Dotaz: OpenVPN a Shorewall

[Vinc]

Ahoj, na Debianu (Etch) jsem rozbehal OpenVPN (rozhrani tap0)...mam Shorewall. Pri pripojeni se dostanu na slozky Samby, ale ne do lokalni site. Myslim, ze mam zprovoznit bridge,ale nejak se nedari. Pouzivate nekdo OpenVPN se Shorewallem?

Odpovědi

[lewq]

tap0 je routovana vpn, ty potrebujes tun0 aby ti siel bridge

[Petr]

Gratuluji, delas v tom pekne zmatky...

[Vinc]

no a skrz to tap0 se nejak nedostanu na pocitace v lokalni siti? Nemusi to byt zrovna bridge..

[Pantera]

v policy neco jako:

loc    vpn    ACCEPT      ALERT
vpn    loc    ACCEPT      ALERT

predpoklad je v interfaces mit vpn jako tap0 nebo tun0
nastav v policy uroven logovani na vyssi a mrkni do logu, kde ti to haze DROP - u shorewallu je pekne videt, v kterem miste se to zaseklo - napr.:

vpn2loc:DROP:IN=eth0 OUT.... atd

znamena, ze byla blokovana komunikace z vpn rozhrani na rozhrani lokalni site - da se vycist i jaky port atd.
ja to mam nastavene tak, ze pokud se nekdo pripoji z venku na muj server pres vpn, z lokalni site se na nej normalne dostanu pres jeho pridelenou IP - napr. 10.8.0.10 atp. - zadny bridge neni potreba - vzorova konfigurace je na webu openvpn (serverxclient)

[Dramon]

Dovolím si navrhnout lehce odlišné řešení. Do /etc/shorewall/policy dejte spíš tohle a nechte to tam navěky a nemusíte se, aspoň v tomto případě, zbývat log souborem:

vpn             loc             ACCEPT
net             all             DROP            info
# THE FOLLOWING POLICY MUST BE LAST
all             all             REJECT          info

Popsané policy Vám pustí pakety z VPN do lokální sítě, všechno ostatní je buď zahozeno (z Internetu) nebo zamítnuto (odevšad jinak), ale rozhodně to bude zalogováno.
Povolovat pakety z LAN do VPN nemusíte, pokud chcete jen přistupovat z VPN do LOC, protože v tomto případě vracející se pakety budou těžit z výhod stavového firewallu, jakým iptables jsou. Pokud směr LAN to VPN povolíte, budou moci lidé z LAN komunikovat s připojenými VPN klienty, což asi není to, co jste chtěl.
Další pravidla si doplňte podle potřeby. Třeba ještě před tu část s VPN:

fw             all             ACCEPT
lan            net             ACCEPT

[Vinc]

Diky za odpovedi. Tak takhle to mam nastavene a nic... Jen doplnim, ze na tap0 mam IP v jinem rozsahu nez v LAN (loc)... nemel bych nastavit na tap0 stejny rozsah?

[Vinc]

A pokud nemam v policy povoleno vpn fw , tak se nepingnu ani na IP tap0...

[Dramon]

To je v pořádku, i když osobně bych to z policy umístil do rules jako pravidlo:

Ping/ACCEPT       vpn          fw

[Dramon]

sítě na vpn a loc nesmí být v konfliktu, takže to že se nepřekrývají je v pořádku.
Pokud se to shorewallu explicitně nezakáže, tak při svém startu zapíná routování, takže pokud Vám komunikace nefunguje ani nyní, může být problém zde:
-OpenVPN nemá vyexportované rozsahy pro routovací tabulku - zkontrolujte ji na klientovi
-Na cílovém PC v lan je jiný FW - zkontrolujte
-Velice nepravděpodobně to zahazuje Shorewall - ověřte všechna DENY a DROP pravidla, podívejte se do /var/log/messages

Pro zjištění, kam se až pakety dostanou používejte tcpdump -i [rozhraní]. Osobně používám ping a tcpdump spouštím nejdříve na tunX zařízení, kde vidím, jestli něco přichází od klienta a poté na ethX zařízení, abych viděl, zda pakety putují dál do lokální sítě.
Syntaxe pro ping:
tcpdum -i tun0 ip proto \\icmp

[Vinc]

-OpenVPN nemá vyexportované rozsahy pro routovací tabulku - zkontrolujte ji na klientovi

co si mám prosím pod tímto představit? díky

jinak klient má winxp a používá openVPN GUI...

PC: v rules nic ohledně vpn zakázáno nemám...

ještě jednou díky za ochotu!

