OpenVPN nepoužívá nastavené porty

[tuxmartin]

tady je ze serveru
Směrovací tabulka v jádru pro IP
Adresát         Brána           Maska           Přízn Metrik Odkaz  Užt Rozhraní
10.88.255.0     0.0.0.0         255.255.255.0   U     0      0        0 tap0
169.254.0.0     0.0.0.0         255.255.0.0     U     1002   0        0 eth0
10.0.0.0        0.0.0.0         255.0.0.0       U     0      0        0 eth0
0.0.0.0         10.0.0.110      0.0.0.0         UG    0      0        0 eth0
[root@negro openvpn]#

Ta je skoro k nicemu. Poslete tu z pripojeneho klienta.

[Reklama]

[Jarda001]

Ta je skoro k nicemu. Poslete tu z pripojeneho klienta.
[/quote]
ten je ve win route print
===========================================================================
===========================================================================
Aktivní směrování:
       Cíl v síti     Síťová maska            Brána        Rozhraní  Metrika
          0.0.0.0        128.0.0.0      10.88.255.1     10.88.255.2       1
          0.0.0.0          0.0.0.0     10.200.0.254    10.200.0.101       20
      10.88.255.0    255.255.255.0      10.88.255.2     10.88.255.2       30
      10.88.255.2  255.255.255.255        127.0.0.1       127.0.0.1       30
       10.200.0.0    255.255.255.0     10.200.0.101    10.200.0.101       20
     10.200.0.101  255.255.255.255        127.0.0.1       127.0.0.1       20
   10.255.255.255  255.255.255.255      10.88.255.2     10.88.255.2       30
   10.255.255.255  255.255.255.255     10.200.0.101    10.200.0.101       20
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1       1
        128.0.0.0        128.0.0.0      10.88.255.1     10.88.255.2       1
    213.226.253.5  255.255.255.255     10.200.0.254    10.200.0.101       1
        224.0.0.0        240.0.0.0      10.88.255.2     10.88.255.2       30
        224.0.0.0        240.0.0.0     10.200.0.101    10.200.0.101       20
  255.255.255.255  255.255.255.255      10.88.255.2     10.88.255.2       1
  255.255.255.255  255.255.255.255     10.200.0.101    10.200.0.101       1
Výchozí brána:       10.88.255.1
===========================================================================
Trvalé trasy:
  Žádné

[Jarda001]

 ještě doplnění
je to stroj v jiné síti za fw. adresa stroje v síti je 10.200.0.101, bránu i dns má mít 10.200.0.254

[tuxmartin]

Jak jsem videl v nejakem Vasem starsim prispevku, chcete klientovi nastavit branu 10.88.255.1:
Tue May 24 13:45:07 2011 us=457544   push_entry = 'redirect-gateway 10.88.255.1'

Vas Windows klient ukaze:

Kód: [Vybrat]

  Cíl v síti     Síťová maska            Brána        Rozhraní  Metrika
          0.0.0.0        128.0.0.0      10.88.255.1     10.88.255.2       1
          0.0.0.0          0.0.0.0     10.200.0.254    10.200.0.101       20
Takze pro 0.0.0.0 je brana 10.88.255.1 - to by melo byt v poradku.
Jedine co si mi nezda je ta maska 128.0.0.0 - mne to dela OpenVPN taky a nevim jak se toho zbavit :-( - nicmene smerovani provozu do vpn tunelu mne funguje.

Kdyz zkusite traceroute www.google.com s pripojenou a odpojenou VPN, mel by byt videt rozdil.

[Jarda001]

smerovani provozu do vpn tunelu mne funguje.

Kdyz zkusite traceroute www.google.com s pripojenou a odpojenou VPN, mel by byt videt rozdil.
[/quote]
já tam mám ale /redirect-gateway def 1/
mám tam vrátit to původní?
ted je knfigurák serevru takovíto:


mode server
tls-server
local 10.0.13.26:1194
script-security 2
dev tap0
port 1194
rport 1194
lport 1194
proto tcp-server
ifconfig 10.88.255.1 255.255.255.0
;push "route 10.88.255.1 255.255.255.0"
;push "route-gateway 10.88.255.1"
push "redirect-gateway def1"
push "dhcp-option DNS 10.88.255.1"
ifconfig-pool 10.88.255.2 10.88.255.5 255.255.255.0
duplicate-cn
client-to-client
keepalive 10 120
ca /root/openvpn/ca.crt
cert /root/openvpn/server.crt
key /root/openvpn/server.key
dh /root/openvpn/dh1024.pem
comp-lzo
;log-append cvpn.log
status openvpn-status.log
já jsem včera ještě něco málo zkoumal a ten traceroute se choval stejně v obou případech.

