Dotaz: Preco funguje vpn aj ked zakazem pravidlo

[jany2]

Ako gateway pouzivam mikrotik. V LAN je linux s OVPN. Na mikrotiku mam vo firewalle pred pravidlom, ktore vsetko dropuje pravidlo:

chain=forward action=accept protocol=udp dst-port=1194

Ak je toto pravidlo vypnute, tak sa s klientom nedokazem pripojit na OVPN server. Ak toto pravidlo povolim, tak spojenie sa nadviaze, klientovy sa prideli virtualna IP na TUNe a proste to funguje. Ak pravidlo zakazem, funguje to dalej. Aj ked restartujem vpn klienta, dokonca aj service networking restart, tak VPN je stale v prevadzke.
Mam tomu rozumiet tak, ze staci aby sa nadviazalo spojenie a potom uz to pravidlo nema vyznam ??

Odpovědi

[jany2]

A este podotazka, ako by sa dalo nastavit aby jednotlivym klientom v ramci VPN boli pridelovane rovnake IP. Staci mat povoleny

ifconfig-pool-persist ip_pool.txt

zo zapismi v subore ipp.txt napr.

client1, 10.8.0.5
client2, 10.8.0.6
client3, 10.8.0.7
client4, 10.8.0.8

[Petr Šobáň]

Protože tam bude někde pravidlo že od navázaných spojení je to povolené.

[MMMMMMMMM]

Nemáš někde na začátku pravidlo, které povoluje již navázané spojení (established, related)? Jinak v Mikrotiku je ve výchozím stavu pro UDP komunikaci nastaveno udp-timeout 10 sekund a udp-stream-timeout 3 minuty. Když navážeš spojení s VPN, následně zakážeš pravidlo na Mikrotiku a shodíš na 3 minuty VPN klienta, připojí se potom po následném spuštění?

[jany2]

Ano firewall ma pravidla

chain=forward action=accept connection-state=established log=no log-prefix="" 
chain=input action=accept connection-state=established log=no log-prefix="" 
chain=forward action=accept connection-state=related log=no log-prefix="" 
chain=input action=accept connection-state=related log=no log-prefix="" 

MMM.... tak ako pises, po 3 minutach sa uz nepripojim (o5 viem nieco nove :) )
Co sa tika statickeho pridelovania IP adries konkretnym klientom, tak podla toho to ma na starosti directiva

client-config-dir ccd

a zda sa, ze to aj funguje, ale nie celkom presne tomu rozumiem.
Dajme tomu, ze chcem mat klienta z nazvom client17 a chcem aby mu ovpn server prideloval adresu 10.8.0.17. Takze postup je taky

nano /etc/openvpn/ccd/client17

a zapis do suboru

ifconfig-push 10.8.0.17 10.8.0.18

kde prve cislo je IP klienta a druhe serverova cast tunelu.
Teraz ked budem chciet pridelit pre client18 IP 10.8.0.18, tak to bude takto?

nano /etc/openvpn/ccd/client18

a zapis do suboru

ifconfig-push 10.8.0.18 10.8.0.19

kde prve cislo je IP klienta a druhe serverova cast tunelu?
Nebude problem v tom, ze IP 10.8.0.18 je u prveho serverova cast tunelu a druheho je IP klienta ?