[Vinc]

icmp pakety se dostavaji pouze na tap0 (vpn), na eth1 (loc) jiz ne :(

[Pheek]

udelal bych routovani do site treba neco jako route add -host 192.168.x.x dev tap0

[Vinc]

to mam udelat na clientovi s winxp? a ta IP je ip adresa vnitrni site za serverem s vpn? Nejak jsem se do toho zamotal:(

[Vinc]

me site: server s openvpn - tap0 (vpn): 10.0.2.100, eth1 (loc): 10.0.10.0 klient s openvpn (WinXP) - 10.0.2.1

na serveru pingnu 10.0.2.100, 10.0.10.1, ale nepingnu 10.0.2.1 na klientu pingnu 10.0.2.100, ale nepingnu 10.0.10.1

[Pheek]

To je routovani na strane serveru, staci udelat sript ve kterem poustite VPN a za to pridat par pravidel o routovani a ano to je rozsah vnitrni site na strane VPN, potom dostanete na strane clienta adresu treba 192.168.1.100 pokud zadate pravidlo s adresou 192.168.1.100

[Vinc]

ach jo:( mam tedy menit neco na strane serveru nebo staci na klientovi? a co tam presne zadat.. omlouvam se za me dotazy, ale opravdu jsem z toho jelen:(

[Vinc]

mel bych tedy na serveru (ne clientovi) nastavit nejaky pravidlo na Shorewallu mezi vpn a loc..nebo se mylim?

[Vinc]

mam jen toto v policy: vpn loc ACCEPT

[Pheek]

Takze si napred nastavte eth0 na 10.0.10.1 myslim si ze nula je uplne scestna, potom si v konfiguraci openvpn nastavte TAP0 na stejnou adresu ETH0, takze 10.0.10.1 a potom ji pustte a nakonec dejte route add -host 10.0.10.50 dev tap0 a testnete ping

[Vinc]

eth1 mam nastaveno jako rozhrani do lokalni site 10.0.10.0. Jinak IP mam na eth1 nastavenu 10.0.10.1 (asi jsem to spatne popsal:).

Rozhrani tap0 mam pridelit stejnou IP jako ma rozhrani eth1? Tak jste to myslel nebo to opet spatne chapu? A ta IP 10.0.10.50 je ci?

[Pheek]

Moc se omlouvam s vama je to strasne tezke a vidim ze vubec nechapete co a jak v siti, asi vam dal nepomuzu, ne ze bych nechtel ale malo casu, jeste se zeptam kdyz vypnete Shorewall tak vam to chodi? A ta adresa je ta co by mel dostat klient.

[Vinc]

chapu.. to ja se omlouvam.. jen nechapu zmenu te ip u tap0 na 10.0.10.1 ... par prispevku vyse je napsano, ze je v poradku, kdyz mam tap0 nastaveno v jinem rozsahu nez eth1..proto muj dotaz... ja si tedy myslim, ze bych mel nejakym zpusobem preroutovat klienta 10.0.2.treba2 na ip v lokalni siti 10.0.10.treba5... ale nevim jak:(

[Vinc]

takze mozna zadat na serveru treba: route add -host 10.0.2.2 dev tap0 .. nebo ne?

[Pheek]

Tak naposledy, ja mam sit eth0 192.168.1.10/24 a nainstalovanou OpneVPN, konfigurak opnevpn

dev tap0

proto tcp-server

ifconfig 192.168.1.10 255.255.255.0

ifconfig-pool 192.168.1.50 192.168.1.60 255.255.255.0

duplicate-cn

key-method 2

keepalive 10 120

route 192.168.1.0 255.255.255.0

push "route 192.168.1.0.255.255.255.0"

atd....

a jak je vidno tak se muzou pripojit 10 klientu k serveru openvpn a tudiz musim proroutovat stejnej pocet IP takze route add -host 192.168.1.50 .... 60 dev tap0

potom pustim klienta a budu se dotazovat na prislusnou verejnou IP asi router kterej me posle pomoci v mem pripade 1149 protu dal na server a dostanu jednu z volny IP 192.168.1.50 (treba), je to dost jasne?

[Vinc]

Aha, ja je vidno, tak bude asi zakopany pes v radku 3 a 4 .. tap0 tedy na stejne IP jako eth, ale jiny rozsah klientu (jina sit).. to je vec, ktera mi nejak nebyla jsana. Zrejme jsem si nejak jinak vylozil prispevky vyse..

