Dotaz: komunikacia s vpn cez wifi ok, cez mobilny net blbne

[jany2]

Mam taky mensi problem. V domacej sieti (192.168.1.0/24) mam ovpn server (10.8.0.0/24). Vo vpn sieti mam nejake web servery. Ak sa prihlasim na vpn web servery ked som v LAN, tak to funguje bez problemov (myslim wifi lan). BTW prihlasujem sa s mobilom kde je tento klient Ak sa prihlasim aj z wan (cez nejaku wifi) tak to funguje tak isto dobre a celkom rychlo. Problem je ak sa prihlasim cez mobilnu siet 2G a 4G (4ka.sk). Podotknem, ze prihlasenie do vpn siete prebehne bez problemov, ale problem je dostat sa na web servery. I ked sa na ne obcas dostanem, tak trva to hooooodne dlho, cez 1 minutu a aj dlhsie a vela krat sa tam ani nedostanem (je mozne, ze subory webu su v cache, tak sa mi zobrazi web, ale online tam niesom).

Nevidim tam ziadnu prekazku, preco to dalej nechce, resp. tak pomaly reaguje ked k vpn som pripojeny (zeby bol problem v mob. internete ??)

Odpovědi

[007]

Problem bude v DNS

[jany2]

pripojenie

log pripojenia z mobilu

OpenVPN Client free release 2.15.10 (1021510)
OpenVPN 2.3.13 android-armeabi [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Dec  2 2016
library versions: OpenSSL 1.0.2j  26 Sep 2016, LZO 2.09
WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Attempting to establish TCP connection with [AF_INET]xx.xx.97.158:1194 [nonblock]
TCP connection established with [AF_INET]xx.xx.97.158:1194
TCPv4_CLIENT link local: [undef]
TCPv4_CLIENT link remote: [AF_INET]xx.xx.97.158:1194
WARNING: INSECURE cipher with block size less than 128 bit (64 bit).  This allows attacks like SWEET32.  Mitigate by using a --cipher with a larger block size (e.g. AES-256-CBC).
WARNING: INSECURE cipher with block size less than 128 bit (64 bit).  This allows attacks like SWEET32.  Mitigate by using a --cipher with a larger block size (e.g. AES-256-CBC).
[server] Peer Connection Initiated with [AF_INET]xx.xx.97.158:1194
do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
TUN/TAP device  opened
Initialization Sequence Completed

[Max]

Já jsem OpenVPN vzdal a všude nasazuju Ipsec (IKEv2), bude článek (jak o IKEv2, tak o L2TP), jen musím vyřešit jednu menší drobnost u iOS a Win.
Nejde zvýšit úroveň logování? Nejde z toho poznat, zda se regulérně provedl push rout.
Jinak můžeš třeba přes ConnectBot zjistit, jaký dns máš nastaven a jaké routy jsou nastaveny?
Zdar Max

[jany2]

Cez my ip address pozeram ze ked som pripojeny 2G/4G, tak tam neni ziadna dns resp. nic neukazuje my ip address

[Max]

Jak už jsem napsal, nejlepší diagnostika je použít app ConnectBot, připojit se na localhost, tím se dostaneš do shellu a pak můžeš použít klasické příkazy na zobrazení přidělených adres, dns serverů, nastavení routování apod.
Spoléhat se na výpis některých klikacích app, o kterých je známo, že toho moc neumí, není moc dobrý nápad .
Zdar Max

[jany2]

Ono mi to uz nejak zacalo fungovat, ale neviem pricinu. Z connectbot ifconfig, ale nejde to skopirovat cele hmmm ....

          TX packets:48 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:4504 TX bytes:5007
 
dummy0    Link encap:UNSPEC
          inet6 addr: fe80::14b7:9aff:fe97:7f11/64 Scope: Link
          UP BROADCAST RUNNING NOARP  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:40 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:0 TX bytes:4612
 
p2p0      Link encap:UNSPEC
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:0 TX bytes:0
 
rmnet_data0 Link encap:UNSPEC
          inet addr:100.64.23.244  Mask:255.255.255.248
          inet6 addr: fe80::2f06:cbd9:6273:604b/64 Scope: Link
          UP RUNNING  MTU:1500  Metric:1
          RX packets:300388 errors:0 dropped:0 overruns:0 frame:0
          TX packets:214173 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:307877452 TX bytes:108140156
 
lo        Link encap:UNSPEC
u0_a119@kate:/ $ ifconfig
          inet6 addr: ::1/128 Scope: Host
u0_a119@kate:/ $ ifconfig
          RX packets:53795 errors:0 dropped:0 overruns:0 frame:0
          TX packets:53795 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:6119588 TX bytes:6119588
 
u0_a119@kate:/ $ ifconfig

[Max]

Tak až to budeš někdy znovu řešit, tak použij :
ip a
ip route
nslookup google.com
Zdar Max

[jany2]

Tak to pekne popis aby to pochopili aj menej chapavejsi :) aby sme mohli testovat

[jany2]

Podla tohto clanku sa javi najlepsie openvpn (i ked IKEv2 neni spatne, ale mal v tom prsty microsoft :) no uz by to malo byt od nich ocistene )

[Max]

Nechci tady opisovat přípravu na článek, ale tady jsou hlavní důvody, proč IKEv2 a né OpenVPN :
1) IKEv2 je ve všem (iPhone, Windows, Linux, MAC, Blackberry, Windows Phone). To je ve firmě docela důležité, protože většinou existuje značná pestrost zařízení. Jeden manager ti řekne, že chce iPhone a co budeš dělat s OpenVPN? Strčíš si ho někam. To samé v případě dalších zařízení.
2) v androidu je sice třeba doinstalovat strongswan klienta, ale člověk dostane bonus v podobě importování profilu, krásné logy, které je možné hned odeslat emailem, 100% funkční navazování spojení v případě pádu linky, nebo přepnutí sítě wifi vs LTE apod. (to se hodí pro různá PDA, se kterými lidi pracují neustále a není moc žádoucí, aby řešili nějaké navazování spojení). Co jsem tak testoval naposledy, OpenVPN s tím má značný problém a L2TP taktéž není tak stabilně připojeno.
3) funguje bez admin práv. Ano, ve win musíš naladit certifikát CA jako admin, ale to lze řešit distribucí v rámci AD, oficiální OpenVPN lze po nainstalování používat bez admin práv, ale je to boj, jednodušší je použít alternativní klienty jako např. SecurePoint.
4) není problém s provozováním NAT(klient) - NAT(server), ani není problém s provozem více klientů za stejným NATem proti serveru za NATem. S OpenVPN asi také problém nebude a L2TP mám rozjeto taktéž není problém.
5) L2TP mi funguje také jako IKEv2, ale má proti IKEv2 pár nevýhod, takže proč ho nasazovat.

OpenVPN má tu výhodu, že umožňuje líp řešit routování a různé policy oproti klasickému IPSECu (IKEv2), ale zjistil jsem, že nic spešl nepotřebuji a IKEv2 mi plně dostačuje.

V mém průzkumu do firemního prostředí mi vyšly dvě možnosti, buď IKEv2, nebo nějaké komerční řešení jako třeba cisco anyconnect, který má pro všechny zařízení klientské app. Takové řešení pak samozřejmě nabídne dalších hafec věcí, ale také si to člověk zaplatí.
Zdar Max