Dotaz: OpenVPN a statické přidělování virtuálních adres pro klienty

[LuděkS]

Zdravím, chtěl bych poprosit o radu. Rozběhl jsem OpenVPN na serveru i na klientech. Vygeneroval jsem certifikáty, nastavil směrování do podsítě. Pingnu mezi virtuálními adresami ze serveru na klienty i obráceně. Pingnu na jakýkoliv počítač v podsíti. Všechno by tedy bylo v pořádku.
Ale:
Mám na stanicích linux a potřebuji, aby se uživatelé připojili k NFS. V souboru /etc/exports mám definováno připojení podle IP adres. Pokud pro NFS povolím virtuální adresu přidělenou klientskému počítači, vše funguje. Problém je však v tom, že klientům se přidělí vždy jiná virtuální adresa.
Domníval jsem se, že by toto měl vyřešit soubor ipp.txt, ve kterém by byly uvedeny adresy, které by se klientům vždy připojily.
Jenže ať dělám co dělám, můj soubor ipp.txt má stále nulovou velikost (nic se do něj nezapisuje). I když do něj zadám údaje ručně jsou úplně ignorovány. Nemůžu přijít na to co je špatně (určitě to bude nějaká "drobnost", které jsem si nevšiml... :-/).
Kdyby Vás někoho napadlo co je špatně, poraďte mi, prosím. Zde jsou konfiguráky:
Server /etc/openvpn/server.conf

lolocal 88.xxx.xxx.xxx
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key 
dh dh1024.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.1.0 255.255.255.0"
push "redirect-gateway"
client-to-client
duplicate-cn
keepalive 10 120
comp-lzo
persist-key
persist-tun
status /var/log/openvpn/openvpn_status.log
log /etc/openvpn/openvpn.log
log-append  /etc/openvpn/openvpn.log
remely verbose
verb 3

Klient /etc/openvpn/client1.conf

remote pridelena.adresa.serveru 1194
client
dev tun
proto udp
resolv-retry infinite
persist-key
persist-tun
mute-replay-warnings
ca ca.crt
cert client1.crt
key client1.key
comp-lzo
verb 3
route 192.168.1.0 255.255.255.0

Děkuju za pomoc.

Odpovědi

[svaca]

Je to snadne, staci zadat na serveru: ifconfig-pool-persist /etc/openvpn/ipp.txt

Soubor se bude tvorit automaticky a muze vypadat nejak takto:

uzivatel_vpn,10.10.16.4

BTW mrkni na openvpn.net je to tam dobre popsane ...

[LuděkS]

Přesně to jsem také zkoušel. Soubor se vytvoří i s absolutní cestou i bez ní. Ale je prázdný (což nechápu). Zítra to vyzkouším znovu a dám vědět. Moc děkuju.

[xobot]

pouzivaj v konfigurakoch absolutne cesty a sam budes prekvapeny kolko casu usetris pre svoju priatelku, deti, psa, astara serana, ...

[xobot]

a ak to nahodou nepomoze, hladaj vo /var/log/openvpn nieco taketo:

Thu May 24 06:21:16 2007 IFCONFIG POOL LIST
Thu May 24 06:21:16 2007 xerxes,172.30.30.4
Thu May 24 06:21:16 2007 archa,172.30.30.8

alebo to vloz sem (staci od restartu daemona)

[LuděkS]

No právě že po

Thu May 24 06:21:16 2007 IFCONFIG POOL LIST

už zadání strojů a adres není. Nechápu proč

[LuděkS]

Takže
- zadal jsem absolutní cestu
- soubor ipp.txt se po restartu OpenVpn vytvořil (prázdný)
- výpis openvpn.log je bez chybového hlášení:

Fri May 25 01:20:51 2007 IFCONFIG POOL LIST
Fri May 25 01:20:51 2007 Initialization Sequence Completed

- spustil jsem klienta 1
- soubor ipp.txt na serveru je stále prázdný
- V logu jsem objevil chyby u direktivy push. Zaremoval jsem ji a restartoval jsem obě strany.
- Nyní je výpis v logu bez chyb:

Fri May 25 01:29:35 2007 IFCONFIG POOL: base=10.8.0.4 size=62
Fri May 25 01:29:35 2007 IFCONFIG POOL LIST
Fri May 25 01:29:35 2007 Initialization Sequence Completed

- Jenže soubor ipp.txt je stále nulový (prázdný) :((
AHA! Tohle jsem v logu přehlédl! :
(přitom je to logické, že...)

