Dotaz: vpn spojenie nefunguje

[jany2]

Mam 2 zariadenia

Linux_x86_64-OpenVPN-server <---INTERNET--->Local_ISP<---->Linux-OE (Open Embedded)-OpenVPN klient

Medzi Local_ISP a Linux OE je zrejme este nejaky UBNT, alebo nieco podobne od ISP a za tym este domaci LAN router.

Na OpenVPN server sa pripaja viac klientov zo siete internet a vsetko funguje korektne, cize OpenVPN server je v poriadku.

Jeden klient sa vsak nedokaze pripojit. Na zariadeni Linux OE som bez problemov opingal IP adresu OpenVPN servera, cize spojenie existuje.

Zariadenie Linux OE sa pripajalo na OpenVPN server vzdy bez problemov, ale od urciteho casu to prestalo fungovat. Mam taky pocit, ze ISP zacal blokovat nejake porty a okrem toho aj 1194. Ako by som mohol preverit, ci je otvorena cesta od klienta na openvpn server? Prip. vie ISP zablokovat VPN spojenie aj na vrstve 7 ? Skusil som u klienta zmenit port z 1194 na iny a spojenie tiez nefungovalo.

Odpovědi

[Max]

OpenVPN má logy, zapnout lepší logování : verb 3 a poslat chybu/log mailem?
Případně na klienta naladit TemViewer (či jiné dočasné řešení) a ověřit ručně povolené porty, kolize segmentů atd.
Zdar Max

[jany2]

Cez teamviewer (TV) sa viem napojit do klienta. Cize viem sa dostat aj na LAN v ktorej je pripojeny Linux OE. Takto som testoval z Linux OE aj ping na OpenVPN server (ktore fungovalo). Ked uz som prihlaseny cez SSH do Linux OE, tak viem to nejako preverit, ci je otvorena cesta k OpenVPN serveru na port 1194 ?

V Linux OE su len nastroje z busyboxu. Zaznamy sa ukladaju zrejme do /var/log/messages tak skusim pozret (bude fungovat verb 3 aj na OE?).

[PetebLazar]

Ako by som mohol preverit, ci je otvorena cesta od klienta na openvpn server?

Zjistit pod jakou IP adresou se Embedded klient do Internetu připojuje (zabrouzdat z nej, ci z jineho zarizeni ze stejne LAN na napr. http://mojeip.cz) a pak na OpenVPN serveru ověřit zda přichází UDP packety na port 1194 z teto verejne adresy. tcpdump -n -i eth_dev | grep aaa.bbb.ccc.ddd

[jany2]

Nechcem tu spamovat, ale po 2-3 odpojeniach OE od siete a pripojeni to normalne funguje. Skusil som na servery aj tcpdump a pakety normalne chodili. V OE zariadeni som si v logu vsimol ale dost vela timeoutou, ale napokon sa to pripojilo a teraz to ide.

Problem je ze neviem zistit, preco to neslo predtym. Jedine ze pozrem vo /var/log/messages, ale z toho logu nie som prilis mudry a log uz ani neexistuje.

Skor by som privital (ak by bol podobny problem v buducnosti (lebo toto sa uz stalo druhy krat)), keby slo zistit, kde sa to zasekne, ked sa to ma pripojit.

Na OE je tento config

dev tun
client
proto tcp
remote remote_address 1194
ca ca.crt
cert client.crt
key client.key
port 1194
persist-key
persist-tun
dhcp-option DNS 8.8.8.8

Podla mojej logiky by openvpn klient mal fungovat tak, ze vezme z konfigu z riadku remote, IP adresu (alebo dns meno) a skusa kontaktovat server na druhej strane. Ked spustim na servery tcpdump, tak by som od klienta mal vidiet nejake pakety (myslim pakety z verejnej IP na ktoru je napojeny). Ak tam nic nevidim, tak to drhne uz niekde u klienta, alebo po ceste od neho k ISP.

OpenVPN u klienta sa snazi, videl som tam timeouty. Teraz uz nie som pripojeny, takze si nepamatam presne, ten vypis z messages, ale viem, ze openvpn sa snazil kazdych 5 sekund pripajat.

[PetebLazar]

Možná zkusit zapnout logování (rozumného detailu) na OpenVPN klientu pokud to zařízení prostorově/robustností dovoluje. Třeba by se z toho dalo něco v době nefunkčnosti dozvědět.

[jany2]

Port 1194 sa standardne pouziva pre OpenVPN sluzbu. Linux OE po restarte neuchovava logy. Ale ked som pozrel po poslednom restarte, tak v logu boli timeouty. Uz si teraz presne nepamatam, ale mam dojem, ze openvpn klient sa skusal pripajat na openvpn server a tam to hadzalo timeouty.

Predpokladam, ze timeouty su odpovedou (okrem ineho) na nedostupny server, alebo blokovany port. Server je ale dostupny stale. Chcem sa teda opytat ci moze ISP zablokovat port 1194 a tym znemozni klientovy pripojit sa na openvpn server. Ping medzi Linux OE a Openvpn serverom fungoval normalne (ale openvpn spojenie nefungovalo, TUN sa nevytvoril).

Ked chcem overit ci je na servery otvoreny port, tak pouzijem napr. tento checker ale je mozne overit to nejak u klienta, ci je cesta od servera ku klientovy na porte 1194 priepustna ?

