "openvpn client static ip". Jest trochę przykładów.

[Gość terrazo]

Panowie normalnie szok wszystko działa ;) i zgodnie ze schematem @herpoi tez sobie zbudowałem taką kaskadę i widzi mi wszystkie urządzenia po adresie lokalnym ;) oczywiście dla każdej podsieci nadałem inny... teraz to się zaczęła zabawa i możliwości Dzięki wielkie panowie wszyscy co udzielili się w tym temacie PIWO wam się należy chociaż virt ;)

 

 

[Gość terrazo]

Mam takie pytanie mianowicie chcę dodać nowego klienta i dostaje taki komunikat.

 

root@pico:/etc/openvpn/easy-rsa# ./build-key openvpn-client21
  Please edit the vars script to reflect your configuration,
  then source it with "source ./vars".
  Next, to start with a fresh PKI configuration and to delete any
  previous certificates and keys, run "./clean-all".
  Finally, you can run this tool (pkitool) to build certificates/keys.
root@pico1:/etc/openvpn/easy-rsa#

 

i teraz pytanie czy jak zrobię ./clean-all to na nowo musze generować wszystkie certyfikaty etc ?? czy tylko robię cleanall i potem od razu build-key dla klienta.

[Gość herpoi]

Nie rób clean-all.

Zrób:  source ./vars

A potem generuj klucze.

[Gość terrazo]

No to jeszcze pytanie jedno próbuję rozkminić wpis który sam wcześniej podałem:

 

iptables -t nat -A PREROUTING -i ppp0 -p tcp -m udp –dport 3333 -j DNAT –to-destination 192.168.100:80

 

To otworzę na świat port 80 na którym mam webif kamery.... a logować się będę na ip_serwera:3333

 

Tylko pytanie chodzi mi o parametr ppp0 czy on taki mam zostać ?? czy tam ma być tun0 może ?? bo na VPS'ie mam taki ifconfig:

 

root@xxx:~# ifconfig
lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:939 errors:0 dropped:0 overruns:0 frame:0
          TX packets:939 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:101792 (101.7 KB)  TX bytes:101792 (101.7 KB)

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00                                                                                        -00
          inet addr:10.8.0.1  P-t-P:10.8.0.2  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:3155 errors:0 dropped:0 overruns:0 frame:0
          TX packets:3361 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:167839 (167.8 KB)  TX bytes:179338 (179.3 KB)

venet0    Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00                                                                                        -00
          inet addr:127.0.0.2  P-t-P:127.0.0.2  Bcast:0.0.0.0  Mask:255.255.255.                                                                                        255
          UP BROADCAST POINTOPOINT RUNNING NOARP  MTU:1500  Metric:1
          RX packets:174208 errors:0 dropped:0 overruns:0 frame:0
          TX packets:178148 errors:0 dropped:2 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:101706486 (101.7 MB)  TX bytes:109919765 (109.9 MB)

venet0:0  Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00                                                                                        -00
          inet addr:xx.xx.xx.xx  P-t-P:xx.xx.xx.xx  Bcast:0.0.0.0  Mask:255.255.                                                                                        255.255
          UP BROADCAST POINTOPOINT RUNNING NOARP  MTU:1500  Metric:1

[Gość herpoi]

Dokładnie się na tym nie znam, ale na twoim miejscu spróbowałbym:

iptables -t nat -A PREROUTING -p tcp -m udp –dport 3333 -j DNAT –to-destination 192.168.100:80

lub

iptables -t nat -A PREROUTING -i venet0:0 -p tcp -m udp –dport 3333 -j DNAT –to-destination 192.168.100:80

[Gość terrazo]

Cześć...

Taka sytuacja Panowie:

 

SERWER OPENVPN 10.8.0.1 ------ Router (192.168.99.1)------ Tuner klient OpenVPN (192.168.99.101, 10.8.0.16)

 

Wbijam 10.8.0.16 działa, wbijam 192.168.99.101 działa ale czy jest możliwe abym wbił sie na adres routera na którym nie ma OpenVPN 192.168.99.1 poprzez tuner ???

[mickey]

Ogólnie napisałbym, że tak, ale nie jestem do końca pewny w czym problem.

 

Domyślam się że chcesz się dostać na Router albo z SERWERA OPENVPN albo z innego klienta podłączonego do tego samego serwera.

 

Na tunerze musi być aktywny "forwarding", ale zdaje się już jest jeżeli działają zarówno 10.8.0.16 jak i 192.168.99.101. Tuner wie jak się połączyć z 192.168.99.1, więc na serwerze czy też innym kliencie potrzebujesz wpisu (składnia może być błędna...):

 

route add 192.168.99.0/24 10.8.0.16

 

Czyli: pakiety adresowane do podsieci 192.168.99.0/24 kieruj na 10.8.0.16.

 

Jeżeli klient ma adres z sieci 10.8.0.0/24, dotyczy to również serwera, to byłoby na tyle. Natomiast jeżeli znowu reprezentuje jakąś podsieć, to kolejne route trzeba dopisać na tunerze.

 

To da się zrobić nawet w konfiguracji serwer OpenVPN, ale że klikam ostatnio w Gargoyle, to nie dochodziłem jakie konkretnie wpisy są potrzebne. Ogólnie to są push route, tyle że zależne od klienta.

 

---

---

 

Korekta. U mnie na kliencie dodawane jest raczej coś takiego:

 

route add 192.168.99.0/24 10.8.0.1

 

Czyli pakiet do tej podsieci skieruj na adres serwera OpenVPN ale podany wcześniej wpis jest i tak na serwerze OpenVPN. Czyli każdy pakiet wysyłany do tej podsieci kierowany jest na adres serwera OpenVPN a on ma wiedzieć co z nim zrobić dalej.

[Gość terrazo]

Generalnie jest tak mam router który nie wspiera ani garygoyle ani tymbardziej OpenVPN. I zainstalowałem sobie OpenVPN na tunerze i spokojnie się łącze z tunerem jak napisałem wcześniej... ale chciałbym mieć możliwość połączenia się z innymi urządzeniami w tej podsieci gdzie jest tuner:

Router 192.168.99.1

Tuner 192.168.99.101

Serwer plików 192.168.99.102

 

I teraz to wszystko jest za natem. Serwer mam na VPS;ie z zewn. IP więc elegancko się łącze z tunerem na którym jest klient OpenVPN 192.168.99.101. Gra.

I teraz moje pytanie brzmiało czy mając zainstalowanego KLIENTA OpenVPN na tunerze mogę spokojnie korzystać z innych zasobów podsieci 192.168.99.xxx ?? typu router czy serwer plików. Jeśli tak to jakie wpisy muszę zrobić na serwerze a jakie na kliencie żeby tuner wiedział gdzie dalej przekazać pakiety ???