Dotaz: OpenVPN a propustnost

[Flegmosmoke]

Zdravím,mám udělaný tunel mezi dvěma gw na OpenVPN (port 1194,šifrování statickým klíčem,lzo komprese). Po cestě další brány v mé správě. Je zde následující problém: Aplikace INFRA na serveru (poslouchá na portu 1066),klienti z druhé sítě dosahují maximálně rychlosti přenosu 256kbit/s. Samozřejmě ostatní přenosy (např. sdílení Windows,skype atd.) fungují plnou rychlostí dle nastavení. Napdadá někoho kde by mohl být háček? Nicméně před tím byl tunel postaven na IPsecu..

Odpovědi

[qjohn]

No ja bych poradil, jako obvykle pri problemech tohohle druhu - povesit na ten port 1066 neco jineho v cem pujde merit rychlost a proste zkusit jestli je fakt problem v te siti, nebo v aplikaci.

[Flegmosmoke]

Na port jsem dal jinou aplikace a vše funguje jak má... Ale ten software ne. Německý programátor se k tomu postavil tak, že je to úlně normální. Nyní je mezi routery linka 10Mbit FD, protože si to zákazník přál doufaje v to, že se komunikace zlepší. Podle mého názoru je to chyba aplikace, která si prostě nedokáže poradit s tím že se má připojit ze sítě 192.168.4.0/29 na server 192.168.3.100.. Tady jsou mé konfigurace

Server:

dev tun
ifconfig 10.2.0.1 10.2.0.2
secret /etc/openvpn/secret.key
keepalive 10 60
comp-lzo
ping-timer-rem
persist-tun
persist-key
user nobody
group nobody
daemon
route 192.168.4.0 255.255.255.0

Klient:

remote 11.22.33.44
dev tun
ifconfig 10.2.0.2 10.2.0.1
secret /etc/openvpn/secret.key
comp-lzo
keepalive 10 60
ping-timer-rem
persist-tun
persist-key
user nobody
group nobody
daemon
route 192.168.3.0 255.255.255.0

Můj dotaz zní, zda je možné na openvpn udělat tunel tak, že bude existovat poze síť 192.168.3.0/29 nebo nějak podobně? Možná je to nesmysl, ale potřeboval bych ještě nějakou radu.

[creon]

leda ze bys dal vpn iface do bridge - jednou jsem to takhle provozoval, ale je to uz davno

[Flegmosmoke]

Trošku už jsem to pročítal.. Chtěl jsem požádat o malou nápovědu k té mé konfiguraci. Takto jsou nakonfigurovány rozhraní na těch strojích: Server: eth0: public IP eth1: 192.168.3.200 255.255.255.0

Klient eth0: public IP eth1: 192.168.4.200 255.255.255.0 Zde nevím jak by vypadala ta vnitřní síť a brána pro ni?

[svaca]

Musis to dat do bridge, je to jednoduche, muzu ti to postnout, ale upozornuji, ze bridge mahorsi vykon nez routovani ...

To co chces jde prave pomoci bridge, pak je JEN jedna sit a to treba 192.168.1.0/24. Bez toho mas vzdy 2 SITE + 2 STRANY vpn = 192.168.3.0/24 a 192.168.4.0/24

Ta bridge, nejdrive nastavis bridge:

#!/bin/bash

#################################
# Set up Ethernet bridge on Linux
# Requires: bridge-utils
#################################

# Define Bridge Interface
br="br0"

# Define list of TAP interfaces to be bridged,
# for example tap="tap0 tap1 tap2".
tap="tap0"

# Define physical ethernet interface to be bridged
# with TAP interface(s) above.
eth="eth1"
eth_ip="192.168.1.1"
eth_netmask="255.255.255.0"
eth_broadcast="192.168.1.255"

for t in $tap; do
    openvpn --mktun --dev $t
done

brctl addbr $br
brctl addif $br $eth

for t in $tap; do
    brctl addif $br $t
done

for t in $tap; do
    ifconfig $t 0.0.0.0 promisc up
done

ifconfig $eth 0.0.0.0 promisc up

ifconfig $br $eth_ip netmask $eth_netmask broadcast $eth_broadcast

Pak konfig serveru bude vypadat takto:

proto udp
port 1194
mode server
tls-server
keepalive 10 120
dev tap0
server-bridge 192.168.1.1 255.255.255.0 192.168.1.10 192.168.1.25
dh dh1024.pem
ca ca.crt
cert server.crt
key server.key
push "route 192.168.1.0 255.255.255.0"
client-to-client
log-append /var/log/openvpn
status /var/log/openvpn-status
comp-lzo
verb 3

Tim mas na jednou routeru sit 192.168.1.0/24 a na druhem routeru bude:

client
dev tap
float
remote IP_PRVNIHO_SERVERU
tls-client
ns-cert-type server
ca ca.crt
cert client.crt
key client.key
pull
comp-lzo
verb 3

Aje to, samozrejme, ze na obou sitich musi byt rozsah 192.168.1.0/24 a rekneme, ze prvni server bude mit lan 192.168.1.1-100 a druhy server 192.168.1.101-200