Dotaz: Openvpn routovanie

[secido]

Mam nainstalovany OpenVPN server na RASPI (Raspbian). Na strane klienta mi spravne nefunguje routovanie, neviem pingnut server. Konfiguracny subor servera vyzera nasledovne:

local 10.1.10.229 # SWAP THIS NUMBER WITH YOUR RASPBERRY PI IP ADDRESS
dev tun
proto udp #Some people prefer to use tcp. Don't change it if you don't know.
port 1194
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/Pi.crt # SWAP WITH YOUR CRT NAME
key /etc/openvpn/easy-rsa/keys/Pi.key # SWAP WITH YOUR KEY NAME
dh /etc/openvpn/easy-rsa/keys/dh2048.pem # If you changed to 2048, change that here!
server 10.8.0.0 255.255.255.0
# server and remote endpoints
ifconfig 10.8.0.1 10.8.0.2
# Add route to Client routing table for the OpenVPN Server
push "route 10.8.0.1 255.255.255.255"
# Add route to Client routing table for the OpenVPN Subnet
push "route 10.8.0.0 255.255.255.0"
# your local subnet
push "route 10.1.10.229 255.255.255.255" # SWAP THE IP NUMBER WITH YOUR RASPBERRY PI IP ADDRESS
# Set primary domain name server address to the SOHO Router
# If your router does not do DNS, you can use Google DNS 8.8.8.8
push "dhcp-option DNS 8.8.8.8 " # This should already match your router address and not need to be changed.
# Override the Client default gateway by using 0.0.0.0/1 and
# 128.0.0.0/1 rather than 0.0.0.0/0. This has the benefit of
# overriding but not wiping out the original default gateway.
#push "redirect-gateway def1"
client-to-client
duplicate-cn
keepalive 10 120
#tls-auth /etc/openvpn/easy-rsa/keys/ta.key 0
cipher AES-128-CBC
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log 20
log /var/log/openvpn.log
verb 1

Ako klienta pouzivam Windows 10 a OpenWRT. Priklad konfiguraku z windows:

client
dev tun
proto udp
remote 10.1.10.229 1194
resolv-retry infinite
nobind
persist-key
persist-tun
mute-replay-warnings
ns-cert-type server
cipher AES-128-CBC
comp-lzo
verb 3
mute 20

Problemom je, ze po pripojeni neviem pingnut server 10.8.0.1. V com by to mohlo byt? Este z logu:

Mon Sep 11 15:29:15 2017 PUSH: Received control message: 'PUSH_REPLY,route 10.8.0.1 255.255.255.255,route 10.8.0.0 255.255.255.0,
route 10.1.10.229 255.255.255.255,dhcp-option DNS 8.8.8.8 ,route 10.8.0.0 255.255.255.0,topology net30,ping 10,ping-restart 
120,ifconfig 10.8.0.14 10.8.0.13'

---

---

Odpovědi

[Semo]

Daj si "verb 4" a hladaj problem. A este sa mi nepaci to rucne robene routovanie cez "push route". Nachylne na preklepy. Uplne z hlavu to nedam, ale len bezne pripojenie dalsej podsiete VPN-kou sa da robit aj jednoduchsie. Pozrie niekde prikaldy konfiguracii pre podobny pripad.

[NN]

Jak vypada routovaci tabulka klienta po pripojeni? Pochopil jsem, ze spojeni probehne, ale nefunguje komunikace tunelem?

[2017]

asi to nebude reseni, ale treba jo. nechce se mi ted moc studovat vase zapojeni.

dejte si pozor na pokus predavat/routovat/natovat vaseho klienta do domaci site pres prostrednika. vse vam bude fungovat, jen ty nody na vasi domaci siti musi vedet, ze maji routovat zpetne pakety pres VPN uzel namisto toho aby pouzili lokalni pravidlo nebo typickou default gateway pro pristup do internetu.

last but not least, na serveru zapnete forwardovani v jadru a povolte v prislusnych iptables.