[Reklama]

[tuxmartin]

mode server
tls-server
local 10.0.13.26:1194
script-security 2
dev tap0
port 1194
rport 1194
lport 1194
proto tcp-server
ifconfig 10.88.255.1 255.255.255.0
;push "route 10.88.255.1 255.255.255.0"
;push "route-gateway 10.88.255.1"
push "redirect-gateway def1"
push "dhcp-option DNS 10.88.255.1"
ifconfig-pool 10.88.255.2 10.88.255.5 255.255.255.0
duplicate-cn
client-to-client
keepalive 10 120
ca /root/openvpn/ca.crt
cert /root/openvpn/server.crt
key /root/openvpn/server.key
dh /root/openvpn/dh1024.pem
comp-lzo
;log-append cvpn.log
status openvpn-status.log
já jsem včera ještě něco málo zkoumal a ten traceroute se choval stejně v obou případech.

pridejte tam tu branu: push "route-gateway 10.88.255.1" a push "redirect-gateway def1" tam nechte taky

zkuste vyhodit rport 1194 a lport 1194 btw, k cemu je to dobre?

jestli dobre koukam, tak ten rozsah ma dost malo ip - to by ale vadit pro par lidi nemelo ifconfig-pool 10.88.255.2 10.88.255.5 255.255.255.0

jaky ma vyznam duplicate-cn? neni lepsi kazdemu vygenerovat vlastni certifikat?

[Jarda001]

pridejte tam tu branu: push "route-gateway 10.88.255.1" a push "redirect-gateway def1" tam nechte taky

zkuste vyhodit rport 1194 a lport 1194 btw, k cemu je to dobre?

jestli dobre koukam, tak ten rozsah ma dost malo ip - to by ale vadit pro par lidi nemelo ifconfig-pool 10.88.255.2 10.88.255.5 255.255.255.0

jaky ma vyznam duplicate-cn? neni lepsi kazdemu vygenerovat vlastni certifikat?
[/quote]
díky za tip. ted sem mimo, ale večer to provedu
ohledně rozsahu adres a duplikate cn... mám to v režimu testování, pak je samozřejmé, že každý cclient bude mít svůj certifikát. tomu říkám kudrdlinky a ty lze dodělat později. lport a rport určují komunikaci portu, údajně je pak stabilnější, našel jsem to na nějakém něm.foŕu.... bez toho mi přišlo spojení pomalejší a méně stabilní.

[Jarda001]

pridejte tam tu branu: push "route-gateway 10.88.255.1" a push "redirect-gateway def1" tam nechte taky

zkuste vyhodit rport 1194 a lport 1194 btw, k cemu je to dobre?

jestli dobre koukam, tak ten rozsah ma dost malo ip - to by ale vadit pro par lidi nemelo ifconfig-pool 10.88.255.2 10.88.255.5 255.255.255.0

jaky ma vyznam duplicate-cn? neni lepsi kazdemu vygenerovat vlastni certifikat?

díky za tip. ted sem mimo, ale večer to provedu
ohledně rozsahu adres a duplikate cn... mám to v režimu testování, pak je samozřejmé, že každý cclient bude mít svůj certifikát. tomu říkám kudrdlinky a ty lze dodělat později. lport a rport určují komunikaci portu, údajně je pak stabilnější, našel jsem to na nějakém něm.foŕu.... bez toho mi přišlo spojení pomalejší a méně stabilní.
[/quote]
tak sem se připojil a nejedeto. udělal jsem úpravy dle rady.
tváří se to že to má bránu a ins nastavenou správně, ovšem když se chci dostat na server, který je v síti u počvpn-serveru (metalické) konkrétně 10.0.0.177 tak ho to nenajde.
mě de o to, aby když se client připojí k vpn serevru, aby ve vzdálené ploše ve win zadal jméno serevru nebo ip adresu v lokální síti vpn serevru a připojil se na něj a nebo pomocí speciálního klienta se dostal do lokální sítě vpn serevru 10.0.0.x a tam navázal konkrétní spojení...
díky

