Dotaz: Kniha o OpenVPN

[Fido]

Dobry den

Nevite nekdo o nejakej knizce kde bude popsana problematika OpenVPN??

Dekuji

Odpovědi

[sir Turbis]

Myslím,že si vystačíš s tímhle článkem na : OpenVPN

[Fido]

Podle tohohle jsem to udelal ale mam problem s komunikaci. OpenVPN se spoji, ale nic nepingnu a nedostanu se do ty druhy site. :(

[tezkatlipoka]

asi mas nastaveno neco blbe :-}

tady je, o nicem jinem nevim, a jak kvalitne je psana taky netusim

PS ale kdyz das prijmej a urcitej dotaz urcite ti tady nekdo poradi, openVPN je celkem casto diskutovane tema, a i celkem s velkym procentem uspesnosti

[Joshka]

Tuto knihu mam taky (v el. podobe)http://www.packtpub.com/openvpn/book/mid/2405065clw5q a musim rict ze je docela podrobna, rozhodne je kvalitne napsana...

[tezkatlipoka]

jak je aktualni? co treba OpenVPN ve verzi 2.1? je tam zminena?

[Joshka]

Byla vydana letos, ale zminuji se tam o 2.1 jako betaverzi.. (asi 2x) jednou ze doporucuji navstivit man stranky teto betaverze a druha v tabulkach fci o auto-proxy...

[bfield]

Cau, koukni se na openvpn.net v sekci examples jsou ukazky, ktere se ti mohou hodit (i bridging je tam vysvetleny).

Popr. koukni na avc.sh.cvut.cz kde je video-prezentace jak nastavovat prave OpenVPN.

[pheek]

Problem je v routngu do site, taky jsem to resil a vyresil, posli jak mam nastavenou sit jednu i druhou a do scriptu kterej ti pousti OpenVPN musis pridat routovani do site

[Fido]

Jo to by mohlo bejt ono. Mam server kterej ma vnitrni IP 10.123.15.1 a venkovni 62.77.89.242 a pripojuju se z verejny 62.240.166.122 kde mam vnitrni 192.168.1.18. Vsechno se spoji ale problem bude s tim routovanim si myslim. Prosim poradte mi. :((

[tezkatlipoka]

jeden konec VPN si pingne ten druhej konec? To funguje?

[Fido]

nn ani to nejde. :(

[tezkatlipoka]

tak to teda v routovani nebude, hod configuraky, mas povoleny porty na firewallu?

[Fido]

Tohle mam na serveru:

dev tap0
ifconfig 10.123.15.2 255.255.255.0
secret static.key
log-append /var/log/openvpn
status /var/run/openvpn/vpn.status 10
user root
group root
comp-lzo
verb 5

a na clientu mam tohle

dev tap0
remote gw.americanway.cz
ifconfig 10.123.15.50 255.255.255.0
secret static.key
ping 10
comp-lzo
verb 5
mute 10
user root
group root

Spojit se to spoji, ale to je vse.

[Aldagautr]

http://openvpn.net/static.html

[Fido]

Firewall mam otevrenej co se tyce IP ke klienta uplne celej.

[Fido]

Tak uz jsem vyresil to ze obe strany na sebe vidi ale stale jeste nemohu do vnitrni site. :(

[tezkatlipoka]

tak ted uz je to o routovani

to se resilo zde

[Fido]

Snazim se to routovani napsat do shorewallu a nejak mi to nejde. :( Musi to routovani bejt nastaveny i na klientovy?? Potrebuju pouze aby clovek co je nekde s notebookem mohlo pripojit do nasi site a pracovat tak jako kdyz sedi v praci. Takze z druhe strany se k nemu nikdo nepotrebuje dostat. Dekuji

[tezkatlipoka]

v tom pripade na klientovi direktiva pull, a na server directiva push, jak se pouzivaji si dohledej, je to jednoduche. Neznam shorewall, ale prepokladam ze je to akorat nadstavba k iptables.

PS ano, pokud nema klient jako gw vpn server, musi byt zmena routovani na klientovi, k tomu slouzi prave pull, push, kdy server klientovi to routovani zmeni tak jak je potreba.