 WARNING: --ifconfig-pool-persist will not work with --duplicate-cn

- takže to dávám pryč:
- restartuju obě strany
- varování z logu zmizelo
ale ipp.txt je stále prázdný (
Zítra budu pokračovat...

[LuděkS]

Nedalo mi to... přepnul jsem log na devítku. Zde je část výpisu:

Fri May 25 01:51:02 2007 us=38687   ifconfig_pool_defined = ENABLED
Fri May 25 01:51:02 2007 us=38708   ifconfig_pool_start = 10.8.0.4
Fri May 25 01:51:02 2007 us=38729   ifconfig_pool_end = 10.8.0.251
Fri May 25 01:51:02 2007 us=38749   ifconfig_pool_netmask = 0.0.0.0
Fri May 25 01:51:02 2007 us=38769   ifconfig_pool_persist_filename = '/etc/openvpn/ipp.txt'
Fri May 25 01:51:02 2007 us=38788   ifconfig_pool_persist_refresh_freq = 600
Fri May 25 01:51:02 2007 us=38807   ifconfig_pool_linear = DISABLED
Fri Ma

a ještě jedena část:

Fri May 25 01:51:02 2007 us=35827   persist_config = DISABLED
Fri May 25 01:51:02 2007 us=35846   persist_mode = 1
Fri May 25 01:51:02 2007 us=36717   persist_tun = ENABLED
Fri May 25 01:51:02 2007 us=36736   persist_local_ip = DISABLED
Fri May 25 01:51:02 2007 us=36755   persist_remote_ip = DISABLED
Fri May 25 01:51:02 2007 us=36774   persist_key = ENABLED
Fri May 25 01:51:02 2007 us=38769   ifconfig_pool_persist_filename = '/etc/openvpn/ipp.txt'
Fri May 25 01:51:02 2007 us=38788   ifconfig_pool_persist_refresh_freq = 600

Díky za každou pomoc.

[pht]

ifconfig-pool-persist je hezka vec, ale neudeluje staticke adresy. pouze se *snazi* udelit klientum stejnou adresu, jakou meli minule.

pro opravdu staticke adresy pouzivam

client-config-dir ccd

v .conf souboru na serveru a pak v adresari ccd mam soubory pro kazdeho klienta v tomto duchu

# cat /etc/openvpn/ccd/zaurus
ifconfig-push 10.8.0.25 10.8.0.26

prvni cislo je adresa klienta, druhe adresa serverove casti tunelu. jmena souboru musi odpovidat cn polozce v certifikatu. do toho ccd jde toho nacpat vic, napr. iroute atd.

[LuděkS]

Také jsem o tom uvažoval. Dnes jsem se k tomu ještě nedostal. Zkusím to a dám vědět. Děkuju moc.

[svaca]

Jo ano, taky jsem k soboe ten koukal a mam to nastaveny tak jak pises ... a tu prvni moznost co jsem psal ja mam zakomentovanou .... Uz jsem si ani nepamatoval jak jsem to nastavoval ...

[LudekS]

Zdravím. Chtěl bych poprosit o radu. Po 501 dnech perfektního fungování přidělování adres VPN klientům jsem se dostal do situace,
kdy potřebuji totéž rozběhnout na WinXP klientovi. Tedy - server běží na Linuxu, klient je WinXP. Ale narazil jsem na problém:
Pokud NEMÁM uvedenou adresu v souboru ipp.txt, připojení funguje, ovšem adresa se přiděluje náhodně.
Pokud zadám údaje do souboru ipp.txt, připojení selže s hlášením:
The local and remote VPN endpoints must exist within the same 255.255.255.252 subnet
Pokud záznam souboru v ipp.txt zruším, spojení se podaří s požadovanou přidělenou IP adresou.
Můžete mi, prosím, poradit kde je chyba? Potřebuji to nastavit člověkovi, který odjíždí do zahraničí, ale nemůžu s tím hnout .
Děkuji!

