Dotaz: OpenVPN pripojeni

[Pól Bulva]

Dobry den,

mam dva servery, jeden linuxovy a jeden windowsovy a potrebuji se na oba dostat pres VPN. Nainstaloval jsem linuxovem servru openVPN, nakonfiguroval, vytvoril klice a na notasu s XP jsem se pripojil s klicema na VPNku, ale nemuzu se pripojit pres vzdalenou plochu na ten Windowsovy server a ani nevidim share , ktery bezi pres sambu na linuxu, muzete mi prosim poradit kde by mohl byt problem a popripade jak jej vyresit?

Predem dekuji za pomoc

---

---

Odpovědi

[NN]

Pokud jsem to do dobre pochopil, mas linuxovy server s verejsou adresou ke kteremu se z venku pripojujes pres VPN. Dale mas win server s privatni adresou, ktery bezi na lokalni siti a dalse share na linuxu. V zakladu bych se podival na dve veci. Jestli mas koretkni routovani tzn. notes s klientem vi, ze dotazy na privatni adresu win serveru ma smerovat do VPN a naopak. Za druhe bych se podival jak je vydefinovany pristup a forwarding na linux serveru v iptables, aby se ukazalo, ze si to neblokujes. U sharu bych se podival na jake adrese samba posloucha a prosel predchozi dva kroky.

[Pól Bulva]

No, skoro...Mam sit s verejnou adresou, na kterem bezi Win server s privatni adresou a linux server taky s privatni adresou a na tom linuxu jede ta samba.

[bigBRAMBOR]

kdyz se klient VPN pripojit, dostane adresu ze stejneho ranku jako je win a linux nebo je mezi linuxem a klientem adresne jina sit? To jsem z toho nepochopil. Pokud jina, musis klientovi zmenit GW na linux, nebo mu nahodit route pro sit ktera je mezi Lin a Win.

tedy presne jak pise predrecnik - vi klient kde hledat sit na ktere je win a lin? co Ping?

[Pól Bulva]

Pokud se klient pripoji na VPN, tak dostane ip 192.168.120.50, Linux je na privatni adrese 192.168.120.2 a Windows 192.168.120.3, takto to myslite?

[skonciljsem]

Máš tam něco jako push "route 192.168.120.0 255.255.255.0" a push "redirect-gateway def1 "?

Klient musí vědět, kde je jeho síť.

[Pól Bulva]

To ma byt v tom konfiguraku serveru nebo klienta?

[skonciljsem]

Serveru.

[Pól Bulva]

tam mam nastavene:

port 1194 dev tap0 ifconfig-pool-persist ipp.txt server-bridge 192.168.120.3 255.255.255.0 192.168.120.50 192.168.120.60 client-to-client ...

[lobotron]

Ne, redirect-gateway slouží k tomu, aby se veškerá síťová komunikace cpala do vpn a jako gtw do internetu se použije gtw vpn serveru. Což asi zrovna není potřeba.

[Pól Bulva]

Rekl bych, ze tam bude potreba ty iptables nejak nastavit, ale vubec netusim jak...

[bigBRAMBOR]

do za A to vypada ze klient nevi kde ma hledat sit 192.168.120.x, tedy bud reditect gw, nebo nahod routu, a za druhe pokud na tom lin serveru mas firewal tak povolit FORWARD mezi lokalni sitovkou a TAP0 v obou smerech

[lobotron]

Je na serveru správně nastaven bridge mezi eth0 a tap0?

[Pól Bulva]

urcite ne, takze udelat

iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT

?

[lobotron]

Ta virtuální síťovka na serveru je teda tun nebo tap? To je dost důležitý.

[Pól Bulva]

To zjistim jak? Ja jsme pomoci lshw nasel jen

*-network DISABLED

description: Ethernet interface

physical id: 3

logical name: tap0

serial: 1a:7a:dd:ac:e7:de

size: 10Mbit/s

capabilities: ethernet physical

[lobotron]

To si nastavíš v openvpn.conf, jestli dev tun0 nebo dev tap0. Tap se používá do bridge s eth, to znamená že pak vpn klient má adresu ze stejnýho rozsahu jako má lan a server má jen jednu ip. V konfiguráku openvpn by to pak vypadalo zhruba takhle:

dev tap0
server-bridge 192.168.120.3 255.255.255.0 192.168.120.50 192.168.120.60

Ještě se pak musí vytvořit ten bridge:

brctl addbr br0
brctl addif br0 eth0
brctl addif br0 tap0

A pak ještě přiřadit br0 pevnou ip 192.168.120.3. Tun adaptér funguje tak, že klienti vpn mají adresu z jinýho rozsahu (pro příklad třeba 10.0.0.0/24), server má dvě ip (192.168.120.3 pro eth0 a 10.0.0.1 pro tun0) a ty sítě se propojej pomocí routování. V konfiguráku to bude vypadat ňák takhle:

dev tun0
server 10.0.0.0 255.255.255.0
push "route 192.168.120.0 255.255.255.0"

A pak se musí nastavit forwardování v iptables (za správnost příkazů neručim):

iptables -A FORWARD -s 192.168.120.0/24 -d 10.0.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.0.0.0/24 -d 192.168.120.0/24 -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE

[Pól Bulva]

Ajo, mam tam nastavene dev tap0 takze do toho konfiguraku serveru mam dat jeste brctl addbr br0 brctl addif br0 eth0 brctl addif br0 tap0 ?

Muzete mi jeste popsat, jak mam priradit tu pevnou ipadresu?