[PetebLazar]

Čekal bych, že jedině asi pokusem a jeho výsledkem. Zachycení klientem odeslaného packetu na straně serveru.

Že by provider blokoval port 1194 je sice možné, ale asi málo pravděpodobné. A pokud by tak vědomě činil, byl by v tom patrně značně konzistetní.

[jany2]

Ako nie profesional som isiel na riesenie problemu, pokus-omyl. Na OpenVPN server sa pripaja viac Linux OE zariadeni a vsetky funguju bez problemov. Problem je len z jednym zariadenim. Najprv, aby som vylucil chybu OE zariadenia, tak som ho fyzicky pripojil na uplne iny zdroj internetu a tam fungovalo uplne normalne. Tak isto som vzal ine OE zariadenie (toho isteho typu) a fyzicky som ho pripojil na ten internet kde inkriminovane zariadenie nefungovalo. Cuduj sa svete, nefungovalo ani to, ktore inde fungovalo. V takomto pripade som vylucil HW, alebo SW problem zariadenia a problem som hladal smerom od OE zariadenia az k ISP.

V tejto ceste stoji

Linux OE <---> LAN router <---> Klientske zariadenie (UBNT ... alebo nieco podobne) <---wifi_k_ISP ---> ISP <---internet --->

LAN router je nejaky lacny tp-link, alebo nieco podobne a je nastavene v defaulte, klasicky NAT. Tam problem nevidim.

Do UBNT sa zakaznik nedostane, lebo spravcom je ISP.

Cize na tomto mieste som skoncil s tym, ze OpenVPN nefunguje. Skusal som to ako mi bolo doporucene, cez tcpdump som na openvpn servery ocakaval pakety od OE klienta, ale neprisiel ani jeden paket.

Usudil som teda, ze niekde je to blokovane a preto som zacal podozrievat ISP.

Este pripomeniem, ze internet, ping ... na OE zariadeni funguju (problem je vytvorit len openvpn spojenie).

[PetebLazar]

Pak bych asi zkusil změnit konfiguraci OpenVPN klienta na OE a nastavil mu jiný cílový port než 1194 a na serveru pak zkusit zachytávat packety právě na tomto změněném portu.

Pokud by to procházelo, pak je tu asi možnost v rámci OpenVPN serveru redirectnout tento jiný port na 1194 (samozřejmě po posouzení případných dopadů na bezpečnost)?

[jany2]

V prvom prispevku som uz uviedol, ze bol zmeneny aj port na iny ako 1194 (1199). Samozrejmost je aj nastavenie servera (resp. premapovanie portu na routery z 1199 na 1194).

Otestoval som ci je port 1199 otvoreny a vyskusal som ine zariadenie nastavit na 1199 a fungovalo bez problemov. Inkriminovane zariadenie nefungovalo ani na port 1199, cize ma napadlo, ci ISP neblokuje komunikaciu VPN na L7

[samalama]

a povedz, ako ti asi isp bude blokovat trafik na aplikacnej vrstve (ktora s openvpn aj tak nema nic spolocne), ked uz na transportej vrstve je to sifrovane...? btw ten primitivny test

vpn-client$ nc -v ip.adresa.vpn.servera vpn_port
vpn-server# tcpdump -vn -i wan_iface 'host ip.adresa.vpn.clienta'

si uz konecne vyskusal...?

 

upozornujem, ze v linuxe som vecny zaciatocnik ...

vzhladom na to, ake "projekty" akoze robis, tak OMG...

[jany2]

netcat som zatial neskusal. BTW sorry, ze som sa vobec pytal na L7, ked openvpn ide na L3 resp. L2, fakt sorry.

A co sa tyka tych projektov a OMG, tak to je moj domaci projekt, ja nie som zamestanany v IT a robim to len preto ze ma to bavi. Ak mi nieco nefunguje, tak hladam riesenia, alebo sa pytam. Nikto nespadol z neba mudry.

[PetebLazar]

K tomu nc asi parametr "-u", můžeme předpokládat že není masochista a neprovozuje OpenVPN nad TCP.

[samalama]

deformacia. vsetky firemne openvpn mam cez tcp a ziaden problem...

[jany2]

Ja ked som instaloval openvpn pred niekolkymi rokmi, tak som isiel cez UDP. Po urcitom case sa nieco pokaslalo a aj ked openvpn fungoval, ale klientovy trvalo pripojenie od 1 do 5 minut. Ked sa pripojil, tak to fungovalo normalne. Googlil som ohladom tohto problemu a skusal som rozne riesenia, ale skor nefungovali ako fungovali. Nakoniec som nasiel na jednom fore kde radili aby sa vyskusalo TCP (namiesto UDP) a od vtedy idem aj ja cez TCP.

[PetebLazar]

Omlouvám se, to jsem přehlédl. Funguje na server i ping s větší zvolenou velikostí packetu (dorazí celý)?

[GeorgeWH]

tcpdump -n -i eth_dev | grep aaa.bbb.ccc.ddd

To je nieco ako cat file | grep string, namiesto grep string file? Cize tcpdump -vn -i net_dev 'host aaa.bbb.ccc.ddd'?

[PetebLazar]

A spočetl jste si, že ta Vaše verze má o znak víc než ta má (nepočítaje v to luxus dvou nadbytečných mezer pro přehlednost kolem pipe v mé verzi)?