Dotaz: routovani mezi dvema VPN

[tezkatlipoka]

Kde povolim routovani mezi jednotlivejma openVPN? Mam server kterej dela nekolik openVPN spojeni, ale nejde mezi nima prochazet, zatimco routovani z jakekoliv VPN do jakekoliv z normalnich casti site jde.

Odpovědi

[Jiří Veselský]

Troufám si odhadnout, že to musíte povolit na tom serveru.

To je totiž přesně všechno, co vám dokážu poradit coby normální smrtelník bez telepatických schopností a křišťálové koule.

[tezkatlipoka]

myslim ze na tohle neni potreba kristalova koule potreba. echo 1 > ....../ip_forward je nastavene. Routovani ve firewallu je povolene. Routovani mezi jednotlivejma sitema jde, routovani mezi VPN a jakoukoliv siti jde. Jakmile ale jde o dve VPN spojeni, tedy dva virtualni adaptery, routovani nejde. A ja mam hrozne nejasnej pocit ze to tady kdysi nekdo jen tak nadhodil ke konci nejake diskuse, ale nejsem schopen to najit.

[Beda]

S - server s openvpn. N - sit do ktere se chces dostat - taky s openvpn. K - klient s openvpn odkud pozadavek odejde.

1. K musi vedet, ze adresy N jsou dostupne skrze S

2. S musi mit funkcni openvpn k K i N

3. S musi mit povoleny ip_forward

4. K,S,N a vsehny mista po ceste musi mit povoleny na firewallu openvpn

5. N mis vedet, ze adresa K je dostupna skrze S

-> asi to skonci dotazem na nejaky vhodny dynamicky routovaci protokol

[tezkatlipoka]

ano presne takhle to ted je.

[tezkatlipoka]

tak pomohlo proxy_arp.

Co ale presne to proxy_arp dela?

[imro]

Ano,ale ty musis povolit routovanie rovno na openvpn servri.Jednak musis povedat servru,aby klienti naroutovali iny openvpn server a potom este to,aby bolo mozne prechadzat medzi tymito sietami.

[xxl]

Že by --client-to-client?

[tezkatlipoka]

zitra to vyzkousim, jestli to bude fungovat muzou se XXL a imro stavit pro pusu.

[tomas84]

--client-to-client routuje v rámci jedné OpenVPN sítě broadcast pakety.

[tezkatlipoka]

Jo, vypada to ze client-to-client je directiva pouze pro clienty v ramci jedne openVPN. A to me zrovna moc nepali. Spis portebuju aby slo routovat mezi dvema nezavislejma VPN, kterejm dela server jeden a ten samej pocitac. Jak jsem psal, pomohlo kdyz jsem na ta tap zarizeni pridal arp_proxy, pak uz jsem se krizem pingnul. Ale co presne dela arp_proxy?

[xxl]

V tom případě to normální routování. V OpenVPN --route. Případně na serveru také (třeba) použít --push. Nahodí se vpn a pak se přidá to kýžené routování. Nutno myslet taky na to, jak jsou nastaveny iptables. Nicméně, krátká odpověď je - RTFM.

[imro]

Presne tak.V RTFM sa pise presne o tomto probleme.Ak by si ho cital,tak nemusis davat tento dotaz.Precitaj si na www.openvpn.org cely manual a zistis,ako na to.

[tezkatlipoka]

direktivu push pouzivam, a klient na openvpn1 (roadwarriori) dostane info na cokoliv z 192.168.0.0 se zeptej serveru openVPN, OpenVPN2 - dve strany - 192.168.100.1 - server 192.168.100.2 - klient. Oba dva si pri startu openVPN nahodi routu (directiva UP). Server na cokoliv z localni site klienta zeptej sveho openVPN klienta 192.168.100.2. Klient si nahodi routu na vse se ptej serveru - 192.168.100.1.

Routovat jde z openVPN1 na jakoukoliv z localnich siti serveru, (cimz myslim odpada dotaz na firewall, coz psal nekdo vyse) routovat jde z openvpn2 do jakekoliv localni site serveru, nejde routovat mezi virtualnima adapterama.

vzhledem k tomu ze routovani z openVPN 1 i 2 jde na localni site, ktere jsou taky 192.168.x.0, prepokladam ze push i UP jsou nastaveny dobre.

RTFQ (Q-question)

[xxl]

Hele, my nemáme za povinnost řešit tvůj problém. Jak jsem pochopil, jsi za to placený. Tak si to nastuduj. Jo a místo literárního díla stačilo poslat konfiguraci openvpn a výpis "ip r".

[tezkatlipoka]

A nikdo to po tobe nechce, aby jsi to bral jako povinnost, Jedine co ja muzu rict, je ze jsem asi prilis ledabyle vznesl pozadavek, kterej asi mohl vest k nekolika pohledum na vec, i kdyz uplne na zacatku mi pripadal jasnej. Celou svoji problematiku jsem se snazil kazdym dalsim prispevkem upresnit, bohuzel mi proste pripadalo, ze spousta lidi necte co presne pisu, a nalepi mi na celo RTFM. Configuraky samozrejme muzu ukazat, ale vzhledem k tomu ze se jedna o ctyri kusy, bylo by to na stranku, a to mi pripadalo zbytecne.

[Dušan Hokův]

a delas tun nebo tap device? co takhle konfigurak openvpn serveru? ...

[tezkatlipoka]

tap