Dotaz: Openvpn - problém s nastavením serveru (TAP)

[prco]

Přílohy:

• 08_service.log (99321 bytů)
• 10_service.log (25951 bytů)
• 01_service.log (3893 bytů)

Pekný deň, nie som moc skúsený pokiaľ sa jedná o linux a openvpn. Moja vízia bola jasná. Vytvoriť privátnu sieť v ktorej budú môcť komunikovať klienti medzi sebou. Dostal som teda informáciu, že pokiaľ chcem, aby sa klienti medzi sebou vidia, tak je potrebné pracovať s TAP zariadením a nie TUN. Podarilo sa mi teda vytvoriť konfigurák pre server a klienta... Zo začiatku (ak sa pripojí jeden - dvaja) to pracuje celkom pekne, resp nepostrehol som žiadne problémy. Ostatní klienti sa pripájajú pomocou linuxových systémov a len jeden PC (môj) sa pripája k sieti prostredníctvom Windows prostredia. Na linuxových systémoch mi beží klasika openvpn a na windowse tiež openvpn gui.

Pre server mám spravený takýto konfigurák:

mode server
tls-server
dev tap1
port 7856
proto tcp-server
ifconfig 10.34.0.100 255.255.255.0
push "route 10.34.0.0 255.255.255.0"
client-config-dir ccd/service
duplicate-cn
client-to-client
keepalive 10 120
ca 08_service/ca.crt
cert 08_service/service.crt
key 08_service/service.key
dh 08_service/dh2048.pem
comp-lzo
cipher AES256
log 08_service/08_service.log
status 08_service/status.log

up 08_service/up.sh
script-security 2


V adresári ccd/service mám uložené súbory s rovnakým názvom ako je ich certifikát, teda napr "klient3" a v ňom príkaz ifconfig-push 10.34.0.1 255.255.255.0

Pre klienta mám takýto konfigurák:

remote 192.168.0.182
tls-client
port 7856
proto tcp-client
dev tap
pull
ca 01_service/ca.crt
cert 01_service/klient3.crt
key 01_service/klient3.key
user nobody
group nogroup
resolv-retry infinite
log 01_service/01_service.log
status 01_service/01_service_status.log
keepalive 10 120
comp-lzo
verb 3
cipher AES256



Takto vyzerá ping zo serveru 10.34.0.99 (certifikát admina)

PING 10.34.0.99 (10.34.0.99) 56(84) bytes of data.
From 10.34.0.100 icmp_seq=1 Destination Host Unreachable
From 10.34.0.100 icmp_seq=2 Destination Host Unreachable
From 10.34.0.100 icmp_seq=3 Destination Host Unreachable
From 10.34.0.100 icmp_seq=4 Destination Host Unreachable
From 10.34.0.100 icmp_seq=5 Destination Host Unreachable
From 10.34.0.100 icmp_seq=6 Destination Host Unreachable


Alebo je úplne bez odozvy úplne prípadne zo stratou

--- 10.34.0.7 ping statistics ---
36 packets transmitted, 12 received, 66% packet loss, time 35208ms


Ešte čo sa týka súboru "up.sh":
#!/bin/bash

./clear.sh $1 $2 $3 $4 $5 $6

iptables -A OUTPUT -o $1 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o $1 -m state --state NEW -j ACCEPT
iptables -A INPUT -i $1 -p tcp ! --syn -m state --state NEW -j DROP
iptables -A INPUT -i $1 -p tcp --dport 113 -j REJECT --reject-with tcp-reset
iptables -A INPUT -i $1 -p tcp -d $4 --tcp-flags SYN,FIN SYN,FIN -j DROP
iptables -A INPUT -i $1 -m state --state ESTABLISHED,RELATED -j ACCEPT

Odpovědi

[NN]

Poznamky:

Dostal som teda informáciu, že pokiaľ chcem, aby sa klienti medzi sebou vidia, tak je potrebné pracovať s TAP zariadením a nie TUN.

Nesmysl, je to spise naopak. Nastavit serveru adresu 0.100 a pridelit klientu 0.1 neni uplne bezna adresace..

Na diagnostiku bych pouzil(na strane klienta i serveru), klasicke nastroje ip,ping,tcpdump, iptables a zacal bych tim, ze bych vyloucil problem v routingu,nebo blokovani firewallem..

[bigBRAMBOR]

Nastavit serveru adresu 0.100 a pridelit klientu 0.1 - blbost, adresovat si muzete jak chcete, na funkci to nema vliv.

TUN/TAP - na tap mas vsechny zarizeni v jedne siti, takze jde udelat jednoduse mezi nimi komunikace, na TUN po staru se udelal pro kazdeho klienta tunel ktery sezral 4 adresy, komunikace mezi klienty se dala uroutovat, ale bylo to horsi, nove muzete pouzit topology subnet, kde je toto uz reseno lépe. Pokud pouzivat CCD a pridelovani podle cert, urcite vypni duplicate-cn, ale na tvuj problem by to nemelo mit vliv.

[bigBRAMBOR]

pokud pridelujes serveru i klientu adresu ze stejneho subnet, proc mu k tomu jeste cpeš na ten subnet routu pres push?

[rats]

Tušíte vůbec, jak rozhraní TAP funguje? Nebo jinak - co bridge, jsou nakonfigurované a v pořádku? Co třeba tohle jako příklad: http://www.linuxsysadmintutorials.com/setup-openvpn-with-bridging-support-on-ubuntu.html ?