[lobotron]

Ne, brctl je normální příkaz do komandlajny. Navíc takovej bridge by vydržel jen do restartu. Nevím, co je na serveru za distribuci, ale v debianu se pevná ip i bridge nastavují v /etc/network/interfaces a vypadalo by to nějak takhle:

iface br0 inet static
        bridge_ports eth0 tap0
        address 192.168.120.3
        broadcast 192.168.120.255
        netmask 255.255.255.0
        gateway 192.168.120.1

[2X4B-523P]

na mojí konfiguraci jsem se přidělení stejného rozsahu vpn klientů a vnitřní sítě vyhnul a server má dvě ip tak, jak popisujete pro tun, vzhledem k úrovni na které tap běží je to jedno, jen se pak má ošetřit routování a adaptér by měl být v promiskuitním režimu (což by někdo mohl považovat za menší bezp. problém)...

[Pól Bulva]

Tak jsem to cele smaznul, nainstaloval znova, nastavil a ted mi to nechce ani najet a pise to

[FAIL] Starting virtual private network daemon: server failed!

[NN]

Neni to proto, ze uz bezi ? Co je v logu ?

[bigBRAMBOR]

proboha proc jsi to preinstalovaval? Nestacilo zmenit konfigurak?

[Pól Bulva]

Uz to jede, chybicka v konfiguraku :D ale problem porad stejny, na winech se pripojim k VPN, ale kdyz se pokousim pripojit pres vzdalenou plochu na windows server, tak to nejede...

[skonciljsem]

Předpokládám, že linuxový vidíš. Zkoušel jsi ten ping?

[Pól Bulva]

Zkousel jsem pingnout i linux i win. serveer a bez uspechu. Jen se mi podari pripojit na tu VPN, nemuze byt treba neco v nastaveni routeru?

[NN]

Jedno slovo, tcpdump..

[2X4B-523P]

route

Adresát         Brána           Maska           Přízn Metrik Odkaz  Užt Rozhraní
default         *               0.0.0.0         U     0      0        0 eth0
10.0.0.0        *               255.255.255.0   U     0      0        0 eth0
10.0.1.0        *               255.255.255.0   U     0      0        0 tap0

server.conf

port 22333
proto udp
dev tap

ca      /etc/openvpn/ca.crt    # generated keys
cert    /etc/openvpn/server.crt
key     /etc/openvpn/server.key  # keep secret
dh      /etc/openvpn/dh3072.pem

server 10.0.1.0 255.255.255.0 

push "redirect-gateway def1"
ifconfig-pool-persist ipp.txt

keepalive 10 120

tls-auth ta.key 0

user openvpn
group openvp

persist-key

status log/openvpn-status.log

verb 3  # verbose mode
client-to-client

uložil jsem iptables, takováhle hrůza na mě vybafla

*nat
:PREROUTING ACCEPT [5457:370808]
:INPUT ACCEPT [444:38042]
:OUTPUT ACCEPT [864:52012]
:POSTROUTING ACCEPT [865:52096]
-A POSTROUTING -s 10.0.1.0/24 -o eth0 -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [47241:6404391]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [48125:51671998]
:fail2ban-ssh - [0:0]
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A FORWARD -i eth0 -o tap0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.0.1.0/24 -o eth0 -j ACCEPT
-A fail2ban-ssh -j RETURN
COMMIT

to chci někomu poradit a vždycky zjistím ten prů.er ve vlastním nastavení, ale funguje mi to

[2X4B-523P]

group openvpn - kopírovat/vložit celý blok a ono mi to ukradlo písmenko, zřejmě jeden z důvodů, proč si nekopírovat nastavení z diskuzí

[NN]

Imho. jelikoz je tvoje politika ACCEPT tak ti to funguje jen velkou klikou..

[2X4B-523P]

já už to měl několikrát, jenže mi třeba vypnou proud, nebo se stane něco jiného a mě už to nebaví to psát furt dokolečka a zapomínat to uložit... a abych tady měl jeden stroj jen na firewall mi přijde jako plýtvání, přeci jen to mám jen doma a nic zásadního v počítači nemám, všechno zůstalo na disku, kterému se zadřela hlava

[Pól Bulva]

Tak a ted co mi pomuze vyresit muj problem? :D Nejak se v tom zacinam ztracet

[NN]

Pomuze ti pustit si tcpdump na prislusnych rozhranich, odchytit si ICMP provoz a zjistit, kde to vazne..

[2X4B-523P]

pokud to testuješ na vnitřní síti a nepřipojuješ se z venku, tak to nefunguje správně, ale pokud používáš na testování třeba mobilní připojení, nebo to testuješ odjinud, tak se nám okruh možností zase sníží... jinak testovat zevnitř se dá, ale chce to upravit routování... třeba já se z vnitřní sítě na VPN nedostanu vůbec, ale z venku v pohodě vše funguje...

[Pól Bulva]

Dostal jsem od znameho, co mel stejny problem radu, ze mam nastavit nejak routovani a melo by to jet...

[bigBRAMBOR]

to je dobrá rada, ted uz to zkus jenom nějak rozchodit.

[Pól Bulva]

Pokusil jsem se to routovani nastavit, ale ted uz mam problem se pripojit na tu VPNku, pise to:

ERROR: Exit Event ('openvpngui_exit_event_0') is signaled

[2X4B-523P]

jak je připojení ISP realizováno? existuje nějaký modem? nějak mi to uniklo a nechci číst znovu celou diskuzi...