Dotaz: Nefunkční OpenVPN server

[Martin]

Dobrý den, mám problém s OpenVPN a potřeboval bych poradit. Mám OpenVPN server který je nastavený takto: síť je:

eth0      Link encap:Ethernet  HWaddr 00:0f:ea:66:7f:59  
          inet addr:192.168.1.5  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::20f:eaff:fe66:7f59/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:71337 errors:0 dropped:0 overruns:0 frame:0
          TX packets:81112 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:25246722 (25.2 MB)  TX bytes:77944362 (77.9 MB)
          Interrupt:18 Base address:0xc000 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:447 errors:0 dropped:0 overruns:0 frame:0
          TX packets:447 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:22592 (22.5 KB)  TX bytes:22592 (22.5 KB)

tap0      Link encap:Ethernet  HWaddr 4a:54:74:17:46:53  
          inet addr:192.168.10.100  Bcast:192.168.10.255  Mask:255.255.255.0
          inet6 addr: fe80::4854:74ff:fe17:4653/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:297 errors:0 dropped:0 overruns:0 frame:0
          TX packets:197 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:27178 (27.1 KB)  TX bytes:35762 (35.7 KB)

je to server který je za routerem takže je na něj směrovaný port 1194 na kterém mi jede OpenVPN. Nastavení OpenVPN serveru je následující:

mode server
port 1194
proto udp
dev tap0
tls-server
reneg-sec 3600
ca ca.crt
cert neco.crt
key  neco.key
dh dh1024.pem
ifconfig 192.168.10.100 255.255.255.0
ifconfig-pool 192.168.10.20 192.168.10.21 255.255.255.0
push "route 192.168.1.0 255.255.255.0 192.168.10.100"
keepalive 120 600
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
log-append /var/log/openvpn.log
verb 1
mute 20
management localhost 5556

Dále pak mám klientskou část která by měla fungovat takto, linux server který se má připojit na tuto VPN a všem ostatní počítačům za sebou poskytnout tunelovanou síť, takže všechno v rozsahu 192.168.1.O/24. Nastavení tohoto serveru je: OpenVPN

client
dev tap1
proto udp
remote IP_OpenVPN_serveru
resolv-retry infinite
nobind
persist-key
persist-tun
ca neco-ca.crt
cert neco.crt
key neco.key
comp-lzo
tls-client
verb 1

a síť je eth0 veřejná IP a eth1 192.168.2.254/255.255.255.0 Teď k tomu jak se to chová, když to všechno nahodím a přidám toto pravidlo iptables -t nat -A POSTROUTING -o eth0 -s 192.168.2.0/24 -j SNAT --to 192.168.10.20 a mám za tím serverem připojený notebook s linuxem tak si bez problému odpingám server 192.168.1.5, ale když kabel odpojím a nastavím totožné adresy na stolní počítač ve kterém jsou Windows XP tak mi ping na 192.168.1.5 přestane záhadně fungovat, i když kabel vrátím zpět na notebook ze kterého ping fungoval tak už nefunguje. Ping ze serveru je bez problému ale na všem co je za tím ping přestane fungovat po připojení Win XP stanice. Mohl by mi někdo prosím říct v čem je problém? Na počítačích za tím serverem který se připojuje jako klient na OpenVPN server nepotřebuji internet, potřebuji jen tunel do jiné sítě abych měl dostupný samba server. Jen ještě dodám že po připojení Win XP a znefunkčnění pingu a tedy i dostupnosti samba serveru, se v logu nic nezapíše. Děkuji za rady.

Odpovědi

[NN]

Nejdrive si postav tunel na verejnych IP adresach, potom jeden privatni ip rozsah uvnitr tunelu. Potom naroutuj vzdalenou sit na vzdalenou ip uvnitr tunelu.

                   80.0.0.0.1 .........80.0.0.2
192.168.0.0 ------172.16.24.1---------172.16.24.2 .......192.168.1.0
PC1                ROUTER1               ROUTER2                 PC2

ROUTER1:

route 192.168.1.0 via 172.16.24.2

PC1:

route 192.168.1.0 via default

a naopak..

Na nejkaje nas se vyser a over si vsechno pres ping..

