Dotaz: OpenVPN klient na Win XP nedostane spravnu IP

[Pista]

Mam nakonfigurovany tunel VPN pomocou openvpn. Server je Linux Debian sarge a klient Win XP SP2. Ked mam klienta aj server nakonfigurovaneho, vygenerujem rozhranie tap na win xp. Pri spusteni service openvpn na win sa nadviaze spojenie a rozhranie dostane spravnu IP 192.168.1.2. Mozem service na klientovi restartovat velakrat, vsetko funguje. Problem nastane vtedy, ak windows restartujem. Pri spusteni service openvpn sa nadviaze spojenie, ale rozhranie tap nedostane spravnu ip, po case mu windows natlaci ip 169.254.251.170. Mozem robit co chcem, spravnu ip nedostane. Jedine ak rozhranie tap zrusim a znovu vytvorim, bude vsetko fungovat, dostane spravnu IP az do restartu windowsu.

Kde je problem? Preco nedostane tap spravnu IP vzdy?
Poradte, co mam nastavit.
Dakujem za kazdu radu.

Odpovědi

[jm]

Protoze jsou Windows rozbity... Asi bys mel zajit na radu nekam jinam.

[koca]

jm, ty tvoje rady jsou uzasne.. to radsi mlc

[jm]

No, tak neco chytreho porad, ne? Ja se taky nechodim ptat na fora o Windows, proc mi nejde rozchodit VPNka pod Linuxem...

[koca]

to neni jen tady o tom foru:

Hmm, ja byt zakaznikem a zakazat mi nekdo WU, tak jdu asi o dum dal...

to je taky rada jak prase.

[hkhk]

tezko radit s takovym malem informaci; urcite by pomohlo zaslani vystupu z takoveho okenka na klientovi a take klientskeho configu. predpokladam taky, ze pouzivate posledni verze openvpn. vzpominam si, ze s beta v2.0 byl nejaky podobny problem... tipoval bych, ze pomuze pridani parametru tap-sleep 10 (s hodnotou ve vterinach pak doporucuji v pripade uspechu experimentovat) pomuze.

[Pista]

Dakujem za radu, vyskusam. Verziu openvpn mam najnovsiu 2.0 v pondelok stiahnutu z netu. Konfigurak na klientovi prikladam:

tls-client
pull
dev tap
proto udp
remote moj.server.sk 1194
resolv-retry infinite
nobind
user nobody
group nobody

ping 15
ping-restart 45
ping-timer-rem

persist-key
persist-tun
ca CA.crt
cert client1.crt
key client1.key

comp-lzo
verb 3
mute 20

[hkhk]

Celkem se divim, ze to takhle alespon trochu funguje. Nemam ted pred sebou Widle, abych to odzkousel... bude tam ale asi jeste chybet radka dev-node "presne jmeno adapteru v ovl. panelech", napr "dev-node openvpn". Taky nerozumim tomu, ze na tebe openvpn nekrici, kdyz pouzivas "user","group" - to by nemelo byt na tomhle OS podporovane. Soude podle "dev tap" pouzivas bridging ethernetu, ze?

[tezkatlipoka]

me to chodi spolehlive (OpenVPN), user a group asi opravdu na Win je nesmyslne nastaveni.

Co pouzivas na Win za klienta? OpenVPN pro Win se da nastavit jako klient, ale taky jsou minimalne dva GUI clienti.

[Pista]

Dakujem za rady. Odpovede na niektore otazky su taketo - GUI zatial nepouzivat, tunel ovladam zastavovanim a spustanim service openvpn. User a group su pri Widlach nezmysly, odstranil som to (daval do logu warning), doplnil som do konfigu dev-node openvpn (nazval som tap rozhranie openvpn) aj tap-sleep 10.

Vysledok testovania - Ak zakazem tap rozhranie a povolim ho, spustim sluzbu, nadviaze sa konekt, tap dostane spravnu ip, vsetko funguje. Mozem sluzbu openvpn zastavovat a spustat niekolkokrat, funguje to OK. Po restarte PC uz tap rozhranie spravnu IP nedostane.

V logu na klientovi je toto

Route addition via IPAPI failed

[jm]

Hmm, ja byt zakaznikem a zakazat mi nekdo WU, tak jdu asi o dum dal...

to je taky rada jak prase.

Ano, to opravdu je rada k nezaplaceni... Aneb neni nad to nasrat zakazniky - ale ti treba pochopis pozdeji. A jestli ne, tak tvoje minus. P.S. Souviseji debatu presun do souvisejici threadu.

