abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 17:02 | Pozvánky

Přijďte si popovídat o open source obecně a openSUSE konkrétně s dalšími uživateli a vývojáři. Oslava nového vydání openSUSE Leap se uskuteční 16. prosince od 17:00 v nových prostorách firmy SUSE v Praze. K dispozici bude nějaké občerstvení a DVD pro ty, kdo je sbírají nebo ještě mají mechaniku. Po párty v kanceláři se bude pokračovat v některé z hospod v okolí.

Miška | Komentářů: 1
dnes 14:55 | Zajímavý software

Byla vydána verze Alpha 1.0 otevřeného operačního systému pro chytré hodinky AsteroidOS. Podporovány jsou hodinky LG G Watch, LG G Watch Urbane, Asus ZenWatch 2 a Sony Smartwatch 3. Ukázka ovládání hodinek na YouTube. Jaroslav Řezník přednášel o AsteroidOS na chytrých hodinkách (videozáznam) na letošní konferenci OpenAlt.

Ladislav Hagara | Komentářů: 0
dnes 13:30 | Zajímavý software

Byly uvolněny zdrojové kódy známé rogue-like hry DoomRL. Počátky hry jsou v roce 2002. Je napsána ve FreePascalu a zdrojový kód je nyní k dispozici na GitHubu pod licencí GNU GPL 2.0. Autor pracuje na nové hře Jupiter Hell, která je moderním nástupcem DoomRL a na jejíž vývoj shání peníze prostřednictvím Kickstarteru.

Blaazen | Komentářů: 0
dnes 13:15 | Pozvánky

Přijďte s námi oslavit vydání Fedory 25. Na programu budou přednášky o novinkách, diskuse, neřízený networking atd. Release Party se bude konat 16. prosince v prostorách společnosti Etnetera. Na party budou volně k dispozici také propagační materiály, nová DVD s Fedorou 25 a samozřejmě občerstvení. Přednášky budou probíhat v češtině. Pro více informací se můžete podívat na web MojeFedora.cz. Jen připomínám, že tentokrát jsme zavedli

… více »
frantisekz | Komentářů: 0
včera 16:38 | Komunita

Byly zveřejněny videozáznamy přednášek a workshopů z letošní konference OpenAlt konané 5. a 6. listopadu v Brně. K videozáznamům lze přistupovat ze stránky na SuperLectures nebo přes program konference, detaily o vybrané přednášce nebo workshopu a dále kliknutím na ikonku filmového pásu. Celkově bylo zpracováno 65 hodin z 89 přednášek a workshopů.

Ladislav Hagara | Komentářů: 0
včera 11:30 | Komunita

Bylo oznámeno, že bude proveden bezpečnostní audit zdrojových kódů open source softwaru pro implementaci virtuálních privátních sítí OpenVPN. Audit provede Matthew D. Green (blog), uznávaný kryptolog a profesor na Univerzitě Johnse Hopkinse. Auditována bude verze 2.4 (aktuálně RC 1, stabilní verze je 2.3.14). Audit bude financován společností Private Internet Access [reddit].

Ladislav Hagara | Komentářů: 4
včera 06:00 | Komunita

Na YouTube byl publikován Blender Institute Reel 2016, ani ne dvouminutový sestřih z filmů, které vznikly za posledních 10 let díky Blender Institutu. V institutu aktuálně pracují na novém filmu Agent 327. Dění kolem filmu lze sledovat na Blender Cloudu. Videoukázka Agenta 327 z června letošního roku na YouTube.

Ladislav Hagara | Komentářů: 0
včera 01:02 | Zajímavý článek

Minulý týden byly vydány verze 1.2.3 a 1.1.7 webového poštovního klienta Roundcube. V oznámení o vydání bylo zmíněno řešení bezpečnostního problému nalezeného společností RIPS a souvisejícího s voláním funkce mail() v PHP. Tento týden byly zveřejněny podrobnosti. Útočník mohl pomocí speciálně připraveného emailu spustit na serveru libovolný příkaz. Stejně, jak je popsáno v článku Exploit PHP’s mail() to get remote code execution z roku 2014.

