abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 15:55 | Zajímavý projekt

Vyzkoušet si příkazy a vyřešit několik úkolů lze na stránkách Commandline Challenge (CMD Challenge). Úkoly lze řešit různými způsoby, důležitý je výsledek. Zdrojové kódy jsou k dispozici na GitHubu pod licencí MIT.

Ladislav Hagara | Komentářů: 10
18.2. 17:35 | Bezpečnostní upozornění

Německá Bundesnetzagentur (obdoba českého ČTU) zakázala na německém území prodej panenky Cayla kvůli „špionáži“ dětí. Tato elektronická hračka obsahuje mikrofon, reproduktor a kameru a bezdrátové komunikační rozhraní, pomocí kterého se hračka připojuje na servery výrobce. Takovýmto způsobem může hračka pomocí umělé inteligence „odpovídat“ na dotazy dítěte. Hlavní problém bude ale asi někde jinde, podle prvotních zpráv může

… více »
Petr Tomášek | Komentářů: 26
17.2. 15:30 | Bezpečnostní upozornění

CSIRT.CZ upozorňuje, že bezpečnostní experti objevili nový typ malwaru, jenž cílí na open source e-commerce platformu Magento. Malware je zajímavý tím, že se jedná o první svého druhu, jehož kód zůstává skrytý v SQL databázi zasaženého e-shopu. Škodlivý kód je volán pomocí tzv. SQL trigerru, který je spouštěn při každém vytvoření objednávky v systému.

Ladislav Hagara | Komentářů: 2
17.2. 09:00 | Nová verze

Bylo vydáno Ubuntu 16.04.2 LTS, tj. druhé opravné vydání Ubuntu 16.04 LTS s kódovým názvem Xenial Xerus. Přehled novinek v poznámkách k vydání a v přehledu změn.

Ladislav Hagara | Komentářů: 50
17.2. 06:00 | Zajímavý článek

Pavel Tišnovský se v dvoudílném článku na MojeFedora.cz věnuje tvorbě pluginů (modulů) pro bitmapový grafický editor GIMP. Pomocí pluginů lze GIMP rozšiřovat o další funkce. Implementovat lze například nové filtry nebo pomocné utility pro tvorbu animací či poloautomatickou retuš snímků.

Ladislav Hagara | Komentářů: 6
16.2. 23:32 | Komunita

Do 30. března se lze přihlásit do dalšího kola programu Outreachy, jehož cílem je přitáhnout do světa svobodného a otevřeného softwaru lidi ze skupin, jež jsou ve světě svobodného a otevřeného softwaru málo zastoupeny. Za 3 měsíce práce, od 30. května do 30. srpna 2017, v participujících organizacích lze vydělat 5 500 USD. Jedná se již o 14. kolo tohoto programu.

Ladislav Hagara | Komentářů: 11
16.2. 23:13 | Nová verze

Byla vydána verze 0.92.1 svobodného multiplatformního vektorového grafického editoru Inkscape. Přehled novinek v poznámkách k vydání. Řešen je mimo jiné problém s verzí 0.92, jež rozbíjí dokumenty vytvořené v předchozích verzích Inkscape. Více v příspěvku na blogu Davida Revoye, autora open source webového komiksu Pepper&Carrot nebo portrétu GNU/Linuxu.

Ladislav Hagara | Komentářů: 0
16.2. 16:26 | Bezpečnostní upozornění

Byla vydána verze 1.1.0e kryptografické knihovny OpenSSL. Dle bezpečnostního upozornění 20170216 byla opravena závažná bezpečnostní chyba CVE-2017-3733.

Ladislav Hagara | Komentářů: 1
16.2. 13:03 | Pozvánky

GNOME hackaton proběhne v Brně na FIT VUT v Red Hat Labu (budova Q) v pondělí 20. února od 15:00. Registrace není nutná, ale pokud dáte na FaceBooku vědět, že plánujete dorazit, pomůže to s plánováním.

