Dotaz: OpenVPN klienti - nefunguje auto reconnect

[Kevin]

Zdravím, řeším jeden zásadní problém s OpenVPN. Rodinu mám spojenou VPNkou. Všichni mají routery s Openwrt a klientskou OpenVPN. Jejich konfigurace je taková:

remote mujserver.net
port 1194
proto tcp-client
tls-client
dev tap
pull

ns-cert-type server

mute 10
ca /etc/openvpn/ca.crt
cert /etc/openvpn/rtr.crt
key /etc/openvpn/rtr.key

persist-key
persist-tun

comp-lzo
verb 3

user nobody
group nogroup

a konfigurace serveru:

# server
mode server

# management
management 10.0.10.1 7505

# tls jako server
tls-server

# CRL (certifikate revocation list) verification
# ( readeable for ALL !!! )
crl-verify /etc/ssl/crl.pem

persist-key
persist-tun

# vytvori zarizeni
dev tap0

# protokol (udp nebo mozno i tcp-server)
proto tcp-server

# port na kterem nasloucha (definovano v shorewall tunnels)
port 1194

# adresa serveru (rozhrani tap0)
ifconfig 10.0.11.1 255.255.255.0 # prideli ip rozhrani tap0

# adresy pro klienty
ifconfig-pool 10.0.11.50 10.0.11.60 255.255.255.0 # DHCP server pro VPN klienty

# specialni konfigurace pro konkretni klienty
client-config-dir /etc/openvpn/ccd

# "staticke" IP adresy pro klienty
#ifconfig-pool-persist /etc/openvpn/openvpn.ip_pool.txt 0

# pripojeni klienti na VPN se uvidi
client-to-client

# posle na klienta routy na zpristupneni LAN (10.0.10.0/24) za VPN serverem
push "route 10.0.10.0 255.255.255.0 10.0.11.1"

# vytvori routu serveru pro pristupy do LAN za VPN klienty
route 10.0.15.0 255.255.255.0 10.0.11.51
route 10.0.14.0 255.255.255.0 10.0.11.54
route 10.0.13.0 255.255.255.0 10.0.11.52
route 10.0.12.0 255.255.255.0 10.0.11.55

# nastavi klientovy DNS server
push "dhcp-option DNS 10.0.10.1"
push "dhcp-option WINS 10.0.10.1"
push "dhcp-option DOMAIN fermontplus.loc"

# nastavi klientovi vychozi branu
#push "redirect-gateway def1"

# udrzuje spojeni nazivu, 10s (ping) a 30s (ping-restart)
keepalive 10 60

# certifikat certifikacni autority
ca /etc/ssl/certs/ca_fp.crt

# certifikat serveru
cert /etc/ssl/certs/server_fpcz.crt

# klic serveru
key /etc/ssl/private/server_fpcz.key

# parametry pro Diffie-Hellman protokol
dh /etc/ssl/private/dh2048_fp.pem

# logy serveru
log-append /var/log/openvpn

# status serveru
status /etc/openvpn/vpn.status 10

user nobody
group nogroup

# komprese prenesenych dat
comp-lzo

# ukecanost serveru
verb 3

Jakmile jsem restartoval server, klienti se zase sami přikonektili. Teď se mi ale připojí jen jeden automaticky a ostatní musím restartovat. Což je samozřejmě na nic. Nevíte někdo, kde by mohl být problém? Všichni mají totožnou konfiguraci, tak v tom nevidím žádnou logiku

Odpovědi

[NoXO]

Kdysi jsem míval problém s verzi OS Win na kterém běžel openvpn klient, taky byl problém s admin právy, openvpn by se měl spustit s právy admina (spustit jako administrátor), také byl problém s různými verzemi openvpn klienta, sjednotil bych nejdříve toto a vysledoval nejdříve zda problém nedělá hostující OS Win a verze openvpn klienta... ..

[NoXO]

aha, špatně jsem to pochopil.. ty to máš na routerech :)

[NN]

V logu na serveru a u klienta to "nepripojeni" vypada jak?

[Kevin]

no na klientovi se mi ten log vubec negeneruje, tak nevim.. :-/ Ale řekl bych, že to prostě nemá vůbec snahu se připojit...

[Kevin]

Jo a na serveru v logu není nic.. klient se prostě nesnaží připojit, dokud ho nerestartuju (ale jak říkám, do včerejška to šlo uplně bez problému).

[NN]

To nema syslog? Potom to muzes specifikovat manualne:

log-append /foo/bar/openvpn.log
verb 5

[Kevin]

no mám v /etc/config/openvpn tohle:

package openvpn

config openvpn
        option enable 1
        option config /etc/openvpn/openvpn.conf
        option log /tmp/openvpn.log

Ale jaksi to neloguje /zkoušel jsem i ten soubor vytvořit a nic/. Každopádně se to chová zvláštně.. jednoho klienta jsem rebootnul a teď už se po výpadku serveru rekonektí sám.. Takže 2 se mi připojí i po výpadku serveru a dva jen pokud rebootnu je...

[NN]

No tak se do toho wrt dostan konzoli a pust klienta manualne, pravdepodobne se z nejakeho duvodu vubec nepusti. Podivej se doprocesu jestli bezi, jestli se log soubor vytvori kdyz ho maznes, jestli neni v globalnim logu hlaska proc se klient vubec nepusti atd. atd. (restart boxu neni reseni..) Zaroven na serveru kontroluj, jestli s nim klient vubec komunikuje. Btw. sitove je to v poradku? Ping na server funguje bez problemu?

[Kevin]

Klient bezi,ale po vypadku serveru se znovu neprihlasi. Pokud klienta restartnu, prihlasi se a drzi spojeni, dokud nedojde k vypadku serveru. Jiny, stejne nastaveny, klient se rekonektne sam. Tohle ma resit persist-tun, ale to mam na serveru i na vsech klientech.

[NN]

Jes si jisty, ze po restartu serveru neni od klienta ani jedna hlaska, proste nic i s verb 5?

[Kevin]

Ne nee, bedlive jsem nekolikrat sledoval log pres tail -f a nic.