Dotaz: openwrt jako openvpn klient - problém s firewallem (ASI)

[Petr]

Dobrý den, předem se omlouvám, ale nejsem žádný velký expert. Nainstaloval jsem si na router openwrt, kde mám openvpn klienta. Do vpn se připojím. Síť, kde je openvpn server s eth1 10.0.10.0/24 a tap0 10.0.11.0/24 z openwrt klienta pingnu na 10.0.10.1 i na 10.0.11.1 (což je server). Ale z pc, které je v lan u za openvrt routerem nepingnu ani na jedno. Pingnu pouze na 10.0.12.1 (openwrt router) a 10.0.11.50 (vpn na openwrt routeru). Myslím, že mi to na openert blokuje firewall, protože dříve na dd-wrt jsem přidával toto:

iptables -I INPUT -t filter -i tap0 -j ACCEPT
iptables -I FORWARD -i tap0 -o br0 -j ACCEPT

Poradíte, jak to nastavit na openwrt? Už si nevím opravdu rady, trávím na tom x hodin

Odpovědi

[NN]

Potrebujes v kostce dve veci, povoleny forwarding a korektni routy. Pouzij tcpdump a over jestli se to blokuje(firewall), nebo nechodi odpovedi(routing).

[Petr]

tzn. že z toho klienta (resp. z toho PC za ním v LAN) pingnu na server 10.0.10.1 a na serveru pustím TCP dump na tap0?

[Jendа]

Na serveru i na openwrt. Při trasování ztrácejících se paketů je pochopitelně potřeba poslouchat je po cestě všude, aby člověk zjistil, kde se ztrácejí…

[Petr]

Jinak ještě doplním, že ten openvrt router "vidí" všude. A ty počítače za ním mají ten router jako bránu.

[Jendа]

Už si nevím opravdu rady, trávím na tom x hodin

A tcpdump na routeru a na serveru tě za těch x hodin spustit nenapadlo? Tipuju že zjistíš že echo request na 10.0.11.1 přijde, ale má src ardesu z 10.0.10.0/24 a tak 10.0.11.1 pošle odpověď někam doprčic.

[Petr]

To nevidim nic.. myslím si, že mi to zařízne ten openwrt router (openvpn client)

[Petr]

tohle mám na openwrt:

# cat /etc/config/firewall 

config defaults
	option syn_flood '1'
	option input 'ACCEPT'
	option output 'ACCEPT'
	option forward 'ACCEPT'

config zone
	option name 'lan'
	option input 'ACCEPT'
	option output 'ACCEPT'
	option forward 'ACCEPT'
	option network ' '

config zone
	option name 'wan'
	option input 'REJECT'
	option output 'ACCEPT'
	option forward 'REJECT'
	option masq '1'
	option mtu_fix '1'
	option network 'wan wan6'

config forwarding
	option src 'lan'
	option dest 'wan'

config rule
	option name 'Allow-DHCP-Renew'
	option src 'wan'
	option proto 'udp'
	option dest_port '68'
	option target 'ACCEPT'
	option family 'ipv4'

config rule
	option name 'Allow-Ping'
	option src 'wan'
	option proto 'icmp'
	option icmp_type 'echo-request'
	option family 'ipv4'
	option target 'ACCEPT'

config rule
	option name 'Allow-DHCPv6'
	option src 'wan'
	option proto 'udp'
	option src_ip 'fe80::/10'
	option src_port '547'
	option dest_ip 'fe80::/10'
	option dest_port '546'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Input'
	option src 'wan'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	list icmp_type 'router-solicitation'
	list icmp_type 'neighbour-solicitation'
	list icmp_type 'router-advertisement'
	list icmp_type 'neighbour-advertisement'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Forward'
	option src 'wan'
	option dest '*'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config include
	option path '/etc/firewall.user'

config zone
	option input 'ACCEPT'
	option forward 'ACCEPT'
	option output 'ACCEPT'
	option name 'OpenVPN'
	option network 'VPN'

config forwarding
	option dest 'lan'
	option src 'OpenVPN'

config forwarding
	option dest 'OpenVPN'
	option src 'lan'

[Petr]

Příloha:

• WRT.png (37880 bytů)

a takhle mám nastavené zóny na openwrt

[Petr]

už mi to jede.. vpn klient dostal jinou IP než kterou jsem měl naroutovanou... Ale ještě jsem se chtěl zeptat, jak se dá nastavit, aby se mi vpn klient auto reconnectil, když dojde k odpojení např. díky restartu vpn serveru? dd-wrt se mi samo reconnectilo a nic jsem nastavovat nemusel..