Dotaz: OpenVPN nejede zvenku

[RedMax]

Zdravím,

 

mám jeden problém, přes který se nemohu dostat. Na Debianu mám naistalovaný OpenVPN. Vše funguje v lokální síti, ale jakmile jdu s klientem ven, tak mi nejde připojit.

 

server:

port 1194
proto udp
dev tun


ca ca.crt
cert server.crt
key server.key
dh dh1024.pem
server 172.16.4.0 255.255.255.0


;push "route 192.168.100.0 255.255.255.0"
;push "route 10.0.0.0 255.255.255.0"
;push "route 10.8.0.0 255.255.255.0"
;push "client-to-client"
; push "redirect-gateway" # presmeruje
;push "dhcp-option DNS 192.168.100.10"
;push "dhcp-option WINS 192.168.100.10"

client-to-client

duplicate-cn

keepalive 10 120
comp-lzo

; max-clients 100
; user nobody
; group nobody

persist-key
persist-tun

status openvpn-status.log
log /var/log/openvpn.log
log-append /var/log/openvpn.log

verb 9

 

 

klient:

 

tls-client
remote adresa serveru, ocividne

dev tun
proto udp
resolv-retry infinite
nobind

pull

persist-key
persist-tun


ca ca.crt
cert klient.crt
key klient.key

ping 15
ping-restart 45
ping-timer-rem
persist-key

comp-lzo

verb 9

 

Na routeru mám přesměrovaný port 1194 TCP+UDP na server. Vůbec nevím proč to nejde. Může někdo prosím poradit?

 

Díky

Odpovědi

[cynic_asshole]

Log z klienta a serveru by nebyl?

[NN]

Posloucha openvpn na obou rozhranich ? Prichazi z routeru presmerovani od klienta ?

NN

[RedMax]

Log zde http://riwas.cz/others/log/

 

Jak koukám do logu, tak server vůbec nevěděl o příchozím připojení, proto to nechápu.

 

Jak by měl poslouchat na obou rozhraních?

[NN]

Ja nevedel, ze nepouzivas v konfiguraci 'local' takze poslouch an vsech rozhranich. Nicmene od klienta ti z routeru na server neco prichazi ?

NN

[RedMax]

No právě že to vypadá, tedy alespoň podle logu, že asi ne. Já nevím jak to poznat... Ale zkoušel jsem dva routery a na obou stejný. Navíc jsem s přesměrováním portů nikdy neměl problém.

[lertimir]

Podle toho co je napsáno v logu je to VPN pracující na UDP. Máte přesměrován UDP port? Většinou si lidi přesměrovávají jen TCP porty.

[RedMax]

Mám TCP+UDP.

[pepe_]

a neblokuje tyto porty provider ? vyzkoušej si něco jiného pustit na portu 1194 a otestuj to.

[RedMax]

Neblokuje žádné porty.

[cynic_asshole]

A co na to říká tcpdump?

[-]

zdravim, povedal by som, ze na routeri nemas routovacie pravidlo pre vpn subnet, takze pakety nevedia kadial sa maju vratit...

[ubka7617]

nmap -sU -p 1194 77.104.247.200

Starting Nmap 5.21 ( http://nmap.org ) at 2011-07-27 12:06 CEST
Nmap scan report for 200.247.104.77.coprosys.cz (77.104.247.200)
Host is up (0.028s latency).
PORT     STATE  SERVICE
1194/udp closed unknown

[linuxik]

No tak je to jasny, bud nefunguje presmerovani portu, nebo mas na serveru zapnuty firewall a nebo openvpn neposloucha na prislusnem rozhrani. Co rikaji prikazy 'netstat -nlp' a 'iptables -L'?

[RedMax]

Příloha:

• netstat -nlp.txt (10503 bytů)

Hoj, sice vím, že jsem to řešil před 3/4 rokem, ale bohužel stále aktuální a VPN už potřebuji zprovoznit. Takže pokračujeme?

[Pat1]

Je to jen strileni naslepo, ale skusil bych jestli se neco nezmeni kdyz pouzijes tcp. Pro bezny provoz to neni nic moc, ale pokud je problem v presmerovani UDP tak by to mohlo pomoct.

[RedMax]

TCP jsem zkoušel, to mi nešlo vůbec a klient ve win mi vyhazoval chybu.

[RedMax]

Tato chyba s TCP http://download.riwas.cz/bordel/openvpn_error_3.jpg

[miro]

A zkusil jste si přeložit, co vám to říká, a zachovat se podle toho?

[RedMax]

Samozřejmě, ale nechápu to. Na serveru i klientu mám nastavený protokol TCP.

[alkoholik]

Je mi lito, ale bez anglictiny se moc nepohnes.
Celkem jasne ti totiz pise, ze si mas prepsat tcp na tcp-client nebo tcp-server.

[RedMax]

Beze změny.

[RedMax]

Síť mám takto udělanou. Server mám za routerem, porty mám přesměrované na server. Všechny služby fungují uplně normálně, jen né OpenVPN. Je to takhle vůbec správně? Může takhle fungovat VPN, když je uvnitř sítě? Případně mám možnost na routeru VPN IPSEC, ale vůbec nevím jak to nakonfigurovat a jaký použít klient ve win.

 

Případně zde je logy:

 

iptables -L - http://download.riwas.cz/bordel/iptables%20-L.txt

 

netstat -nlp - http://download.riwas.cz/bordel/netstat%20-nlp.txt

 

Nákres sítě - http://download.riwas.cz/bordel/nakres_sit.jpg

[tuxmartin]

IPSEC klient je ve Windows integrovany. Myslim ze prvni byly XP (mozna i 2000, ale to nevim).

Dokonce jsem nekde cetl, ze si Microsoft nechal napsat IPSEC do Windows od Cisca.

[miro]

V serverovém logu jsem nějak nepostřehl, jestli vůbec dorazil nějaký pokus o spojení. Ale nejsem expert, třeba jsem to přehlédl. V každém případě bych začal tcpdumpem na serveru, pokusit se klientem připojit zvenčí a sledovat, jestli na port 1194 vůbec něco (cokoli) dorazí. Pokud ne, je primární problém jinde než ve VPN (za předpokladu, že máte správnou IP adresu a tak...). Teprve pokud se na ten port dostanete, začal bych řešit VPN jako takovou.