Dotaz: ovpn - dlhe cakanie na connect

[jany2]

Mam na ubuntu v LAN nainstalovany OpenVPN 2.3.2 x86_64-pc-linux-gnu. Aby sa klient vedel pripojit z wan tak na gateway routery mam NATovany port 1194 a vo firewalle povolene pravidlo pre udp port 1194. Priblizne pol roka (mozno aj dlhsie) fungovalo vsetko korektne. Teraz uz asi mesiac mi klienti hlasia, ze ak spustia stroj (box mipsel), tak to trva celkom dlho, kym ziskaju adresu s ovpn servera (cca 2-3 minut). Skusil som teda otestovat ovpn priamo v LAN (kedze momentalne nemam moznost testovat z wan).
Vysledok bol taky, ze problem mam aj v LAN, cize vylucujem nekorektne nastavenie na routery. IP adresu z vpn ziskam az po par minutach (nie okamzite), ale potom vsetko funguje ako ma, problem je len, ze to dlho trva.
Tu su linky z configov a logy
client.conf
client log tu som nainstaloval aj ntp updater, lebo som si myslel, ze to blbne kvoli casu
client log bez ntp updatera
server.conf
V /etc/openvpn/ccd/clientx je subor s nazvom klienta a v subore je zapis kvoli statickemu pridelovaniu ip klientom (kde x je nejake cislo)

ifconfig-push 10.8.0.x

(kde x je nejake cislo).
Ako som uviedol, pripojenie trva dost dlho co je vidiet aj v logu u klienta. Problem je mozno v blbom case, ze ked sa zapne klient, tak cas zacina, Jan 1 01:00 ...
Co sa tyka klucov a certifikatov, tak to by malo byt vsetko v poriadku. U klienta su v /etc/openvpn, client.conf, ca.crt, client.key, client.crt
Nie som si vedomy toho aby som na servery nieco menil (max. som mohol robit apt-get install update, apt-get install upgrade)

Odpovědi

[Kit]

Staré pravidlo: Když něco dlouho trvá, hledej chybu v resolveru.

[Josef Kufner]

Také jsem se setkal s tím, že zdržovalo resolvování IP adresy, aby bylo možné do logu napsat vedle čísílek i jméno.

[jany2]

/etc/resolv.conf obsahuje jediny riadok

nameserver 192.168.1.1

[Josef Kufner]

A u klienta před připojením k VPN je situace jaká?

[jany2]

hodil som v prvom prispevku linky na logy u klienta. V prvom logu je nainstalovany v boxe aj ntp updater, lebo som si myslel, ze problem vznika preto, ze je neaktualny cas, ale openvpn hlasi error este pred updatom casu.

Potom som ntp updater odinstaloval a chova sa to asi tak isto (to je druhy log).

[Josef Kufner]

Ach. No vidíš :)

V logu vidím tři problémy:

1. Hned na začátku chyba o neplatném certifikátu. Což je tím, že není nastaven správný čas před prvním pokusem o připojení. Takže první pokus selže a čeká se na druhý.
2. TLS Error: Unroutable control packet received from [AF_INET]192.168.1.3:1194 (si=3 op=P_CONTROL_V1) – Něco je špatně s routováním. Proto selže druhý pokus, ale pak se to podivně povede na potřetí (což znamená dalších 60 sekund zdržení). Jak vypadají routovací tabulky pred, během a po připojení k VPN?
3. WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info. – Nastav si kontrolu certifikátu, jinak nemáš jistotu, že komunikuješ se svým serverem. (Ale to nezpůsobí to zdržení.)

[jany2]

Pred pripojenim

default via 192.168.1.1 dev eth0 
192.168.1.0/24 dev eth0  src 192.168.1.192 

Po pripojeni

default via 192.168.1.1 dev eth0 
10.8.0.0/24 dev tun0  src 10.8.0.152 
192.168.1.0/24 dev eth0  src 192.168.1.192 

neviem ako zistit pocas pripajania.

[jany2]

TLS Error: Unroutable control packet received from [AF_INET]192.168.1.3:1194 (si=3 op=P_CONTROL_V1)

podla toho je problem s casom. Box nema zrejme vnutri baterku, aby udrzoval cas a ked sa box spusti, tak vzdy zacina od 01. januar 1970 a bohuzial openvpn sa zacne connectovat uz vtedy, ale kedze je rozdielny cas na servery a na klientovy, tak to hadze dane errors.

Cas sa aktualizuje s DVB transpondera, ale to az vtedy ked sa naladi tuner (cize hned po nabehnuti systemu). Box by mal tiez pouzivat busybox-ntpd. Takze v podstate mam 2 moznosti ziskat spravny cas rychlejsie ako zacne pracovat openvpn, alebo posunut start openvpn az kym neni v boxe korektny cas.

[Jendа]

To ovšem neříká nic o tom, že ten DNS server odpovídá, případně že na nestandardní dotaz, ke kterému tam může dojít (požadavek na přeložení RFC1918 adresy, požadavek na přeložení custom jména s .local TLD…), odpoví v rozumném čase.

[jany2]

nejako z toho vsetkeho nie som mudry :(