Ladislav Hagara | Komentářů: 1
8.12. 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 1
8.12. 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 5
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 808 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: OpenVPN a Shorewall

20.12.2007 19:27 Vinc
OpenVPN a Shorewall
Přečteno: 1261×
Ahoj, na Debianu (Etch) jsem rozbehal OpenVPN (rozhrani tap0)...mam Shorewall. Pri pripojeni se dostanu na slozky Samby, ale ne do lokalni site. Myslim, ze mam zprovoznit bridge,ale nejak se nedari. Pouzivate nekdo OpenVPN se Shorewallem?

Odpovědi

20.12.2007 19:42 lewq
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
tap0 je routovana vpn, ty potrebujes tun0 aby ti siel bridge
21.12.2007 13:12 Petr
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Gratuluji, delas v tom pekne zmatky...
20.12.2007 19:59 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
no a skrz to tap0 se nejak nedostanu na pocitace v lokalni siti? Nemusi to byt zrovna bridge..
21.12.2007 00:24 Pantera
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
v policy neco jako:
loc    vpn    ACCEPT      ALERT
vpn    loc    ACCEPT      ALERT
predpoklad je v interfaces mit vpn jako tap0 nebo tun0
nastav v policy uroven logovani na vyssi a mrkni do logu, kde ti to haze DROP - u shorewallu je pekne videt, v kterem miste se to zaseklo - napr.:
vpn2loc:DROP:IN=eth0 OUT.... atd
znamena, ze byla blokovana komunikace z vpn rozhrani na rozhrani lokalni site - da se vycist i jaky port atd.
ja to mam nastavene tak, ze pokud se nekdo pripoji z venku na muj server pres vpn, z lokalni site se na nej normalne dostanu pres jeho pridelenou IP - napr. 10.8.0.10 atp. - zadny bridge neni potreba - vzorova konfigurace je na webu openvpn (serverxclient)
21.12.2007 09:28 Dramon | skóre: 14
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Dovolím si navrhnout lehce odlišné řešení. Do /etc/shorewall/policy dejte spíš tohle a nechte to tam navěky a nemusíte se, aspoň v tomto případě, zbývat log souborem:
vpn             loc             ACCEPT
net             all             DROP            info
# THE FOLLOWING POLICY MUST BE LAST
all             all             REJECT          info

Popsané policy Vám pustí pakety z VPN do lokální sítě, všechno ostatní je buď zahozeno (z Internetu) nebo zamítnuto (odevšad jinak), ale rozhodně to bude zalogováno.
Povolovat pakety z LAN do VPN nemusíte, pokud chcete jen přistupovat z VPN do LOC, protože v tomto případě vracející se pakety budou těžit z výhod stavového firewallu, jakým iptables jsou. Pokud směr LAN to VPN povolíte, budou moci lidé z LAN komunikovat s připojenými VPN klienty, což asi není to, co jste chtěl.
Další pravidla si doplňte podle potřeby. Třeba ještě před tu část s VPN:
fw             all             ACCEPT
lan            net             ACCEPT

21.12.2007 10:34 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Diky za odpovedi. Tak takhle to mam nastavene a nic... Jen doplnim, ze na tap0 mam IP v jinem rozsahu nez v LAN (loc)... nemel bych nastavit na tap0 stejny rozsah?
21.12.2007 10:58 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
A pokud nemam v policy povoleno vpn fw , tak se nepingnu ani na IP tap0...
21.12.2007 12:02 Dramon | skóre: 14
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
To je v pořádku, i když osobně bych to z policy umístil do rules jako pravidlo:
Ping/ACCEPT       vpn          fw
21.12.2007 12:13 Dramon | skóre: 14
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
sítě na vpn a loc nesmí být v konfliktu, takže to že se nepřekrývají je v pořádku.
Pokud se to shorewallu explicitně nezakáže, tak při svém startu zapíná routování, takže pokud Vám komunikace nefunguje ani nyní, může být problém zde:
-OpenVPN nemá vyexportované rozsahy pro routovací tabulku - zkontrolujte ji na klientovi
-Na cílovém PC v lan je jiný FW - zkontrolujte
-Velice nepravděpodobně to zahazuje Shorewall - ověřte všechna DENY a DROP pravidla, podívejte se do /var/log/messages

