abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 18:00 | Nová verze

    Open source platforma Home Assistant (Demo, GitHub, Wikipedie) pro monitorování a řízení inteligentní domácnosti byla vydána v nové verzi 2025.5.

    Ladislav Hagara | Komentářů: 0
    dnes 01:22 | Nová verze Ladislav Hagara | Komentářů: 0
    dnes 00:55 | Zajímavý projekt

    PyXL je koncept procesora, ktorý dokáže priamo spúštat Python kód bez nutnosti prekladu ci Micropythonu. Podľa testov autora je pri 100 MHz približne 30x rýchlejší pri riadeni GPIO nez Micropython na Pyboard taktovanej na 168 MHz.

    vlk | Komentářů: 0
    včera 19:44 | Nová verze

    Grafana (Wikipedie), tj. open source nástroj pro vizualizaci různých metrik a s ní související dotazování, upozorňování a lepší porozumění, byla vydána ve verzi 12.0. Přehled novinek v aktualizované dokumentaci.

    Ladislav Hagara | Komentářů: 0
    včera 17:33 | Nová verze

    Raspberry Pi OS, oficiální operační systém pro Raspberry Pi, byl vydán v nové verzi 2025-05-06. Přehled novinek v příspěvku na blogu Raspberry Pi a poznámkách k vydání. Pravděpodobně se jedná o poslední verzi postavenou na Debianu 12 Bookworm. Následující verze by již měla být postavena na Debianu 13 Trixie.

    Ladislav Hagara | Komentářů: 0
    včera 05:33 | Komunita

    Richard Stallman dnes v Liberci přednáší o svobodném softwaru a svobodě v digitální společnosti. Od 16:30 v aule budovy G na Technické univerzitě v Liberci. V anglickém jazyce s automaticky generovanými českými titulky. Vstup je zdarma i pro širokou veřejnost.

    Ladislav Hagara | Komentářů: 16
    včera 03:55 | Komunita

    sudo-rs, tj. sudo a su přepsáné do programovacího jazyka Rust, nahradí v Ubuntu 25.10 klasické sudo. V plánu je také přechod od klasických coreutils k uutils coreutils napsaných v Rustu.

    Ladislav Hagara | Komentářů: 0
    6.5. 22:11 | Nasazení Linuxu

    Fedora se stala oficiální distribucí WSL (Windows Subsystem for Linux).

    Ladislav Hagara | Komentářů: 2
    6.5. 13:22 | IT novinky

    Společnost IBM představila server IBM LinuxONE Emperor 5 poháněný procesorem IBM Telum II.

    Ladislav Hagara | Komentářů: 1
    6.5. 04:55 | Nová verze

    Byla vydána verze 4.0 multiplatformního integrovaného vývojového prostředí (IDE) pro rychlý vývoj aplikaci (RAD) ve Free Pascalu Lazarus (Wikipedie). Přehled novinek v poznámkách k vydání. Využíván je Free Pascal Compiler (FPC) 3.2.2.

    Ladislav Hagara | Komentářů: 1
    Jaký filesystém primárně používáte?
     (57%)
     (1%)
     (8%)
     (22%)
     (4%)
     (2%)
     (3%)
     (1%)
     (1%)
     (3%)
    Celkem 552 hlasů
     Komentářů: 26, poslední dnes 09:58
    Rozcestník

    Dotaz: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru

    28.12.2011 02:31 sirvestroji
    Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Přečteno: 1462×
    Ahoj. Nakonfiguroval jsem si OpenVPN klienta a OpenVPN server propojené přes tun zařízení. Spojení funguje parádně. Problém je v routování, resp. nevím jak naroutovat cílovou síť za serverem.
    ================                                    ===================
    |OpenVPN klient| --|domácí router|--> internet ---> |hardwarový router| --->_______místní síť_______________
    ================                                    ===================        |               | | | | | | | 
                                                                              ================     počítače v síti
                                                                              |OpenVPN server|
                                                                              ================
    