NN

[Martin]

Děkuji za info, jen mi to teď není moc jasné, nebyl by nějaký konkrétní příklad konfigurace? Mám jeden server za routerem a na serveru je ip 192.168.1.5/255.255.255.0 a mám na něj proroutovaný 1194. Druhá síť je přímo router jedna ip do internetu veřejná a druhá neveřejná 192.168.2.254/255.255.255.0 , vůbec mi teď není jasné co mám udělat, děkuji moc za pomoc. Potřebuji se dostat z 192.168.2.0/24 na samba server který je na 192.168.1.5

[Martin]

To znamená z jaké koliv mašiny která bude v tomto rozsahu 192.168.2.0/24 a ne jen ze serveru který VPN zprostředkovává (192.168.2.254)

[Martin]

Nemohl by mi prosím někdo poradit jak takovej tunel vytvořit? Moc děkuji.

[Martin]

Příloha:

• sit.jpg (39661 bytů)

Mohl by mi někdo poradit jak mám nastavit route když mám vytvořenou VPN tak abych si odpingal síť z počítačů za VPN klientem který se připojuje k VPN serveru? Nakreslil jsem obrázek jak to vypadá, mohl by mi s tím někdo pomoci, už jsem vyzkoušel kde co a nevím co dělám špatně. Už nevím jak nastavit VPN a jak nastavit routování atd...

[petrz2]

Me pomohlo tohle how to, konkretne nastaveni client-config-dir, ale s tim rozdilem, ze ja pouzivam misto tap tun zarizeni.

[Martin]

moc děkuji za reakci, ale nepohnul jsem se dál, asi mám špatně nastavené routování, nevím jak dál. Tady je výpis route z serveru:

route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.100.0   *               255.255.255.0   U     0      0        0 tap0
192.168.1.0     *               255.255.255.0   U     0      0        0 eth0
default         192.168.1.1     0.0.0.0         UG    100    0        0 eth0

a tady z klienta který se k serveru připojuje:

route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
82.100.10.192   *               255.255.255.192 U     0      0        0 eth0
192.168.100.0   *               255.255.255.0   U     0      0        0 tap0
localnet        *               255.255.255.0   U     0      0        0 eth1
192.168.1.0     192.168.100.100 255.255.255.0   UG    0      0        0 tap0
default         82.100.10.193   0.0.0.0         UG    100    0        0 eth0

podotýkám žě z tohoto klienta jde ping na 192.168.1.5 bez problému, ale zároveň tento klient poskytuje vpn připojení ostatním pc v síti 192.168.2.0/24 ale z těch už ping neprojde, ani na 192.168.100.100 což je druhá strana tunelu, jen na 192.168.100.20, což je klientská strana tunelu.

[Milan Roubal]

No pokud ten PING posilas z toho klienta, tak ma zdrojovou adresu 192.168.100.20 a tedy server vi, ze ma paket vracet pres TAP0 interface. Pokud ale posilas ping z dalsi stanice, tak bude mit zdojovou adresu 192.168.2.X a server vraci takovy paket pres eth0, takze se ten paket nema jak vratit, ne? Co pridat na server routu pro 192.168.2.X aby behala pres tap0?

[Martin]

Ano to jsem zkoušel ale nic se nezměnilo, na serveru je:

ip route list
192.168.100.0/24 dev tap0  proto kernel  scope link  src 192.168.100.100 
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.5 
default via 192.168.1.1 dev eth0  metric 100 

na druhem který má poskytovat vpn je:

ip route list
82.100.10.192/26 dev eth0  proto kernel  scope link  src 82.100.10.218 
192.168.100.0/24 dev tap0  proto kernel  scope link  src 192.168.100.20 
192.168.2.0/24 dev eth1  proto kernel  scope link  src 192.168.2.254 
192.168.1.0/24 via 192.168.100.100 dev tap0 
default via 82.100.10.193 dev eth0  metric 100 

zadal jsem tedy ip route add 192.168.2.0/24 via 192.168.100.20 tak to napíše RTNETLINK answers: File exists, tak jsem zadal ip route add 192.168.100.102 via 192.168.100.20, 192.168.2.102 je adresa klienta který by se měl mít dostupnou sambu z toho vpn tunelu, a stále nic, nemám odezvu ani na druhou stranu tunelu na 192.168.100.100. Současný stav route je:

ip route list
192.168.2.102 via 192.168.100.20 dev tap0 
82.100.10.192/26 dev eth0  proto kernel  scope link  src 82.100.10.218 
192.168.100.0/24 dev tap0  proto kernel  scope link  src 192.168.100.20 
192.168.2.0/24 dev eth1  proto kernel  scope link  src 192.168.2.254 
192.168.1.0/24 via 192.168.100.100 dev tap0 
default via 82.100.10.193 dev eth0  metric 100

[Milan Roubal]

Tady:

ip route list 192.168.100.0/24 dev tap0 proto kernel scope link src 192.168.100.100 192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.5 default via 192.168.1.1 dev eth0 metric 100

by mel byt jeste radek ze pakety pro 192.168.2.0/24 se posilaji pres dev tap0. Tento radek je na serveru nutny, pokud ten VPN klient zajistujici VPN nepouziva NAT pro vnitrni sit.