Vyzkousim a verim, ze kdyz to funguje Vam, tak to pujde i me...;)

Moc Vam dekuji a preji krasny svatky a novy rok! a jeste jednou se omlouvam za zdrzovani a hloupe dotazy :)

[Dramon]

Tjova, to jsou věci :)
Podle mě to u Vás vypadá takto:
eth0 patří do sítě 192.168.1.10 255.255.255.0=192.168.1.0/24
a tun0 do sítě 192.168.1.10 255.255.255.0=192.168.1.0/24
A teď mě vysvětlete, jak mezi těmito 2mi sítěmi provádíte routing??
Vy totiž přidělujete adresy například 192.168.1.50/30 (OpenVPN standardně používá 4bodové P-t-P spojovací adresy), což je sice routovatelné, ale PC v lokální síti s IP adresou třeba 192.168.1.90/24 zaboha nemůže vědět, že má poslat paket pro VPN klienta VPN serveru.
Správná konfigurace:

eth0-inet addr:212.71.111.232  Mask:255.255.255.224
eth1-inet addr:192.168.1.252Mask:255.255.255.0
tun0-inet addr:192.168.2.252  P-t-P:192.168.2.253  Mask:255.255.255.255

port 1194
proto tcp-server
dev tun0
ca keys/ca.crt
cert keys/server.crt
key keys/server.key  # This file should be kept secret
dh keys/dh2048.pem
*mode server
*tls-server
*ifconfig 192.168.2.252 192.168.2.253
*ifconfig-pool 192.168.2.20 192.168.2.199
*route 192.168.2.0 255.255.255.0
*push "route 192.168.2.252"
ifconfig-pool-persist /var/spool/openvpn/ipp.txt
push "route 192.168.1.0 255.255.255.0"
push "dhcp-option DNS 192.168.1.252"
push "dhcp-option WINS 192.168.1.201"
keepalive 10 120
tls-auth keys/ta.key 0 # This file is secret
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn/openvpn.status
log-append  /var/log/openvpn/openvpn.log
verb 3

Řádky začínající hvězdičkou vznikly rozepsáním direktivy "server 192.168.2.0 255.255.255.0", s tím, že jsem si schválně upravil, jakou IP adresu má server a jaké IP adresy dostávají klienti. Klidně je vynechte a použijte tuto direktivu. JInak hvězdičky pryč :)
Všimněte si, že eth1 a tun0, tedy LAN a VPN síť mají jiné rozsahy - 192.168.1.0/24 a 192.168.2.0/24. Pokud tomu je jinak, musí se bridgovat a nikoliv routovat.
Když se budete držet TOHOTO návodu, nemusíte se s žádnými příkazy "route ..." zabývat a bude Vám to fungovat. Pokud ne, bude chyba v nějakém firewallu, ale to se dá doladit. Ozvěte se, jak to dopadlo. BTW>Na VPN klientovi musí být v routovací tabulce řádky (přidává je automaticky OpenVPN):

192.168.2.25   0.0.0.0         255.255.255.255 UH    0      0        0 tun0
192.168.2.252  192.168.38.25   255.255.255.255 UGH   0      0        0 tun0
192.168.1.0    192.168.38.25   255.255.255.0   UG    0      0        0 tun0

[Pheek]

Trosku jste me dostal, mam tak rozjetych asi 5 zakazniku a jedou bez sebemensiho problemu! Kde bych mel mit problem?

[Dramon]

No, máte stejné sítě na loc i vpn.
Používáte ty klienty pro přístup jen na server s OpenVPN, nebo se připojujete i na PC v LAN??

[Pheek]

Pouzivam to jen na pripojeni na server se sambou.

[Vinc]

Tak jsem zase az tolik neplacal nesmysly.. kazdopadne mi to stale nejde :) nebo spis :(

[Vinc]

tak jsem do winxp pridal route add 10.0.10.1 mask 255.255.255.255 10.0.11.50 . kde 10.0.10.1 je eth1 a 10.0.11.50 je IP klienta pridelena VPN... uz se dostanu na 10.0.10.1 ale ne na 10.0.10.5..

[Vinc]

VYRESENO!

do konfigu serveru jsem pridal: push "route 10.0.10.0 255.255.255.0 10.0.11.1"

a uz se dostanu i do vnitrni site...

[Dramon]

Hezké. Ale tohle tam musí přidávat OpenVPN sama :( Vždyť ona ví, na jaké adrese má svůj server
Ale hlavně, že Vám to funguje

[Dramon]

Pardon. Blbost. Přidal jste to správně, v mém konfiguráku to je síť 192.168.1.0/24. Předchozí post ode mne je blbost, spletl jsem si čísla sítí.
BTW>IP adresu serveru tam snad ani dávat nemusíte.

[Vinc]

ja se ani nedim, ze nam to uz po cele teto diskuzi sem-tam mysli jinak;) kazdopadne diky a hezke svatky!

[Vinc]

jeste doplnim: kdyz zrusim IP serveru 10.0.11.1, tak to nefunguje... to je snad vse;)

[Jirka N.]

pouzivate nekdo shorewall a openvpn tak, aby sel cely internetovy provoz klienta pres branu na OpenVPN serveru?

[Zdenek Maly]

Nekolikrat se to tady na foru resilo, ale nikde jsem jeste nevidel funkcni konfiguraci. Dopurucuje se direktiva "redirect gateway" ale to neni jeste vyhrano.