[Fido]

Mam jeste jeden problem. VPN bezi na siti 10.123.16.0/24 a vnitrni sit za serverem je 10.123.15.0/24 z toho server ma IP 10.123.15.3. Na IP serveru uz se v pohode dopingnu, ale na ostatni PC v te same siti ne. :( Nevite cim by to mohlo byt?? Uz si s tim lamu hlavu nekolik dni. :( Dekuji

[tezkatlipoka]

1/ povolit forward do vnitrni site v iptables

2/ klient musi umet na ty klienty pingnout, tedy bud pull/push nebo na klientovi directiva up

3/ nekde vis jsem nechaval link, kde jsem to same resil s nekym jinym, a uspesne

[Fido]

Mam to naprosto presne a stejne to nejde. :(( Na serveru mam route add 192.168.1.0 netmask 255.255.255.0 gw 10.123.16.2 a u klienta mam tohle route add 10.123.15.0 mask 255.255.255.0 10.123.16.1 metric 3 Jelikoz je to windows tak ta routa vypada jinak.

[tezkatlipoka]

prosim tedy, popis co nejpresneji jak vypada ta sit. Kde je jaka sit, jake adresy maji konce VPNky, jake adresy maji ty routery (servery). Muzes to, a asi i nejlepe zkusit "namalovat" ze znaků

ty forwardy mas povolene? musis mit special zaznamy pro virtualni zarizeni (tun/tap).

[Fido]

Klient      			Server
Vnitrni sit			Vnitrni sit
################		################
#192.168.1.0/24#		#10.123.15.0/24#
################		################

vpn				vpn
#############			#############
#10.123.16.2#			#10.123.16.2#	
#############			#############

Tak a na klientovy je tohle nastaveny v openvpn:

dev tap0
remote 62.77.89.243
ifconfig 10.123.16.2 255.255.255.0
route 10.123.15.0 255.255.255.0
secret static.key
ping 10
comp-lzo
verb 3
mute 10
user root
group root

a na serveru mam nastaveny tohle:

dev tap0
ifconfig 10.123.16.1 255.255.255.0
up ./server.up
secret static.key
log-append /var/log/openvpn
status /var/run/openvpn/vpn.status 10
push "route 10.123.15.0 255.255.255.0"
push "dhcp-option DOMAIN awg.hq"
push "dhcp-option DNS 10.123.16.1"
user root
group root
comp-lzo
verb 3

Ve firewallu mam povoleny veskerou komunikaci s VPN jak do FW tak to LOC. V Shorewallu mam povoleny IP FORWARDING Uz opravdu nevim co je spatne. :(( Nikdy jsem tohle nedelal a doufam ze uz taky delat nebudu. :(

[tezkatlipoka]

1/ pokud ma klient prebrat nastaveni z push, musi to mit povolene, pomoci pull.

2/ v push "route ...." mu nedavas branu na kterou se ma obratit

[Fido]

Oboje opraveno, ale stale nic. :(

[tezkatlipoka]

hod sem vypis z route ze serveru i klienta

[Fido]

Tak na klientovi je toto:

===========================================================================
Aktivní směrování:
       Cíl v síti     Síťová maska            Brána        Rozhraní  Metrika
          0.0.0.0          0.0.0.0      10.123.16.1     10.123.16.2       30
          0.0.0.0          0.0.0.0    192.168.1.250    192.168.1.18       20
      10.123.15.0    255.255.255.0      10.123.16.1     10.123.16.2       1
      10.123.16.0    255.255.255.0      10.123.16.2     10.123.16.2       30
      10.123.16.2  255.255.255.255        127.0.0.1       127.0.0.1       30
   10.255.255.255  255.255.255.255      10.123.16.2     10.123.16.2       30
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1       1
      172.16.37.0    255.255.255.0      172.16.37.1     172.16.37.1       20
      172.16.37.1  255.255.255.255        127.0.0.1       127.0.0.1       20
      172.16.93.0    255.255.255.0      172.16.93.1     172.16.93.1       20
      172.16.93.1  255.255.255.255        127.0.0.1       127.0.0.1       20
   172.16.255.255  255.255.255.255      172.16.37.1     172.16.37.1       20
   172.16.255.255  255.255.255.255      172.16.93.1     172.16.93.1       20
      192.168.0.0      255.255.0.0     192.168.1.18    192.168.1.18       20
     192.168.1.18  255.255.255.255        127.0.0.1       127.0.0.1       20
    192.168.1.255  255.255.255.255     192.168.1.18    192.168.1.18       20
        224.0.0.0        240.0.0.0      10.123.16.2     10.123.16.2       30
        224.0.0.0        240.0.0.0      172.16.37.1     172.16.37.1       20
        224.0.0.0        240.0.0.0      172.16.93.1     172.16.93.1       20
        224.0.0.0        240.0.0.0     192.168.1.18    192.168.1.18       20
  255.255.255.255  255.255.255.255      10.123.16.2     10.123.16.2       1
  255.255.255.255  255.255.255.255      172.16.37.1     172.16.37.1       1
  255.255.255.255  255.255.255.255      172.16.93.1     172.16.93.1       1
  255.255.255.255  255.255.255.255     192.168.1.18    192.168.1.18       1
Výchozí brána:     192.168.1.250
===========================================================================
Trvalé trasy:
  Žádné