[imro]

client
tls-client
dev tap0
proto udp
port 5000
remote xyz.xyz.xyz.xyz

ca   "ca.crt"
cert "client.crt"
key  "client.key"

cipher BF-CBC
comp-lzo
persist-key
persist-tun
ns-cert-type server

Neviem ako mas nakonfigurovany server,ale tu je moja konfiguracia klienta,ktora mi na WinXP SP2 chodi bez problemov.Tie pingy som vyhodil,lebo mi robili iba problemy.Svoje virtualne zariadenie si vhodne premenuj-ja ho vzdy premenujem na widlach na tap0,zadaj IP adresu servra,spravny port a zmen si aj pouzivane sifrovanie.Ja pouzivam Blowfish,ktory widlaci tiez vedia.Posledny riadok urcuje,ze klient ockava certifikat od SSL servra.Ak taky nemas,tak ten riadok zmas.S pozdravom Rasto Manak

P.S.Ja mam na druhej strane debiana-novy sarge.Ty pouzivas co?

[Pista]

Moja konfiguracia klienta je o niekolko prispevkov vyssie. Ty nemas pull. Ako Ti prideluje IP adresu server a ako nastavuje routovaciu tabulku? Ten moj problem je asi niekde vo widlach, lebo vsetko funguje az do restartu stroja. Po restarte ako by to tap rozhranie nebolo v poriadku, openvpn mu nedokaze nastavit ip a ked dam ip natvrdo, tak aj tak pingy nejdu. Aky mas windows a SP? Ja mam WinXP prof SP2 SK. Mas aj antivirus a firewall? Ja mam Avast a Kerio. Aj ked som kerio vypol, nepomohlo. Uz som z tych widiel zufaly.

[imro]

tls-server
port 5000
proto udp
dev tap0

ca   /etc/openvpn/certifikaty/FW3/ca.crt
cert /etc/openvpn/certifikaty/FW3/fw3.crt
key  /etc/openvpn/certifikaty/FW3/fw3.key
dh   /etc/openvpn/certifikaty/FW3/dh1024.pem

server 172.31.0.0 255.255.0.0
push "route 192.168.0.0 255.255.255.0"
push "route 192.168.210.0 255.255.255.0"
push "route 172.16.0.0 255.255.0.0"

duplicate-cn
persist-key
persist-tun
#keepalive 10 120
comp-lzo

cipher BF-CBC
user           openvpn
group          openvpn
log-append     /var/log/openvpn/fw3.log
status         /var/log/openvpn/fw3-status.log
verb           4

Toto je moja konfiguracia servra.Ako som ti spominal,vsetky veci okolo keep alive time a pingov som zrusil.Toto mam na debian-sarge.Na druhej strane mam klientov,ktory pouzivaju WinXP SP2 CZ.Vsetci maju antvirus,-pouzivame AVAST a poniektory ak sa v tom vyznaju aj spominane KERIO firewall.Problemy nikdy s openvpn neboli.Ani na strane windows,ani na strane servra.Pozri sa este,ci nemas na svojom tap zariadeni spusteny windows firewall.To tiez robi problemy.A mimochodom,aby si mohol v pohode na widlach pouzivat openvpn,musis mat administratorske prava.To je koli tomu,aby ked ti pride routa od servra,tak widle musia zmenit routovacie tabulky.A to mozes iba vtedy,ak si root.Taktiez moze byt problemom,ak ti klient pristupuje cez proxy.Ja ako sifrovanie pouzivam spominane Blowfish,na autentifikaciu certifikaty.Tot asi vsetko.

[hkhk]

- neaplikuji na na tech widlich nejake group policy? - urcite overit administratorska prava - zkusit, jestli nepomuze "route-method exe", pak by to ukazovalo ne nejake porouchane ipapi

[hkhk]

napada me, jestli by nepomohlo uplne vypnout sluzbu toho keria, nebo to jeste lepe odinstalovat. to je dalsi mozna pricina.

[Pista]

Ani vypnutie Keria nepomohlo. Vygoogloval som toto:
google na retazec "tap-win32"
a jedna z odpovedi:
Predmet odpovede: Re: [Openvpn-users] Windows XP SP2: TAP-Win32 non-functional after boot

cast textu odpovede:This is the old unexplained mystery of SP2.

Teraz by mi pomohlo, keby mi niekto poradil ako sa da v prikazovom riadku zakazat a povolit sietove rozhranie.