    OpenVPN klient: obecně jakákoliv ip, která není v cílové síti, např. 192.168.55.23/24
    hardwarový router (neumí vpn): vnější adresa veřejná, vnitřní 192.168.1.1/24
    OpenVPN server: 192.168.1.2/24
    počítače v síti: 192.168.1.0/24
    
    (Neřeším teď samotné ip adresy vpn tunelu)
    
    Problém je, že pokud se chci z vpn klienta dostat na nějaký počítač v síti, pak se na něj nedostanu z jednoho prostého důvodu. Pakety nemají cestu zpátky, protože počítače v síti mají jako výchozí bránu hardwarový router. Teoreticky bych mohl udělat to, že kýžené pakety budu routovat z routeru zpět na openvpn server. Jenže to nemůže fungovat z toho důvodu, že pakety projdou prvním směrem z openvpn serveru, ale zpátky už cestují přes router do openvpn serveru tzn. se zahodí. Jako možné řešení je přidat všem klientům v síti routu pro vpn klienty na vpn server. To sice funguje, ale je to dost nepraktické a "ošklivé". Dalším možným řešením by bylo vyjmout openvpn server z místní sítě a vše na něj a z něj routovat přes hardwarový router - to ale bohužel nemohu, protože tento server slouží i jako dhcp server. Mohl bych použít virtuální ethernety, ale to je ještě prasáčtější řešení, než v případě routování jednotlivých klientů.
    Nenapadá vás, jak by se takové routování dalo elegantně řešit?

    Odpovědi

    28.12.2011 09:40 chytracek
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Teoreticky bych mohl udělat to, že kýžené pakety budu routovat z routeru zpět na openvpn server. Jenže to nemůže fungovat z toho důvodu, že pakety projdou prvním směrem z openvpn serveru, ale zpátky už cestují přes router do openvpn serveru tzn. se zahodí.
    A presne to fungovat bude (Ano, funguje. Mam to takhle nastavene, brana routuje VPN subnet na LAN IP VPN serveru). Z jakeho duvodu by se pakety mely zahazovat? Kde?
    28.12.2011 14:15 sirvestroji
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    1. OpenVPN server -> klient
    2. klient -> router -> OpenVPN server
    
    Tady je jasné, že že se stavová spojení nepodaří navázat. (router si hlídá handshake)
    29.12.2011 08:35 CET
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Tady je jasné, že že se stavová spojení nepodaří navázat. (router si hlídá handshake)
    Neplet si router a firewall - zatimco firewall filtruje provoz a pro to obvykle pouzivat sledovani spojeni (connection tracking) a tvori si tabulku spojeni pro navazana spojeni, tak router POUZE routuje, tzn. predava pakety a nezajima ho, jestli je ten packet soucastni nejakyho spojeni.

    Pokud je tedy HW router i Firewall, tak by bylo nutne nastavit neco na zpusob iptables zapisu iptables -A FORWARD -j ACCEPT -i eth0 -o eth0, kde eth0 je mistni sit, cili, pokud neco prijde z eth0 a ma to odchazet na eth0, tak to proste predat a nezajimat se.

    Jinak dalsi moznost by byla, ze by ten OpenVPN pridelovat par adres tem VPN klientum ze stejneho rozmezi jako hlavni DHCP server. Rekneme hlavne DHCP server by daval 10-150, VPN by daval 151-200 a nebo ,jak pise bigbrambor, pouzit primo bridgovani (pokud se nepletu, v tom pripade se pouziva tap misto tun), coz by bylo ve tvem pripade zrejme to nejlepsi.