Ladislav Hagara | Komentářů: 0
16.2. 13:02 | Pozvánky

Únorový Prague Containers Meetup se koná 21. února v budově MSD. Můžete se těšit na přednášky o tom, proč a jak používat kontejnery a zároveň získat zajímavý pohled na historii a budoucnost kontejnerů.

little-drunk-jesus | Komentářů: 0
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (13%)
 (2%)
 (72%)
 (3%)
 (10%)
Celkem 657 hlasů
 Komentářů: 52, poslední 13.2. 12:45
Rozcestník
Reklama

Dotaz: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru

28.12.2011 02:31 sirvestroji
Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
Přečteno: 1229×
Ahoj. Nakonfiguroval jsem si OpenVPN klienta a OpenVPN server propojené přes tun zařízení. Spojení funguje parádně. Problém je v routování, resp. nevím jak naroutovat cílovou síť za serverem.
================                                    ===================
|OpenVPN klient| --|domácí router|--> internet ---> |hardwarový router| --->_______místní síť_______________
================                                    ===================        |               | | | | | | | 
                                                                          ================     počítače v síti
                                                                          |OpenVPN server|
                                                                          ================

OpenVPN klient: obecně jakákoliv ip, která není v cílové síti, např. 192.168.55.23/24
hardwarový router (neumí vpn): vnější adresa veřejná, vnitřní 192.168.1.1/24
OpenVPN server: 192.168.1.2/24
počítače v síti: 192.168.1.0/24

(Neřeším teď samotné ip adresy vpn tunelu)
Problém je, že pokud se chci z vpn klienta dostat na nějaký počítač v síti, pak se na něj nedostanu z jednoho prostého důvodu. Pakety nemají cestu zpátky, protože počítače v síti mají jako výchozí bránu hardwarový router. Teoreticky bych mohl udělat to, že kýžené pakety budu routovat z routeru zpět na openvpn server. Jenže to nemůže fungovat z toho důvodu, že pakety projdou prvním směrem z openvpn serveru, ale zpátky už cestují přes router do openvpn serveru tzn. se zahodí. Jako možné řešení je přidat všem klientům v síti routu pro vpn klienty na vpn server. To sice funguje, ale je to dost nepraktické a "ošklivé". Dalším možným řešením by bylo vyjmout openvpn server z místní sítě a vše na něj a z něj routovat přes hardwarový router - to ale bohužel nemohu, protože tento server slouží i jako dhcp server. Mohl bych použít virtuální ethernety, ale to je ještě prasáčtější řešení, než v případě routování jednotlivých klientů.
Nenapadá vás, jak by se takové routování dalo elegantně řešit?

Odpovědi

28.12.2011 09:40 chytracek
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
Teoreticky bych mohl udělat to, že kýžené pakety budu routovat z routeru zpět na openvpn server. Jenže to nemůže fungovat z toho důvodu, že pakety projdou prvním směrem z openvpn serveru, ale zpátky už cestují přes router do openvpn serveru tzn. se zahodí.
A presne to fungovat bude (Ano, funguje. Mam to takhle nastavene, brana routuje VPN subnet na LAN IP VPN serveru). Z jakeho duvodu by se pakety mely zahazovat? Kde?
28.12.2011 14:15 sirvestroji
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
1. OpenVPN server -> klient
2. klient -> router -> OpenVPN server
Tady je jasné, že že se stavová spojení nepodaří navázat. (router si hlídá handshake)
29.12.2011 08:35 CET
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
Tady je jasné, že že se stavová spojení nepodaří navázat. (router si hlídá handshake)
Neplet si router a firewall - zatimco firewall filtruje provoz a pro to obvykle pouzivat sledovani spojeni (connection tracking) a tvori si tabulku spojeni pro navazana spojeni, tak router POUZE routuje, tzn. predava pakety a nezajima ho, jestli je ten packet soucastni nejakyho spojeni.

Pokud je tedy HW router i Firewall, tak by bylo nutne nastavit neco na zpusob iptables zapisu iptables -A FORWARD -j ACCEPT -i eth0 -o eth0, kde eth0 je mistni sit, cili, pokud neco prijde z eth0 a ma to odchazet na eth0, tak to proste predat a nezajimat se.

Jinak dalsi moznost by byla, ze by ten OpenVPN pridelovat par adres tem VPN klientum ze stejneho rozmezi jako hlavni DHCP server. Rekneme hlavne DHCP server by daval 10-150, VPN by daval 151-200 a nebo ,jak pise bigbrambor, pouzit primo bridgovani (pokud se nepletu, v tom pripade se pouziva tap misto tun), coz by bylo ve tvem pripade zrejme to nejlepsi.