[bigBRAMBOR]

Ahoj, nechamu smysl tech push route. Proc nahazujes pushujes routu na 10.1.10.229 klientovi, ten prece tuto adresu uz musi znat aby se pripojil, a neni nutne mu ji pushovat. Pri nahozeni tunelu pak vzniknou virtualni sitovky tun, ktere si sami nastavi IP adresy a protoze jsou to konce stejneho tunelu, budou se videt. Neni treba zase klientovi pushovat routu na druhy konec tunelu, ktery jiz zná od nahozeni.

pokus delas point-to-point tunel, nema smysl direktiva client-to-client, ta povoluje komunikaci mezi klienty pokud más vice klientů na server.

[secido]

Mne ide prave o tu moznost, aby sa klienti navzajom videli. Routa na 10.1.10.229 sa moze hodit pri presmerovani kompletnej komunikacie cez VPN, alebo nie?

[bigBRAMBOR]

Komplet komunikaci přesměrujeme pomocí redirect gw, pushovat route na něco co vidíte je přece blbost.

[secido]

A neurobi to presne to iste? Nastavi default gw na 10.8.0.1. Aby to fungovalo musi existovat routa na ip adresu openvpn servera, alebo sa mylim?

[secido]

Vdaka za komentare a pripomienky. Aktualne na strane klienta nepridavam ziadnu routu automaticky (route-nopull). Len som pridal na strane klienta route 10.8.0.0 255.255.255.0. Na openwrt zafungovalo, windows problem. Jednoducho sa tam ta routa neobjavi aj ked podla logu bolo pridanie uspesne. Je to divne, skusal som rozne paramtere (tap-sleep, route-delay), ale nic nepomohlo. Divne je, ze pri opatovnom pripojeni sa routa 10.8.0.0 objavi, ale s povodnou gateway z predchadzajuceho pripojenia. Nechapem v com moze byt problem. Nainstaloval som medzicasom aj poslednu verziu Openvpn 2.4.3.

[bigBRAMBOR]

a proc tam pridavas routu 10.8.0.0? Zajímalo by me to.

[secido]

Potrebujem sa dostat do siete 10.8.0.0/24, kde su vsetci openvpn klienti. Inak nepingnem ani 10.8.0.1, co je vpn server.

[bigBRAMBOR]

Tahle síť se ti nahodí sama při startu klienta ovpn, netřeba pushovat routy. Celkově pushujes routy na všechno bez hlavy a paty.

[Ovrscout]

je to střelba od boku(nepoužíval jsem to takhle) ale v logu je vidět topology net30, koukněte do manualu na --topology subnet pak by to možná mohlo běžet i bez extra routovani.

[bigBRAMBOR]

musí to bezet i na topology net30, ale subnet je uz lepsi volba, pokud ma moznost nahrat si tam novejsi ovpn. On matlá dohromady nahazovani rout na tunel, které tam nejsou potreba. kdyz spojis dva P kabelem, taky tam nenahazujes routy na tu sit, ktera je spojuje, proc by jsi to delal? A tady je to stejné.

[Josef Kufner]

matláš tam routovani které není potreba, montujes dohromady directivu server a ifconfig, kdyz jedna je pro point-to-point a druha pro point-to-clients

posilam funkcni server konfigurak pro tun a topology net30, kdyz uz se mi nedarilo te nasmerovat, je to holý konfigurák, dopln dle potreby, presmeruje ti to GW, tedy netreba routy, ale na pouhe spojeni se stejne zadne nejsou potreba

mode server
dev tun
port 1194
proto udp
server 10.8.0.0 255.255.255.0
push "dhcp-option DNS 8.8.8.8"
push "redirect=gateway def1"

ca X
cert X
key X
dh X
tls-auth X
auth X
cipher X

[R]

push "dhcp-option DNS 8.8.8.8"

DNS komunikaciu nasej bezpecnej siete jebneme celu do Googlu. FUJ!

[bigBRAMBOR]

prevzal jsem nastaveni DNS z ukazky tazatele, duvod neresim...

[secido]

Ano, je to vyriesene. Kvoli Windows som musel prepnut nastavenie na dev tap. Odtvtedy funguje vsetko spravne.