[Martin]

Na server jsem tedy přidal: ip route add 192.168.2.O/24 via 192.168.100.100

ip route list
192.168.100.0/24 dev tap0  proto kernel  scope link  src 192.168.100.100 
192.168.2.0/24 via 192.168.100.100 dev tap0 
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.5 
default via 192.168.1.1 dev eth0  metric 100

a na klientovi je:

ip route list
82.100.10.192/26 dev eth0  proto kernel  scope link  src 82.100.10.218 
192.168.100.0/24 dev tap0  proto kernel  scope link  src 192.168.100.20 
192.168.2.0/24 dev eth1  proto kernel  scope link  src 192.168.2.254 
default via 82.100.10.193 dev eth0  metric 100 

a z něj si pingnu jen na vnitřní část tunelu, to je 192.168.100.20 a dál na 192.168.100.100 ne.

[Martin]

z toho klienta poskytujícím vpn jede všechno dobře, jen ze stanice si pingnu jen na vnitřní tap0 na vnější ne.

[Martin]

Zrekapituloval bych to. Nastavení OpenVPN na straně serveru:

cat /etc/openvpn/server.conf 
mode server
port 1194
proto udp
dev tap
tls-server
reneg-sec 3600
ca ca.crt
cert c.crt
key  c.key
dh dh1024.pem
ifconfig 192.168.100.100 255.255.255.0
ifconfig-pool 192.168.100.20 192.168.100.20 255.255.255.0
#route 192.168.1.0 255.255.255.0 192.168.100.100
#push "route 192.168.2.0 255.255.255.0 192.168.2.20"
keepalive 120 600
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
log-append /var/log/openvpn.log
verb 1
mute 20
management localhost 5556

IP serveru je 192.168.1.5 a je za routerem který má proroutovaný port 1194 na 192.168.1.5

ip route list
192.168.100.0/24 dev tap0  proto kernel  scope link  src 192.168.100.100 
192.168.2.0/24 via 192.168.100.100 dev tap0 
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.5 
default via 192.168.1.1 dev eth0  metric 100

Na straně klienta: cat /etc/openvpn/klient.conf client dev tap0 proto udp remote veřejná_IP_routeru resolv-retry infinite nobind persist-key persist-tun ca ca.crt cert c.crt key c.key comp-lzo tls-client verb 1 reneg-sec 3600 log-append /var/log/openvpn.log

ip route list
82.100.10.192/26 dev eth0  proto kernel  scope link  src 82.100.10.218 
192.168.100.0/24 dev tap0  proto kernel  scope link  src 192.168.100.20 
192.168.2.0/24 dev eth1  proto kernel  scope link  src 192.168.2.254 
192.168.1.0/24 via 192.168.100.20 dev tap0 
default via 82.100.10.193 dev eth0  metric 100 

potom nahodím na straně serveru ip route add 192.168.2.0/24 via 192.168.100.100 a na straně klienta ip route add 192.168.1.0/24 via 192.168.100.20 tak mi jede ping sem a tam, naprosto všude. Ale pokud na stranu klienta přidám desktop windows XP tak už si na 192.168.100.100 nepingnu a na 192.168.100.20 ano, takže přidám na klienta poskytujícího vpn ip route add 192.168.2.102 via 192.168.100.20 což je IP daného win XP stroje a stále nic. A přestane mi fungovat i ping na 192.168.100.20 i vnitřní síť 192.168.2.254 což je IP eth2 na stroji který má poskytovat VPN. Pokud to pravidlo smažu tak ping na 192.168.100.20 a 192.168.2.254 jede

[Martin]

Tak moc děkuji za pomoc, vyřešeno, špatně jsem nahazoval routy, neměl jsem v tom jasno, teď už mám :) děkuji.