Pro zjištění, kam se až pakety dostanou používejte tcpdump -i [rozhraní]. Osobně používám ping a tcpdump spouštím nejdříve na tunX zařízení, kde vidím, jestli něco přichází od klienta a poté na ethX zařízení, abych viděl, zda pakety putují dál do lokální sítě.
Syntaxe pro ping:
tcpdum -i tun0 ip proto \\icmp
21.12.2007 12:43 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
-OpenVPN nemá vyexportované rozsahy pro routovací tabulku - zkontrolujte ji na klientovi

co si mám prosím pod tímto představit? díky

jinak klient má winxp a používá openVPN GUI...

PC: v rules nic ohledně vpn zakázáno nemám...

ještě jednou díky za ochotu!
21.12.2007 12:59 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
icmp pakety se dostavaji pouze na tap0 (vpn), na eth1 (loc) jiz ne :(
21.12.2007 13:07 Pheek | skóre: 24 | blog: io
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
udelal bych routovani do site treba neco jako route add -host 192.168.x.x dev tap0
21.12.2007 13:13 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
to mam udelat na clientovi s winxp? a ta IP je ip adresa vnitrni site za serverem s vpn? Nejak jsem se do toho zamotal:(
21.12.2007 13:18 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
me site: server s openvpn - tap0 (vpn): 10.0.2.100, eth1 (loc): 10.0.10.0 klient s openvpn (WinXP) - 10.0.2.1

na serveru pingnu 10.0.2.100, 10.0.10.1, ale nepingnu 10.0.2.1 na klientu pingnu 10.0.2.100, ale nepingnu 10.0.10.1
21.12.2007 13:19 Pheek | skóre: 24 | blog: io
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
To je routovani na strane serveru, staci udelat sript ve kterem poustite VPN a za to pridat par pravidel o routovani a ano to je rozsah vnitrni site na strane VPN, potom dostanete na strane clienta adresu treba 192.168.1.100 pokud zadate pravidlo s adresou 192.168.1.100
21.12.2007 13:26 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
ach jo:( mam tedy menit neco na strane serveru nebo staci na klientovi? a co tam presne zadat.. omlouvam se za me dotazy, ale opravdu jsem z toho jelen:(
21.12.2007 13:32 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
mel bych tedy na serveru (ne clientovi) nastavit nejaky pravidlo na Shorewallu mezi vpn a loc..nebo se mylim?
21.12.2007 13:33 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
mam jen toto v policy: vpn loc ACCEPT
21.12.2007 13:38 Pheek | skóre: 24 | blog: io
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Takze si napred nastavte eth0 na 10.0.10.1 myslim si ze nula je uplne scestna, potom si v konfiguraci openvpn nastavte TAP0 na stejnou adresu ETH0, takze 10.0.10.1 a potom ji pustte a nakonec dejte route add -host 10.0.10.50 dev tap0 a testnete ping
21.12.2007 13:47 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
eth1 mam nastaveno jako rozhrani do lokalni site 10.0.10.0. Jinak IP mam na eth1 nastavenu 10.0.10.1 (asi jsem to spatne popsal:).

