Dotaz: Správa routeru přes OpenVPN

[blr]

Zdravím,

řeším následující problém:

Přes OpenVPN se potřebuji dostat do administrativního rozhraní routeru (TP-Link, obyč. router)

Ve vnitřní síti na adresách 192.168.0.0/24 mám připojený server, kde jede OpenVPN - klientské adresy 10.8.0.0/24.

Pokud udělám tu věc, že síť 192.168.0.0/24 namapuji na nějakou mou virtuální síť připojenou k OpenVPN a přepíšu zdrojovou IP všech paketů na adresu serveru, na rozhraní routeru se dostanu (jak by taky ne, když to vypadá, že se ptá server), ale v HTML kódu je obsažena IP serveru a ne mou přemapovaná síť (což je logické), takže to nefunguje.

Čili mi nezbývá než se pokusit k rozhraní připojit s IP adresou klienta OpenVPN, ale zde je problém, protože router si myslí, že na LAN port se dostává adresa z WAN a pakety zničí.

Jak to mám obejít?

Díky

Odpovědi

[Dejv]

Co treba nejaka "vzdalena plocha" ve vnitrni siti, nebyla by k dispozici? Aspon na chvili, nez si na routeru povolis pristup ze sve OpenVPN IP.

[blr]

Vše mám teď k dispozici. Potřebuji to nakonfigurovat a potom odvést.

Otázka je, jak mám přinutit router, aby mě pustil do svého rozhraní z OpenVPN IP která přijde na jeho LAN port ze serveru.

[Petr Šobáň]

Prostě musíš v síti OpenVPN používat stejné IP jako v LAN prostě musí to být jedna síť, na druhém konci OpenVPN musí mít ten PC taky 192.168.0.x.

A nebo na té bráně OpenVPN musíš překládat IP dělat NAT na nějakou z rozsahu lan.

A v prohlížečích jde zablokovat aby v http požadavku bonzovali svoji IP.

[blr]

Prostě musíš v síti OpenVPN používat stejné IP jako v LAN prostě musí to být jedna síť, na druhém konci OpenVPN musí mít ten PC taky 192.168.0.x.

Jedním s cílů OpenVPN je separace a filtrování. Toto si bohužel nemohu dovolit.

A nebo na té bráně OpenVPN musíš překládat IP dělat NAT na nějakou z rozsahu lan.

Ano, to funguje. Ale v HTML kódu z routeru je ta přeložená IP adresa a v prohlížeči na straně klienta OpenVPN to dělá bordel.

A v prohlížečích jde zablokovat aby v http požadavku bonzovali svoji IP.

Obávám se, že to je na úrovni IP..

Pomalu se smiřuji s tím, že to nepůjde...

[lertimir]

Prostě musíš v síti OpenVPN používat stejné IP jako v LAN prostě musí to být jedna síť, na druhém konci OpenVPN musí mít ten PC taky 192.168.0.x.

Jedním s cílů OpenVPN je separace a filtrování. Toto si bohužel nemohu dovolit.

Separace a filtrování klidně, ale proč takhle blbě. ty NAT rozsahy zatemňují lidem mozek. představ si, že jsi dostal 192.168.0.0/16 a tam si separuj a filtruj. treba tak 192.168.8.0/24 bude VPN. a routovaci tabulka na routeru bude 192.168.0.0/24 přímo připojená LAN a 192.168.8.0/24 na next hop router, což je server. když bys mel velký rozsah verejnych adres tak to delas také tak. stejně tak mužes asi mít i next hop router na svem routeru i nyní na sít 10. dost pravdepodobne, když bys měl na serveru i routeru v provozu RIP, tak se o směrovací tabulce domluví

[blr]

Neřešte z jakého důvodu je OpenVPN rozsah 10.8.0.0/24. Prostě je takový. Otázka je, zda to router nějak zkousne (a já mám problém v routování nebo v jiné konfiguraci), nebo ne.

[Petr Šobáň]

A jak to máme vědět?

Pokud máš vše nastavené správně a paket k routeru projde tak to máš nastavené OK.

Do FW routeru nevidíme může tam být ochrana že jak přijde paket z nějaké IP kterou roterův DHCP nepřidělil tak to bude považovat za útok.

Taky tam může být nějaká ochrana v firewallu, špatně nastavené routování ....

Prostě aby jsi to obešel musíš pro ten PC který tam jde z jiné IP provádět NAT ten musíš provádět obouma směrama.

Prostě 10.8.0.10 musíš přeložit na 192.168.0.10 a tak i spátky 192.168.0.10 na 10.8.0.10 a todle musí fungovat.....

[blr]

Tohle nefunguje z toho duvodu, ze FW v routeru vygeneruje html kod obsahujici javascript presmerovani na adresu 192.168.0.10, coz na klientskem pc s adresou 10.8.0.10 nefunguje.

Ano, jde mi o vlastnost routeru, konkretne firmy TP Link. A mam-li to napsat bez souvislosti, jde mi o zkusenosti diskutujicich, kteri toto zkouseli. Pokud nevite, nepiste. Diky.

[embargo]

Chlape, a ten TP-Link vi, kudy ma routovat odpovedi na adresy 10.8.0.0/24?

[blr]

Ano.

[lertimir]

pokud adresu 10. interpretuje jako adresu z wan tak nevi

[blr]

Adresy 10.8.0.0/24 ma na statickem routovani. Pokud se nektery z klientu routeru dotaze na ony adresy, pres nastavene routovani se dostane kam ma. Otazka je, jak to funguje opacne, resp. jestli tyto routery to okamzite vyhodnoti jako wan i presto, ze v routovani je nastaveno 10.8.0.0/24 poslat na 192.168.0.x, coz je v lan.

[Andrej]

Jak to mám obejít?

IPv6 + IPSec.

[dan]

ak je na tom openvpn serveri v lan ssh pristup tak by som skusil socks proxy, vtedy budes mat ip toho servera

[blr]

Nevím co to je, ale SSH mám, mrknu. Díky za tip

[dan]

ja to riesim tak ze v putty nastavim forward portu 1080 dynamic, a v browseri nastavim socks proxy na 127.0.0.1:1080, po pripojeni tej sessny v putty browsujes ako keby si bol na tom serveri kde si pripojeny tym putty, pripadne ak chces ist na ssh tak si nastavis to proxy v putty, samozrejme to je len na obcasnu konfiguraciu ak chces aby sa 20 ludi vedelo pripajat na ten router tak to nieje uplne vhodne.

[kamen]

co tak pridat staticke routovani na tom routeru?

[kamen]

svizel muze byt pri ceste zpet, to muze ten cilovy klient pouzit svoji vlastni route co dostane pri ziskavani ip. ale protoze ten router je ten cil, mohl by pouzit to routovani co je na nem nastavene.

[blr]

IP jsou statické. OpenVPN síť je ručně přidaná do routovací tabulky, viz. výše.