Dotaz: OpenVPN, Debian Etch, nefukncni ping

[Jirik Skopal]

Ahojte, predem se omlouvam, ze zakladam dalsi vlakno tykajici se OpenVPN, ale bohuzel jsem ve stavu, kdy nevim, jak dal.

Rozjel jsem na Debian Etch OpenVPN v rezimu server. Klient je pak WinXP. Prokousal jsem se OpenSSL, vytvorenim certifikatu, ruznymi ukazkovymi konfiguracemi a vysledek je, ze klient se v poradku pripoji, dostane od serveru adresu, proste vse ze zda OK az na to, ze kdyz chci pingout z klienta na server nebo naopak, tak to nejde - u vetsiny tutorialu byl vzajemny ping samozrejmosti.

OpenVPN server:

mode server
tls-server
dev tap0
ifconfig 10.0.100.1 255.255.255.0
ifconfig-pool 10.0.100.2 10.0.100.20 255.255.255.0
ifconfig-pool-persist ipp.txt
duplicate-cn
client-to-client
ca   /etc/ssl/MojeCA/cacert.pem
cert /etc/openvpn/cert/cert.pem
key  /etc/openvpn/private/key.pem
dh   /etc/openvpn/dh1024.pem
log-append /var/log/openvpn
status /var/run/openvpn/vpn.status 10
ping-restart 10
user openvpn
group openvpn
comp-lzo
verb 3

OpenVPN klient:

remote ip.serveru.cz
tls-client
dev tap
nobind
pull
mute 10
ping 10
ping-restart 60
ping-timer-rem
persist-key
persist-tun
ca   cacert.pem
cert Jirka_OpenVPN_cert.pem
key  Jirka_OpenVPN_key.pem
comp-lzo

Debian "ifconfig tap0", "route" a "ip r" (bez ostatnich ifaces, ip_forward zaply):

tap0      Link encap:Ethernet  HWaddr DE:0D:1F:FE:30:A8
          inet addr:10.0.100.1  Bcast:10.0.100.255  Mask:255.255.255.0
          inet6 addr: fe80::dc0d:1fff:fefe:30a8/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:5 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:770 (770.0 b)  TX bytes:468 (468.0 b)

...
10.0.100.0      *               255.255.255.0   U     0      0        0 tap0
...

...
10.0.100.0/24 dev tap0  proto kernel  scope link  src 10.0.100.1
...

Windows XP:

Adapter site Ethernet VPN:

        Pripona DNS podle p°ipojenÝ . . . :
        Popis . . . . . . . . . . . . . . : TAP-Win32 Adapter V8
        Fyzickß Adresa. . . . . . . . . . : 00-FF-75-CA-2F-AE
        Protokol DHCP povolen . . . . . . : Ano
        Automatickß konfigurace povolena  : Ano
        Adresa IP . . . . . . . . . . . . : 10.0.100.2
        Maska podsÝtý . . . . . . . . . . : 255.255.255.0
        VřchozÝ brßna . . . . . . . . . . :
        Server DHCP . . . . . . . . . . . : 10.0.100.0
        Servery DNS . . . . . . . . . . . : 
        Zap¨jŔeno . . . . . . . . . . . . : 30. Ŕervence 2008 12:46:56
        Zßp¨jŔka vyprÜÝ . . . . . . . . . : 30. Ŕervence 2009 12:46:56

route print
===========================================================================
Seznam rozhraní
0x3 ...00 ff 75 ca 2f ae ...... TAP-Win32 Adapter V8 - Packet Scheduler Miniport
....
===========================================================================
       Cíl v síti     Síťová maska            Brána        Rozhraní  Metrika
       10.0.100.0    255.255.255.0       10.0.100.2      10.0.100.2       30
       10.0.100.2  255.255.255.255        127.0.0.1       127.0.0.1       30
....

Ping Klient - Server:

debian:~# tcpdump -i tap0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on tap0, link-type EN10MB (Ethernet), capture size 96 bytes
13:41:17.786101 arp who-has 10.0.100.1 tell 10.0.100.2
13:41:17.786114 arp reply 10.0.100.1 is-at de:0d:1f:fe:30:a8 (oui Unknown)
13:41:17.816555 IP 10.0.100.2 > 10.0.100.1: ICMP echo request, id 768, seq 12800, length 40
13:41:23.235291 IP 10.0.100.2 > 10.0.100.1: ICMP echo request, id 768, seq 13056, length 40

Pokud pingnu ze serveru na klienta, je tcpdump prazdny. Dostanu jen toto:

debian:~# ping 10.0.100.2
PING 10.0.100.2 (10.0.100.2) 56(84) bytes of data.
ping: sendmsg: Operation not permitted

Firewall je na obou stranach vyrazeny.

Odpovědi

[Jan Matuska]

Zkontroluj si jestli mas opravdu vyplej firewall. Tohle mi delalo, kdyz byl zaplej DROP na OUTPUTu.