Jinak pokud bys chtel ten VPN server dat mezi HW router (DHCP) a mistni sit, tak bys na VPN serveru spustil akorat dhcprelay a ten by pak vsechny DHCP pozadavky z mistni site predaval na HW router a zaroven by VPN server sam routoval do VPN.
29.12.2011 08:57 bigBRAMBOR | skóre: 30
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
s drobným dovětkem, pokud dobre nastavis OVPN server, nemusis rozdelovat pridelovany rozsah adres, ale o adresy pro OVPN klienty se postara DHCP server. Vse se tedy chova tak jak ma, jako by jsi byl v lokalni siti.
30.12.2011 08:33 CET
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
Mas na mysli dhcprelay nebo bridge?
2.1.2012 08:15 bigBRAMBOR | skóre: 30
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
bridge
28.12.2011 11:16 bigBRAMBOR | skóre: 30
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
pokud stroje v lokalni siti maji jinou default GW nez OVPN server, mas dve moznosti, bud klidntum podstricit routu ktera jim rekne ze na OVPN klienta se maji ptat OVPN serveru - napr DHCP to umí, nebo na serveru OVPN nastavit maskaradu pro prichozi pakety od OVPN klienta. Dalsi moznost by byla jeste OVPN jako bdrige, kdy OVPN klient by dostal adresu z lokalniho rozsahu, stejnou GW? vsechno, a vlastne by se stal soucasti lokalni site.
28.12.2011 18:33 sirvestroji
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
Kdybych to bridgoval, tak bych vlastně propojil tap0 a eth0 pomocí virtuálního br0 a pouze tomu virtuálnímu br0 bych dal IP adresu původního eth0, aby byl ten server dostupný po síti. Je to tak správně? Myslím ale, že tohle se nedá moc dobře filtrovat přes firewall (shorewall). K tomu dhcp - nevím, že by to umělo. Beztřídní adresy option pro static routes neumí a navíc tento option ani windows pokud vím nepodporují.
29.12.2011 08:05 bigBRAMBOR | skóre: 30
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
1/ jak pises, az na to ze pres firewall to projde, akorat budes mit vsude br0 misto eth0, a klient se do site dostane, protoze jde o komunikaci jiz navazaneho spojeni

2/ dhcp to umi i pro windows, direktiva "option win-static-routes", málo známá a šílená (jako parametr se dává nekoneční řetězec HEX čísel složený z převedených masek a gw, ale to je problém windows jako to chtějí, a ne dhcpd), ale funkční, používal jsem

3/ pořád můžeš nahodit maskaradu
29.12.2011 16:47 sirvestroji
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
1/ jak pises, az na to ze pres firewall to projde, akorat budes mit vsude br0 misto eth0, a klient se do site dostane, protoze jde o komunikaci jiz navazaneho spojeni
No četl jsem, že standardní iptables firewall (používá ho shorewall) nemůže fungovat na linkové vrstvě v bridgování. Např. bych potřeboval omezit počet nějakých paketů za sekundu, povolené porty apod. ve směru tap0->eth0. Nicméně jsem našel obrázek http://ebtables.sourceforge.net/br_fw_ia/PacketFlow.png, podle kterého bych řekl, že by to fungovat mělo (iptables filter tabulka). Jak to tedy je?
29.12.2011 20:40 bigBRAMBOR | skóre: 30
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
oboje dvoje co pises iptables umí, i pocet spojeni za sekundu, a povolene porty pro urcite smerovani samozrejme taky. Tedy iptables, netusim co vsechno povoluje jeho nadstavba, tedy shorewall.
29.12.2011 13:16 Pavel | skóre: 17
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
Jen se zeptam tady, abych nemusel zakládat další dotaz. Mam zapojení sítě shodný se schéma výše, do domácí sítě se dostanu normálně, ale pude udělat abych měl přístup i přístup do internetu? Aby tedy vzdálený klient měl vystupoval na internetu jako dyby přistupoval z domácí sítě. VPN serever mam připojen jednou síťovkou, nebude potřeba mít speciální s trunk portem?
29.12.2011 15:10 bigBRAMBOR | skóre: 30
Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
redirect gateway, OVPN presmeruje veskery provoz pres OVPN server jako pres GW. Pak se dostanes do stejne situace jako predchozi tazatel. Pokud OVPN server neni GW pro sit, bude se proste ptat svoji GW, tedy asi nejakeho tveho routeru. Nebo udelas bridge, GW pak OVPN klient bude mit stejnou jako kdyby byl lokalne, tvuj lokalni router.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.