[LuděkS]

OMLOUVÁM SE! Psal jsem to z hlavy (z Windows) a napsal jsem to úplně špatně :
Údaje neuvádím do souboru ipp.txt, ale do samostatných souborů v adresáři ccd (samozřejmě! :-/..).
Obsah souboru vypadá takto:
ifconfig-push 10.8.0.33 10.8.0.1

Správné znění dotazu je tedy takto:
Pokud NEMÁM uvedenou adresu v souboru v adresáři ccd, připojení funguje, ovšem adresa se přiděluje náhodně.
Pokud zadám údaje do souboru (např. client33) v adresáři ccd, připojení FUNGUJE POUZE NA LINUXOVÉM KLIENTU, ve Windows selže s hlášením:

The local and remote VPN endpoints must exist within the same 255.255.255.252 subnet

Pokud záznam souboru v adresáři ccd zruším, spojení se podaří s požadovanou přidělenou IP adresou.

Ještě jednou se omlouvám za špatně zadaný dotaz . Pokud někdo máte radu je vítaná. Děkuji!

[Dejv]

viz:

... v adresari ccd mam soubory pro kazdeho klienta v tomto duchu

# cat /etc/openvpn/ccd/zaurus
ifconfig-push 10.8.0.25 10.8.0.26

prvni cislo je adresa klienta, druhe adresa serverove casti tunelu ...

Takze jestli v tom souboru mas opravdu

ifconfig-push 10.8.0.33 10.8.0.1

tak asi povazuji za chybu, ze to v linuxu funguje (nebo jsem neco spatne pochopil ). Protoze jak (spravne) tvrdi windowsi klient,

The local and remote VPN endpoints must exist within the same 255.255.255.252 subnet

ale 10.8.0.33/30 a 10.8.0.1/30 ve stejne subsiti nejsou. Ta druha adresa by asi mela byt 10.8.0.34.

Dejv

[LuděkS]

Aha...takže jestli to dobře chápu.. (?), tak

druhe adresa serverove casti tunelu ...

..neznamená, že je to adresa OpenVPN serveru, ale serverová část tunelu znamená, že je to druhá adresa klienta na straně serveru??
Tzn, že klient má dvě IP - jednu na své straně a jednu na serverové straně, přičemž server má třetí IP?? Protože v tom případě to mám celou dobu špatně...

Myslel jsem si, že první číslo je IP (OpenVPN) klienta a druhé číslo je IP (OpenVPN) serveru.
Chápu to teď dobře, nebo ne? Díky!

[svaca]

ano tunnel point MA DVE adresy .... IP adresa serveru je jen IP kam se pripojit, jinak s tim danym endpoint klientem ma VLASTNI IP ... Ale taky jsem to kdysi nevedel ...

[LuděkS]

AHA! To ovšem zcela mění situaci ! (A to jsem si to s těmi IP adresami tak pěkně naplánoval)

Zajímavé: Právě zažívám zajímavou směs pocitů:
1) Cítím se jako "úplnej idiot", že jsem to nevěděl - a tedy špatně...
2) A současně mám radost z toho, že jsem to "konečně pochopil" (tudíž se cítím skvěle! )

Každopádně moc díky za pomoc!

[LuděkS]

Ano, tak toto je skutečně to, co jsem potřeboval. Nyní je klientovi přidělena mnou definovaná IP.
Děkuji pht a Vám všem za ochotu a za pomoc :).

[DBfanous]

Ahoj,
prosím nenašel by si někdo volnou chvilku a neporadil mě s openvpn. Jedná se mi aby server přiděloval stále stejné ipadresy klientům.
Jsem ve fázi kdy už nevím  co vyzkoušet. Chová se mi to tak, že se sice přiděluje stále stejná IP ale spojení nefunguje. Když to přepnu aby přiděloval server sám IP adresy tak klient dostane náhodnou IP a spojení je funkční.

Moje konfigurace serveru DEBIAN (server přiděluje ip adresy, spojení se uskuteční a je funkční):
mode server
tls-server
dev tap0
ifconfig 10.0.10.1 255.255.255.0
ifconfig-pool 10.0.10.2 10.0.10.99 255.255.255.0
duplicate-cn
ca /etc/openvpn/cacert.pem
cert /etc/openvpn/vpn.crt
key /etc/openvpn/vpn.key
dh /etc/openvpn/dh1024.pem
log-append /var/log/openvpn
status /var/run/openvpn/vpn.status 10

user openvpn
group openvpn
verb 3

ipconfig klienta je potom:
        Protokol DHCP povolen . . . . . . : Ano
        Automatická konfigurace povolena  : Ano
        Adresa IP . . . . . . . . . . . . : 10.0.10.2
        Maska podsítě . . . . . . . . . . : 255.255.255.0
        Výchozí brána . . . . . . . . . . :
        Server DHCP . . . . . . . . . . . : 10.0.10.0
----------------------------------------------------------------------------
když to změním (server přiděluje ip adresy, spojení se uskuteční ale není funkční):
mode server
tls-server
dev tap0
ifconfig 10.0.10.1 255.255.255.0
ifconfig-pool 10.0.10.2 10.0.10.99 255.255.255.0
client-config-dir /etc/openvpn/ccd/
duplicate-cn

