Dotaz: Připojení vzdáleného počítače přes OpenVPN a NFS

[Dalibor Smolík]

Zdravím, na firemním serveru mám nainstalovaný OpenVPN, na firemním WAN routeru povolený port 5002 a chtěl bych se z domova připojit přes nfs na tento server. Problém je, že na domácím stroji nemám pevnou adresu (DHCP přes UPC). Je v principu možné toto připojení a pokud ano, co upravím v konfiguráku OpenVPN na serveru? (předpokládám, že uvedu pevnou vnější adresu serveru a zmíněný port 5002) a potřebuji mít nainstalovaný OpenVPN i na domácím stroji?
Vím, že musím také upravit /etc/exports na serveru, ale není mi jasné, jaký název stroje zadat pro povolení sdílení, neboť IP adresa domácího stroje je proměnlivá. Díky za radu. Na obou strojích je Debian.

Odpovědi

[matoo]

zdravim, ak je problem len v tom, ze sa ti meni IP adresa, tak celkom pekne riesenie poskytuje DDNS, napriklad tu

zaregistrujes si domenu (je ich par na vyber), je to zadarmo
router posiela pravidelne kazdych 10 dni update na server, takze aj ked sa mi zmeni IP adresa, nie je problem .. v konfigurakoch sa odvolavam na nazov serveru, nie IP ..

[matoo]

len maly technicky detail: samozrejme, neregistrujes si domenu, ale host v domene ..

[pht]

Nevim jak tohle resi dany problem. Spojeni obvykle iniciuje klient na adresu serveru, ktera se nemeni.

[matoo]

hm, mno nepochopil som otazku ocividne spravne ..

ja som pochopil ze sa potrebuje dostat k NFS share, pubic IP ma, ale premenlivu, a teda nevie ako zadefinovat prava na share v /etc/exports (a nechce definovat cely UPC range v configu) .. niekedy sa neoplati odpovedat v noci :p

[Dalibor Smolík]

Díky za rady, nakonec jsem to nainstaloval podle tohoto návodu, jen místo nfs jsem použil Sambu. Jen mi není jasné, kam uložím konfigurační soubor pro klienta, pokud jsou na klientovi Windows

[pht]

Je v principu možné toto připojení

Nevidim tady zadnej problem. OpenVPN (a dalsi vpn programy) se bezne pouziva pro pripojeni roadwarrioru-lidi kteri jezdi s notebookem po svete. Staci abyste se dostal z domova na prislusny port na serveru. Je uplne fuk, jakou mate IP adresu. Maximalne to muze cinit potize pokud mate paranoidne nastaveny firewall na serveru, jelikoz musite povolit cely prislusny rozsah UPC.

a pokud ano, co upravím v konfiguráku OpenVPN na serveru?

Na serveru nic.

potřebuji mít nainstalovaný OpenVPN i na domácím stroji?

Ano. A nastaveny jako klient.

Vím, že musím také upravit /etc/exports na serveru, ale není mi jasné, jaký název stroje zadat pro povolení sdílení, neboť IP adresa domácího stroje je proměnlivá.

Nesouvisi to s IP adresou domaciho stroje ale s VPN adresou kterou vam prideli openvpn server. Muzete opet bud povolit celej VPN rozsah (coz jsou ale interni adresy, ktere jsou dostupne pouze pres openvpn) anebo pokud chcete specificky jen pro sebe tak pres ccd nakonfigurovat fixni adresu a povolit jen tu.

[Dalibor Smolík]

Po instalaci openvpn zůstal adresář /etc/openvpn prázdný - nevytvořil se konfigurační soubor. Jak jej získám a nastavuji v něm číslo portu, které mám povolené na wan routeru? Dík. kvpnc hlásí "no response from VPN server". V kvpnc jsem zvolil volbu Connection type Cisco (vpnc), VPN gateway svoji veřejnou IP adresu.

[pht]

kvpnc nebude to prave orechove. pokud postradate konfigurak, muzete si stahnout example z dokumentace na siti.

[Dalibor Smolík]

Tak jsem získal konfigurační soubor pro server

mode server
tls-server
dev tap0
ifconfig 10.0.1.100  255.255.255.0
#ifconfig-pool 10.0.1.1 10.0.1.90 255.255.255.0
duplicate-cn

ca /etc/openvpn/cacert.pem
cert /etc/openvpn/vpn.crt
key /etc/openvpn/vpn.key
dh /etc/openvpn/dh1024.pem

log-append /var/log/openvpn
status /var/run/openvpn/vpn.status 10
keepalive 10 120
user openvpn
group openvpn
comp-lzo
verb 3

ovšem tento soubor vyhazuje chybu - není k dispozici certifikát (cert /etc/openvpn/vpn.crt) jakým způsobem bych ho mohl získat - díky za tip - nenašel jsem. Klienta jsem nastartoval OK.

[Dejv]

Soucasti instalace jsou i skripty pro tvorbu certifikatu, je treba je vytvorit. Pro server i pro klienty, podle potreby.

Dejv

[Dalibor Smolík]

Přiznám se, že v oblasti tvorby certifikátu dost tápu. Tady jsem něco nastudoval, ale nevím, co je nezbytně nutné pro spuštění VPN. Server stále hlásí error a chybějící certifikáty nebo špatný podpis. Kdyby někdo věděl o kompletním (a hlavně fungujícím) průvodci, docela by se to hodilo.

[Dejv]

Ja jsem zprovoznoval pripojeni do firmy cca pred rokem a ctvrt a pomohly mi clanky z ABClinuxu i z Roota. Certifikaty lze vytvaret pomoci skriptu z adresare easy-rsa (pokud se nepletu, je soucasti instalace OpenVPN). Fakt je, ze v tom taky tapu, ty certifikaty jsem delal nekolikrat, prvni pokus byl pomoci programku, ktery na to je ve windowsovske instalaci OpenVPN (ma GUI, takze to trochu navede, co a jak). V linuxove verzi je treba upravit skript easy-rsa/vars, ja tam mam

export KEY_COUNTRY="CZ"
export KEY_PROVINCE="Moravskoslezsky kraj"
export KEY_CITY="Ostrava"
export KEY_ORG="Nazev nasi firmy s. r. o."
export KEY_EMAIL="mail@firma.tld"

Ten postup, ktery skript kdy pouzit, nekde mam (vytisteny), ale musel bych to pohledat, Ale jak se tak divam na jmena tech skritpu, tak asi je treba build-dh, build-ca a build-key (nebo mozna build-key-server, to ted nevim) pro certifikaty na server a build-key pro kilenty

Na serveru pak zustanou soubory dh1024.pem, ca.crt, server.crt a server.key, klienti musi dostat ca.crt, klient.crt a klient.key. Soubor ca.crt je stejny pro vsechny klienty i pro server, .crt a .key ma kazdy svuj.

Dejv

[Dalibor Smolík]

Díky, právě jsem to podle tohoto návodu zprovoznil - připojení funguje z domova i z notebooku

[Dalibor Smolík]

Díky všem za rady, vyzkouším.