    Jinak pokud bys chtel ten VPN server dat mezi HW router (DHCP) a mistni sit, tak bys na VPN serveru spustil akorat dhcprelay a ten by pak vsechny DHCP pozadavky z mistni site predaval na HW router a zaroven by VPN server sam routoval do VPN.
    29.12.2011 08:57 bigBRAMBOR | skóre: 37
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    s drobným dovětkem, pokud dobre nastavis OVPN server, nemusis rozdelovat pridelovany rozsah adres, ale o adresy pro OVPN klienty se postara DHCP server. Vse se tedy chova tak jak ma, jako by jsi byl v lokalni siti.
    30.12.2011 08:33 CET
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Mas na mysli dhcprelay nebo bridge?
    2.1.2012 08:15 bigBRAMBOR | skóre: 37
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    bridge
    28.12.2011 11:16 bigBRAMBOR | skóre: 37
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    pokud stroje v lokalni siti maji jinou default GW nez OVPN server, mas dve moznosti, bud klidntum podstricit routu ktera jim rekne ze na OVPN klienta se maji ptat OVPN serveru - napr DHCP to umí, nebo na serveru OVPN nastavit maskaradu pro prichozi pakety od OVPN klienta. Dalsi moznost by byla jeste OVPN jako bdrige, kdy OVPN klient by dostal adresu z lokalniho rozsahu, stejnou GW? vsechno, a vlastne by se stal soucasti lokalni site.
    28.12.2011 18:33 sirvestroji
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Kdybych to bridgoval, tak bych vlastně propojil tap0 a eth0 pomocí virtuálního br0 a pouze tomu virtuálnímu br0 bych dal IP adresu původního eth0, aby byl ten server dostupný po síti. Je to tak správně? Myslím ale, že tohle se nedá moc dobře filtrovat přes firewall (shorewall). K tomu dhcp - nevím, že by to umělo. Beztřídní adresy option pro static routes neumí a navíc tento option ani windows pokud vím nepodporují.
    29.12.2011 08:05 bigBRAMBOR | skóre: 37
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    1/ jak pises, az na to ze pres firewall to projde, akorat budes mit vsude br0 misto eth0, a klient se do site dostane, protoze jde o komunikaci jiz navazaneho spojeni

    2/ dhcp to umi i pro windows, direktiva "option win-static-routes", málo známá a šílená (jako parametr se dává nekoneční řetězec HEX čísel složený z převedených masek a gw, ale to je problém windows jako to chtějí, a ne dhcpd), ale funkční, používal jsem

    3/ pořád můžeš nahodit maskaradu
    29.12.2011 16:47 sirvestroji
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    1/ jak pises, az na to ze pres firewall to projde, akorat budes mit vsude br0 misto eth0, a klient se do site dostane, protoze jde o komunikaci jiz navazaneho spojeni
    No četl jsem, že standardní iptables firewall (používá ho shorewall) nemůže fungovat na linkové vrstvě v bridgování. Např. bych potřeboval omezit počet nějakých paketů za sekundu, povolené porty apod. ve směru tap0->eth0. Nicméně jsem našel obrázek http://ebtables.sourceforge.net/br_fw_ia/PacketFlow.png, podle kterého bych řekl, že by to fungovat mělo (iptables filter tabulka). Jak to tedy je?
    29.12.2011 20:40 bigBRAMBOR | skóre: 37
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    oboje dvoje co pises iptables umí, i pocet spojeni za sekundu, a povolene porty pro urcite smerovani samozrejme taky. Tedy iptables, netusim co vsechno povoluje jeho nadstavba, tedy shorewall.
    29.12.2011 13:16 Pavel | skóre: 17
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Jen se zeptam tady, abych nemusel zakládat další dotaz. Mam zapojení sítě shodný se schéma výše, do domácí sítě se dostanu normálně, ale pude udělat abych měl přístup i přístup do internetu? Aby tedy vzdálený klient měl vystupoval na internetu jako dyby přistupoval z domácí sítě. VPN serever mam připojen jednou síťovkou, nebude potřeba mít speciální s trunk portem?
    29.12.2011 15:10 bigBRAMBOR | skóre: 37
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    redirect gateway, OVPN presmeruje veskery provoz pres OVPN server jako pres GW. Pak se dostanes do stejne situace jako predchozi tazatel. Pokud OVPN server neni GW pro sit, bude se proste ptat svoji GW, tedy asi nejakeho tveho routeru. Nebo udelas bridge, GW pak OVPN klient bude mit stejnou jako kdyby byl lokalne, tvuj lokalni router.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.