A na serveru je toto

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
62.77.89.240    *               255.255.255.248 U     0      0        0 eth0
10.123.16.0     *               255.255.255.0   U     0      0        0 tap0
192.168.1.0     10.123.16.2     255.255.255.0   UG    0      0        0 tap0
10.123.15.0     *               255.255.255.0   U     0      0        0 eth1
169.254.0.0     *               255.255.0.0     U     0      0        0 eth1
default         62.77.89.241    0.0.0.0         UG    0      0        0 eth0

[tezkatlipoka]

uaaaaaaaaaaaa, zatraceny Win, prase aby se v tom vyznalo.

[Fido]

No jo no Windows. :( Kdyby tam nebyl zapotrebi tak ho tam nemam. :(

[tezkatlipoka]

na linuxu to vypada dobre, a ve win snad taky, aspon ja nic nevidim, tu routu ktera je tam je potreba jsem nasel, ale ve zbytku se nevyznam.

zkousis ping klient za VPN - klient za VPN, nebo klient za VPN a druhy konec VPN? Jestli mi rozumis co tim chci rict. Jestli zkousis ping mezi dvema klienty ve vnitrnich sitich, nebo klienta z vnitrni site na server te druhe strany.

[Fido]

Rozumim. :) Snazim se pingnout od klienta za druhou stranu VPN. Prosim te nemuze to bejt jeste nejak v tom forwardu?? I kdyz je zaplej v tom shorewallu.

[secido]

Ktovie co vsetko je tam zapnute, vypni shorewall, nech mas iptables ciste.

[Fido]

Tak to opravdu delat nechci. V shorewallu uz mam nejaky pravidla a nechci je zase prepisovat.

[Fido]

Nemuzem se nejak domluvit treba pres ICQ?? Tady to vlakno je uz dost neprehledny. :(

[secido]

mozeme, hod cislo

[Fido]

328577048

[secido]

route change 10.123.15.0 mask 255.255.255.0 10.123.15.3 Ale nie som si istý

[Fido]

No myslim ze tak to neni.

[secido]

Myslis??? Ja si myslim, ze mas routovanie nastavene zle.

[tezkatlipoka]

kde jsi vzal 10.123.15.3 kdyz se o ni nikde nemluvi?

[secido]

Mam jeste jeden problem. VPN bezi na siti 10.123.16.0/24 a vnitrni sit za serverem je 10.123.15.0/24 z toho server ma IP 10.123.15.3. Na IP serveru uz se v pohode dopingnu, ale na ostatni PC v te same siti ne. :( Nevite cim by to mohlo byt?? Uz si s tim lamu hlavu nekolik dni. :( Dekuji

Nevyzna sa v tom ani diva svina. Mne openvpn isla v podstate na prvy pokus. Ked sa spoji, tak staci na klienta pridat routu do siete, kde je server. Neviem co je na tom take zlozite.

[tezkatlipoka]

ja to prave taky nahodil hned napoprve, a to to mam jeste trochu (o dost) slozitejsi.

[secido]

mala zmena route change 10.123.15.0 mask 255.255.255.0 ip_adresa_server_vo_vpn

[Fido]

A vsimnul jsi se ze tahle route v tich oknech je nastavena???