Rozhrani tap0 mam pridelit stejnou IP jako ma rozhrani eth1? Tak jste to myslel nebo to opet spatne chapu? A ta IP 10.0.10.50 je ci?
21.12.2007 13:49 Pheek | skóre: 24 | blog: io
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Moc se omlouvam s vama je to strasne tezke a vidim ze vubec nechapete co a jak v siti, asi vam dal nepomuzu, ne ze bych nechtel ale malo casu, jeste se zeptam kdyz vypnete Shorewall tak vam to chodi? A ta adresa je ta co by mel dostat klient.
21.12.2007 13:57 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
chapu.. to ja se omlouvam.. jen nechapu zmenu te ip u tap0 na 10.0.10.1 ... par prispevku vyse je napsano, ze je v poradku, kdyz mam tap0 nastaveno v jinem rozsahu nez eth1..proto muj dotaz... ja si tedy myslim, ze bych mel nejakym zpusobem preroutovat klienta 10.0.2.treba2 na ip v lokalni siti 10.0.10.treba5... ale nevim jak:(
21.12.2007 14:00 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
takze mozna zadat na serveru treba: route add -host 10.0.2.2 dev tap0 .. nebo ne?
21.12.2007 14:07 Pheek | skóre: 24 | blog: io
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Tak naposledy, ja mam sit eth0 192.168.1.10/24 a nainstalovanou OpneVPN, konfigurak opnevpn

dev tap0

proto tcp-server

ifconfig 192.168.1.10 255.255.255.0

ifconfig-pool 192.168.1.50 192.168.1.60 255.255.255.0

duplicate-cn

key-method 2

keepalive 10 120

route 192.168.1.0 255.255.255.0

push "route 192.168.1.0.255.255.255.0"

atd....

a jak je vidno tak se muzou pripojit 10 klientu k serveru openvpn a tudiz musim proroutovat stejnej pocet IP takze route add -host 192.168.1.50 .... 60 dev tap0

potom pustim klienta a budu se dotazovat na prislusnou verejnou IP asi router kterej me posle pomoci v mem pripade 1149 protu dal na server a dostanu jednu z volny IP 192.168.1.50 (treba), je to dost jasne?
21.12.2007 14:12 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Aha, ja je vidno, tak bude asi zakopany pes v radku 3 a 4 .. tap0 tedy na stejne IP jako eth, ale jiny rozsah klientu (jina sit).. to je vec, ktera mi nejak nebyla jsana. Zrejme jsem si nejak jinak vylozil prispevky vyse..

Vyzkousim a verim, ze kdyz to funguje Vam, tak to pujde i me...;)

Moc Vam dekuji a preji krasny svatky a novy rok! a jeste jednou se omlouvam za zdrzovani a hloupe dotazy :)
21.12.2007 16:45 Dramon | skóre: 14
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Tjova, to jsou věci :)
Podle mě to u Vás vypadá takto:
eth0 patří do sítě 192.168.1.10 255.255.255.0=192.168.1.0/24
a tun0 do sítě 192.168.1.10 255.255.255.0=192.168.1.0/24
A teď mě vysvětlete, jak mezi těmito 2mi sítěmi provádíte routing??
Vy totiž přidělujete adresy například 192.168.1.50/30 (OpenVPN standardně používá 4bodové P-t-P spojovací adresy), což je sice routovatelné, ale PC v lokální síti s IP adresou třeba 192.168.1.90/24 zaboha nemůže vědět, že má poslat paket pro VPN klienta VPN serveru.
Správná konfigurace:
eth0-inet addr:212.71.111.232  Mask:255.255.255.224
eth1-inet addr:192.168.1.252Mask:255.255.255.0
tun0-inet addr:192.168.2.252  P-t-P:192.168.2.253  Mask:255.255.255.255

