Dotaz: OpenVPN provoz

[Tomas]

Dobrý den

měl bych dotaz.Zprovoznil jsem openvpn na ubuntu serveru a po připojení na openvpn můžu používat pouze data na servru a nemůžu ven do sítě(Př.:pinguju seznam=>připojím se na mé openvpn =>ping na seznam je nedostupný internet nejde ale můzu na sambu ftp atd.. ale ne do internetu=>odpojimvpn a ping zase jede)

můj conf:

mode server
tls-server
dev tap


server 12.16.10.0 255.255.255.0

ifconfig-pool-persist ip_pool.txt

ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/openvpn/easy-rsa/keys/dh1024.pem

tls-auth /etc/openvpn/easy-rsa/ta.key 0

log-append /var/log/openvpn
status /var/run/openvpn/vpn.status 10
client-to-client

push "redirect-gateway"


push "dhcp-option DNS 192.168.1.1"
push "dhcp-option NTP 192.168.1.1"
push "route 172.16.10.0 255.255.255.0"
route-up "route delete -net 12.16.10.0/24"
route-up "route add -net 12.16.10.0/24 tap0" 

client-config-dir ccd

route 172.16.10.0 255.255.255.0


user nobody
group proftpd

comp-lzo
verb 3
keepalive 10 120

a druhá otázka by byla dají se dvě vpn sítě spojit?jde mě o to že mám v praze byt a v plzni také kde sem v privatní síti kde jede openvpn a v praze mám podobnou druhou kde mam i svůj vpnserver a chtel bych po připojení se na můj server využívat obě privátní sítě najednou dá se to nějak?

předem děkuji za pomoc a doufám že se to tu už neřešilo snad mě neukamenujete

Odpovědi

[NN]

a) 'Push redirect-gateway' presmerovava veskery provoz do VNP vcetne. Pridelujes ip z rozsahu 12.16.10.0/24, nastavujes DNS na 192.168.1.1 a NTP 192.168.1.1 a jeste routujes 172.16.10.0 (imho zbytecne 2x )

push "route 172.16.10.0 255.255.255.0"
route 172.16.10.0 255.255.255.0

To absolutne ani v jednom priade nedava smysl a povolujes klient-klient komunikaci budiz. Perlicka na zaver je skupina proftpd..

Jelikoz mas zadano push redicet gateway tak tvoje aktualni lokalni pripojeni, jeho brana, dns ma smulu a ani tebou nadiktovane DNS(na uplne jine siti) nejedou takze ma DNS preklad celkove nic.

Takze podle meho nazoru jsou tyto radky uplne zbytecne:

push "redirect-gateway"
push "dhcp-option DNS 192.168.1.1"
push "dhcp-option NTP 192.168.1.1"
push "route 172.16.10.0 255.255.255.0"
route-up "route delete -net 12.16.10.0/24"
route-up "route add -net 12.16.10.0/24 tap0" 
route 172.16.10.0 255.255.255.0

Dale bych zauvazoval o vypusteni tohoto:

ifconfig-pool-persist ip_pool.txt
client-to-client
client-config-dir ccd

b) Openvnp funguje je jako klient-server a je uplene jedno kolik klientu se k serveru pripoji. Pokud jde o viditelnost klientu mezi sebou muzes pouzit client-to-client.

Pokud jsem to nepochopil prosim upresnit..

NN

[Tomas]

Děkuji odstranil sem řadky dle rad a vypadá to zě to funguje.

k b)jde mě o to zě na jednom vpn jede dc++ a TV na druhém jede herni servr

a potřeboval bych tyto služby spojit a distribuovat přes moje vpn dál jen pro sebe ale abych se nemusel stále přepojovat z jednoho vpn na druhé

[NN]

Server ti umoznuje spristupnovat dalsi site pomoci push route .. a muze to byt i sit ziskana prostrednictvim dalsi VPN.. takze muzes pristupovat z jedne VPN do druhe. Takze takovy retez, kde se jednotlive sitge propaguji za sebou. Nebo muzes mit centralni server, k nemu pripojene site, treba pres VPN a ty pak dale disrtribuovat klientum. Docela by se hodil nejaky nakres..

NN

[Tomas]

mel bych prosbu byl by na vas nejaky kontakt mam jeste par otazek a urco bych potreboval pomoct tak jestli by to bylo mozne

[NN]

Napiste kontakt na vas a ja Vam odpovim, idelane email..

NN

[Tomas]

cisartom@gmail.com

[pepe_]

Prosim pak po dokonceni o vlozeni celeho ilustracniho CONFu

[rob]

bych to spis videl na spatne nastavenou hodnotu /proc/sys/net/ipv4/ip_forward
dej echo "1" > /proc/sys/net/ipv4/ip_forward

[-]

ah jaj, na co asi tak mame sysctl...

[Tomas]

Tak zde je konecny vysledek a dekuji vsem hlavne NN

local 172.16.10.11

#definujeme rezim cinnosti
mode server .
tls-server
#definujeme typ rozhrani
dev tap
proto udp

#definice IP konfigurace serveru. Server, pokud neni vyslovne
#uvedeno v kofiguraci jinak, si vezme prvni IP adresu z rozsahu
#tyto adresy budou pouzity ve virtualni LAN VPN

server 12.16.10.0 255.255.255.0

#definujeme “pamatovaka” – server si bude pamatovat klienty
#a pridelovat jim stale stejne IP adresy
ifconfig-pool-persist ip_pool.txt

#Klice systemu
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/openvpn/easy-rsa/keys/dh1024.pem

#TLS autentikace pred samotnym spojenim pro osetreni DoS utoku
tls-auth /etc/openvpn/easy-rsa/ta.key 0

#umisteni a zpusob logovani
log-append /var/log/openvpn
status /var/run/openvpn/vpn.status 10

# nastaveni viditelnosti klientu meyi sebou
client-to-client


#Posilame klientovi DHCP udaje. Predpoklad: DNS a NTP server bezi na VPN
#serveru. Pokud to neni pravda, je treba zadat funkcni DNS server
push "route-gateway 172.16.10.11"
# push "redirect-gateway delf"
push "dhcp-options DNS 77.48.100.254"

client-config-dir ccd
duplicate-cn

push "route 172.16.10.0 255.255.255.0"
push "route 192.168.13.0 255.255.255.0"
push "route 192.168.0.0 255.255.255.0"

#Snizeni privilegii
user nobody
group proftpd

#Nastaveni komprese toku dat, miry “ukecanosti” logu a IP parametru spojeni
comp-lzo
verb 3
keepalive 10 120
persist-key
persist-tun
mute 20