Dotaz: OpenVPN roadwarriors

[marcelius]

Zdravim, uz nejaky ten den riesim openvpn a nejako si s tym neviem rady... Uz sa to tu niekolkorat riesilo... no nedostal som sa k uspesnenmu zaveru.

Mam Debian 5, na ktorom je openvpn server. Mam win stanice (doma) cez ktore sa chcem pripojit do firemnej siete.

Konfiguracia servera:

mode server tls-server

port 1194

dev tap

proto tcp-server

ifconfig 192.168.2.248 255.255.255.0

ifconfig-pool 192.168.2.90 192.168.2.99 255.255.255.0

ifconfig-pool-persist ipp.txt

ca ca.crt

cert server.crt

key server.key

dh dh2048.pem

duplicate-cn

push route 192.168.3.0 255.255.255.0

push route 192.168.2.0 255.255.255.0

push dhcp-option DNS 192.168.2.10

client-to-client

keepalive 1 220

comp-lzo

persist-key

persist-tun

status openvpn-status.log

log openvpn.log

log-append openvpn.log

verb 3

Konfigurace klienta:

remote 62.168.16.106

port 1194

proto tcp-client

tls-client

dev tap

pull

route 192.168.2.0 255.255.255.0 192.168.2.248

mute 10

ca ca.crt

cert client1.crt

key client1.key

comp-lzo

verb 4

Problem je v tom ze to nejde. Chcem dosiahnut aby sa z klienta dalo pripojit do sieti 192.168.2.0 192.168.3.0.

Vdaka za pomoc.

Odpovědi

[David]

Zdravím,

co znamená, že to nejde? Zkusil bych změnit v serveru verb 3 na verb 6, restartovat openvpn na serveru a podívat se do /va/log/openvpn.log až se bude klient pokoušet o připojení.

Teda pokud je problém, že se vůbec nenaváže spojení. Případně sem hodit ten log a určitě na to přijdeme.

David

[marcelius]

Příloha:

• openvpn.log (123067 bytů)

Zdravim, problem je v tom ze se nenaviaze vobec spojenie. Nepingnem to ani z jednej strany. Log posielam v prolohe.

[bigBRAMBOR]

zkus se nejprve zbavit chyb v konfiguraku

WARNING: --ifconfig-pool-persist will not work with --duplicate-cn

WARNING: potential TUN/TAP adapter subnet conflict between local LAN [192.168.2.0/255.255.255.0] and remote VPN [192.168.2.0/255.255.255.0]

ja tedy použivam OVPN trochu jinak nastavene, ale co toroutovani, klient dostane adresu z rozsahu 192.168.2.x a ty mu nahazujes routu pro sit 192.168.2.x v ktere uz ale je, a tu samou mu jeste pro jistotu cpes direktivou push ze serveru.

[David]

JJ, musím s kolegou souhlasit. Pokud jde o duplicate-cn to by neměla být chyba, která by měla zamezit připojení.

Jde jen o to, že nemůžeš používat statické routování, když povoluješ vícekrát použít stejný klientský certifikát.

Pokud je o routování, tam nejsem moc pevný v kramflecích, ale asi bych to nejdříve zkusil bez toho a pokud navážeš VPN, tak bych se pustil do dalšího.

Možná by stálo za to na klientovi taky dát vyšší ukecanost jako n serveru a pak sem hodit log. Jinak ještě doporučuju před pokusem o vpn zapsat echo 1 > /var/log/openvpn.log, aby byl vidět jen nejaktuálnější stav.

David

[marcelius]

Přílohy:

• openvpn.log (99399 bytů)
• klient.log.txt (10719 bytů)

Zdravim,

tych chyb v logu som sa uz zbavil, no asi bude problem v tom routovani. Mozete mi poradit ako to ma byt spravne? Posielam logy klienta a serveru v prilohe..

Problem je stale v tom, ze ked sa klient pripoji, nepingne nic.

[marcelius]

Skusim to lepsie vysvetlit.

Mam siet 192.168.2.0 a 192.168.3.0 Chcem aby klienti, ktory sa budu pripajat z domova (openvpn), dostali ip 192.168.2.x a aby sa priamo pripojili s danou ip (192.168.2.x) do oboch sieti.

[Antonin]

Vim jak to marcelius mysli: Ma firemni sit 192.168.2.x ve ktere lezi openvpn server a on se chce pripojit z normalniho internetu takovym zpusobem aby klient po pripojeni mel ip v rozsahu 192.168.2.x tj. aby byl primo ve firemni siti a to bez prekladu (kde propojeni siti 2.x a 3.x asi uz funguje v ramci normalni site?). Myslim, ze openvpn ma pri standardni konfiguraci nastaveno, ze si pod sebou vytvori natovanou vlastni podsit sit, ktera je ovsem v rozsahu 10.0.0.x a veskery provoz jde prekladem pres stroj kde je nainstalovane openvpn. Otazka zni:Lze nastavit server tak, aby klient byl primo v normalni firemni siti, nebo je potreba naroutovat urcity segment dvojkovy site s cilem na stroji kde je openvpn?