port 1194
proto tcp-server
dev tun0
ca keys/ca.crt
cert keys/server.crt
key keys/server.key  # This file should be kept secret
dh keys/dh2048.pem
*mode server
*tls-server
*ifconfig 192.168.2.252 192.168.2.253
*ifconfig-pool 192.168.2.20 192.168.2.199
*route 192.168.2.0 255.255.255.0
*push "route 192.168.2.252"
ifconfig-pool-persist /var/spool/openvpn/ipp.txt
push "route 192.168.1.0 255.255.255.0"
push "dhcp-option DNS 192.168.1.252"
push "dhcp-option WINS 192.168.1.201"
keepalive 10 120
tls-auth keys/ta.key 0 # This file is secret
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn/openvpn.status
log-append  /var/log/openvpn/openvpn.log
verb 3
Řádky začínající hvězdičkou vznikly rozepsáním direktivy "server 192.168.2.0 255.255.255.0", s tím, že jsem si schválně upravil, jakou IP adresu má server a jaké IP adresy dostávají klienti. Klidně je vynechte a použijte tuto direktivu. JInak hvězdičky pryč :)
Všimněte si, že eth1 a tun0, tedy LAN a VPN síť mají jiné rozsahy - 192.168.1.0/24 a 192.168.2.0/24. Pokud tomu je jinak, musí se bridgovat a nikoliv routovat.
Když se budete držet TOHOTO návodu, nemusíte se s žádnými příkazy "route ..." zabývat a bude Vám to fungovat. Pokud ne, bude chyba v nějakém firewallu, ale to se dá doladit. Ozvěte se, jak to dopadlo. BTW>Na VPN klientovi musí být v routovací tabulce řádky (přidává je automaticky OpenVPN):
192.168.2.25   0.0.0.0         255.255.255.255 UH    0      0        0 tun0
192.168.2.252  192.168.38.25   255.255.255.255 UGH   0      0        0 tun0
192.168.1.0    192.168.38.25   255.255.255.0   UG    0      0        0 tun0
21.12.2007 17:07 Pheek | skóre: 24 | blog: io
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Trosku jste me dostal, mam tak rozjetych asi 5 zakazniku a jedou bez sebemensiho problemu! Kde bych mel mit problem?
21.12.2007 19:55 Dramon | skóre: 14
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
No, máte stejné sítě na loc i vpn.
Používáte ty klienty pro přístup jen na server s OpenVPN, nebo se připojujete i na PC v LAN??
22.12.2007 18:15 Pheek | skóre: 24 | blog: io
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Pouzivam to jen na pripojeni na server se sambou.
21.12.2007 18:14 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Tak jsem zase az tolik neplacal nesmysly.. kazdopadne mi to stale nejde :) nebo spis :(
21.12.2007 19:13 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
tak jsem do winxp pridal route add 10.0.10.1 mask 255.255.255.255 10.0.11.50 . kde 10.0.10.1 je eth1 a 10.0.11.50 je IP klienta pridelena VPN... uz se dostanu na 10.0.10.1 ale ne na 10.0.10.5..
21.12.2007 19:40 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
VYRESENO!

do konfigu serveru jsem pridal: push "route 10.0.10.0 255.255.255.0 10.0.11.1"

a uz se dostanu i do vnitrni site...
21.12.2007 19:54 Dramon | skóre: 14
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Hezké. Ale tohle tam musí přidávat OpenVPN sama :( Vždyť ona ví, na jaké adrese má svůj server
Ale hlavně, že Vám to funguje
21.12.2007 19:57 Dramon | skóre: 14
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Pardon. Blbost. Přidal jste to správně, v mém konfiguráku to je síť 192.168.1.0/24. Předchozí post ode mne je blbost, spletl jsem si čísla sítí.
BTW>IP adresu serveru tam snad ani dávat nemusíte.
21.12.2007 20:40 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
ja se ani nedim, ze nam to uz po cele teto diskuzi sem-tam mysli jinak;) kazdopadne diky a hezke svatky!
21.12.2007 20:45 Vinc
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
jeste doplnim: kdyz zrusim IP serveru 10.0.11.1, tak to nefunguje... to je snad vse;)
21.1.2008 18:37 Jirka N.
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
pouzivate nekdo shorewall a openvpn tak, aby sel cely internetovy provoz klienta pres branu na OpenVPN serveru?
23.1.2008 19:58 Zdenek Maly
Rozbalit Rozbalit vše Re: OpenVPN a Shorewall
Nekolikrat se to tady na foru resilo, ale nikde jsem jeste nevidel funkcni konfiguraci. Dopurucuje se direktiva "redirect gateway" ale to neni jeste vyhrano.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.