ca /etc/openvpn/cacert.pem
cert /etc/openvpn/vpn.crt
key /etc/openvpn/vpn.key
dh /etc/openvpn/dh1024.pem
log-append /var/log/openvpn
status /var/run/openvpn/vpn.status 10
user openvpn
group openvpn
verb 3

ipconfig klienta je potom:
        Protokol DHCP povolen . . . . . . : Ano
        Automatická konfigurace povolena  : Ano
        Adresa IP . . . . . . . . . . . . : 10.0.10.27
        Maska podsítě . . . . . . . . . . : 10.0.10.28
        Výchozí brána . . . . . . . . . . :
        Server DHCP . . . . . . . . . . . : 10.0.10.24

( v souboru ../ccd je:   ifconfig-push 10.0.10.27 10.0.10.28 )

--------------

nevím jak donutit aby se tam doplnila předepsaná maska atd..
prosím o pomoc - je možno i na ICQ 299947589
předem díky

 

 

 

 

[tezkatlipoka]

nechces zalozit nove vlakno, nez cpat dotaz do 2 roky stareho dotazu?? Masku klientovi davas 10.0.10.28 z jakoho duvodu, co je to za masku?

[DBfanous]

Tu masku nepřiděluji ja ale je přidělena automaticky. Právě nevím co změnit aby se tam doplnila předepsaná maska. Já jsem jenom postupoval podle návodu popsaném v tomto vlakne. V adresari ./ccd jsem doplnil soubor ktery obsahuje apř.:    "ifconfig-push 10.0.10.27 10.0.10.28".

ipconfig klienta je potom:
        Protokol DHCP povolen . . . . . . : Ano
        Automatická konfigurace povolena  : Ano
        Adresa IP . . . . . . . . . . . . : 10.0.10.27
        Maska podsítě . . . . . . . . . . : 10.0.10.28
        Výchozí brána . . . . . . . . . . :
        Server DHCP . . . . . . . . . . . : 10.0.10.24

---------

když to zaměním za další:     ifconfig-push 10.0.10.29 10.0.10.30

ipconfig klienta je potom:
        Protokol DHCP povolen . . . . . . : Ano
        Automatická konfigurace povolena  : Ano
        Adresa IP . . . . . . . . . . . . : 10.0.10.29
        Maska podsítě . . . . . . . . . . : 10.0.10.30
        Výchozí brána . . . . . . . . . . :
        Server DHCP . . . . . . . . . . . : 10.0.10.28

 

 

 

[tezkatlipoka]

tak za kazdou z tech adres dej masku

[DBfanous]

ahoj,

jo včera na to kolega přišel,

Bylo potřeba doplnit místo druhé adresy maska
potom vše restartovat

tkže v ./ccd 

ne :  ifconfig-push 10.0.10.27 10.0.10.28

ale : ifconfig-push 10.0.10.27 255.255.255.0  pro jednoho klienta

a ifconfig-push 10.0.10.28 255.255.255.0  pro druhého klienta

atd
taky jsem to zkoušel ale nerestartoval jsem obě strany .....

 

díky za ochotu

M
 

[dustin]

Ten druhý parametr je různý pro TUN a TAP. Taky jsem se na to chytil :)

 --ifconfig l rn
              Set  TUN/TAP adapter parameters.  l is the IP address of the lo-
              cal VPN endpoint.  For TUN devices, rn is the IP address of  the
              remote  VPN endpoint.  For TAP devices, rn is the subnet mask of
              the virtual ethernet segment which is being created or connected
              to.
 

[NN]

Nedavno jsem narazil na tuto direktivu serveru, kere se hodi k dynamickemu pridavani pravidel do firewallu pri vyce klientskych sitich, jak dru- ha alternativa k spousteni vice demonu pro vice siti.

learn-address ./script

Mozna se to muze hodit.

NN

[dumi]

http://openvpn.net/index.php/documentation/howto.html#policy

 

mozna vam pomuze tento odkaz

pres direktivu

client-config-dir

se da nastavit k jednotlivim klientum ruzne parametry v prikladu je i ukazka ruznych IP adres.