Fórum Root.cz
Hlavní témata => Sítě => Téma založeno: RadimXXXX 02. 05. 2017, 08:33:25
-
Zdravim panove,
rozjizdim vpn server mezi pobockami. VPNka funguje smerem z vedlejsi pobocky (klient) bez problemu. Problem je, ze ze serveru openvpn si nepingnu do vnitrni site za klientem. Takze z pobocky muzou pristupovat na server kam potrebuju aby meli pak na dalsi sluzby ve vnitrni siti ale ja nemuzu ze serveru spravovat jejich vnitrni sit.
Server Ubuntu 16.04 a klient mikrotik RB750G. Ping na klienta 192.168.150.6 ze serveru funguje.
Na serveru po pripojeni nahodi routa
172.16.0.0/24 via 192.168.150.2 dev tun5
ip adresa 192.168.150.2 neni ip adresa klinta ktery dostane 192.168.150.6.
ip ad show
tun5: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 100
link/none
inet 192.168.150.1 peer 192.168.150.2/32 scope global tun5
valid_lft forever preferred_lft forever
inet6 fe80::13d2:fada:59d1:60f8/64 scope link flags 800
valid_lft forever preferred_lft forever
Podle vypisu soudim ze peer by mel mit 192.168.150.2
Konfigurace serveru:
local 213.XXX.XXX.XXX
port 1149
proto tcp
dev tun5
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/Server.crt
key /etc/openvpn/keys/Server.key
dh /etc/openvpn/keys/dh1024.pem
server 192.168.150.0 255.255.255.0
ifconfig-pool-persist ipp.txt
keepalive 10 120
cipher AES-256-CBC
auth sha1
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn/vpngate-status.log
verb 5
plugin /usr/lib/openvpn/openvpn-plugin-auth-pam.so login
push "route 10.15.0.0 255.255.255.0"
push "route 10.16.0.0 255.255.255.248"
client-config-dir client-configs
daemon
max-clients 5
route 172.16.0.0 255.255.255.0 # sit za klientem
Na mikrotiku nic zvlasniho - proste se pripoji a dostane vsechny routy jak ma. Kdyz jsem poslal ping ze serveru na mk tak v torchu jsem nevidel zadne pakety.
-
firewall na mikrotiku jsi kontroloval?
-
Jasne - to bych jsem ani nepsal kdybych sam neprovedl vsechny kroky.
-
On proste nevi kam ma poslat packety nebo je proste zmaten z toho routovani.
traceroute 172.16.0.45
traceroute to 172.16.0.45 (172.16.0.45), 30 hops max, 60 byte packets
1 * * *
2 * * *
3 * * *
4 * * *
5 * * *
6 * * *
7 * * *
8 * * *
9 * * *
-
zkus tu routu na serveru pridat rucne a jako gw tam dej VPN adresu Mikrotiku
-
zkus tu routu na serveru pridat rucne a jako gw tam dej VPN adresu Mikrotiku
To jsem taky zkousel a nejde to - coz je i logicke, protoze nelze routovat na subnet, ktery neni v lokalni tabulce. Takze kdyz jsem chtel pridat rucne routu 172.16.0.0/24 na 192.168.150.6 tak jsem dostal odpoved o nedostupnosti subnetu.
-
spojuje se server na Mikrotik svou primarni IP a posle to vlastnim VPN tunelem, nebo pro komunikaci pouzije ip, kterou si nasadil na TUN?
tady by mohl byt zadrhel
-
Pouzije ip z tun rozhrani viz zaznam tcpdumpu:
tcpdump -i tun5 -nv
13:06:53.711170 IP (tos 0x0, ttl 64, id 20142, offset 0, flags [DF], proto ICMP (1), length 84)
192.168.150.1 > 172.16.0.45: ICMP echo request, id 9159, seq 2, length 64
-
Pokud chcete routovat, doporučuji používat tap, kde se routování nastavuje na úrovni OS.
Pro tun je potřeba v klientské konfiguraci (CCD) pro ten Mikrotik uvést iroute 172.16.0.0 255.255.255.0, jinak OpenVPN netuší, kam má takové pakety posílat.
-
Pokud chcete routovat, doporučuji používat tap, kde se routování nastavuje na úrovni OS.
Pro tun je potřeba v klientské konfiguraci (CCD) pro ten Mikrotik uvést iroute 172.16.0.0 255.255.255.0, jinak OpenVPN netuší, kam má takové pakety posílat.
Prave jsem chtel pouzit tun (layer 3), protoze chci routovat a ne bridgovat tap (layer 2)
iroute ccd OK - to jsem enzkousel jdu studovat. Dekuji.
-
na propojeni dvou lokalit bod<->bod by se spise hodil TAP
-
Takze dekuji vam panove. Kouzelna slovicka byla CCD a iroute.
-
Takze dekuji vam panove. Kouzelna slovicka byla CCD a iroute.
super...i ja se opet neco priucil :_)
-
Prave jsem chtel pouzit tun (layer 3), protoze chci routovat a ne bridgovat tap (layer 2)
iroute ccd OK - to jsem enzkousel jdu studovat. Dekuji.
tap můžete routovat i bridgovat, je to virtuální Ethernet a chová se podle toho, jak ho v OS zapojíte.