[rob]

ty certifikaty zatim nech, ale muzes zvetsit pool dostupnych adres
taky by bylo nejlepsi nam vic priblizit architekturu site, upne nejlip nejakym diagramem (programek dia)
taky hodit treba na pastebin logy clienta a serveru pri pripojovani,ip route na klientovi i serveru

taky doporucuju par stranek si precit
https://help.ubuntu.com/community/CategoryVPN?highlight=%28%28OpenVPN%29%29
http://openvpn.net/index.php/open-source/documentation/howto.html

jinak k push "redirect-gateway def1"

def1 nemeni tvoji default gateway 0.0.0.0/0 ale prida 0.0.0.0/1 a 0.0.0.0/128, coz je sikovny pro zanechani puvodni gateway, treba kdyz nemas nastavenou staticky IP, ale prideluje ti ji DHCP. Jinak by totiz pozadavky na DHCP server sli skrz VPN.

[thor5]

jeste jedna poznamka, u spousty lidi jsem se setkal s tim, ze jim funguje vse dobre, jen nemaji nastavene DNS servery. Takze vyzkouset jestli z klienta jde pingnout IP adresa treba seznamu. Pokud jde IP a ne jmeno, tak se musi upravit konfigurace pro DNS, sice na serveru je push dns ale nikde neni napsano, ze to klient pochopi a aplikuje(v linuxech napr. musite vyrobit/pouzit svuj skript ktery volbu aplikuje, ve widlich jsem to zatim nepotreboval, ale predpokladam, ze to bude podobne)

[Jarda001]

ty certifikaty zatim nech, ale muzes zvetsit pool dostupnych adres
taky by bylo nejlepsi nam vic priblizit architekturu site, upne nejlip nejakym diagramem (programek dia)
taky hodit treba na pastebin logy clienta a serveru pri pripojovani,ip route na klientovi i serveru

taky doporucuju par stranek si precit
https://help.ubuntu.com/community/CategoryVPN?highlight=%28%28OpenVPN%29%29
http://openvpn.net/index.php/open-source/documentation/howto.html

jinak k push "redirect-gateway def1"

def1 nemeni tvoji default gateway 0.0.0.0/0 ale prida 0.0.0.0/1 a 0.0.0.0/128, coz je sikovny pro zanechani puvodni gateway, treba kdyz nemas nastavenou staticky IP, ale prideluje ti ji DHCP. Jinak by totiz pozadavky na DHCP server sli skrz VPN.

díky za tip.
takže sítě:
server má interní ip 10.0.13.26, masku 255.0.0.0. bránu 10.0.0.255, dns 10.0.0.255
clietn u kterého to testuji má ip 10.200.0.101, masku 255.255.255.0, dns a bránu 10.200.0.254. obě IP adresy jsou přiděleny ručně.
klienti který se však budou připojovat tak budou mít ip svojí lokální sítě většinou přidělovanou DHCP. cíle je aby klient, který se připojí odkukoliv měl přístup na servery v lokální síti vpn serveru 10.0.0.X.
Musí být na serveru vpn vytvořené bridge nebo ne?

[tuxmartin]

cíle je aby klient, který se připojí odkukoliv měl přístup na servery v lokální síti vpn serveru 10.0.0.X.
Musí být na serveru vpn vytvořené bridge nebo ne?

Jestli to chapu, tak Vam jde pouze o to, aby se klient pripojil na VPN a mel pristup do vnitrni site.
Na to by melo stacit pridat push "route 10.88.255.1 255.255.255.0" a to def1 bych tam vubec nedaval (tim byste pouze skryl veskery provoz do VPN.  Ja to pouzivam ve skole, kde mame zakazane ICQ a podobne veci, pomoci def1 mne pak vsechno funguje, ale je to pomalejsi.)

[Jarda001]

cíle je aby klient, který se připojí odkukoliv měl přístup na servery v lokální síti vpn serveru 10.0.0.X.
Musí být na serveru vpn vytvořené bridge nebo ne?

Jestli to chapu, tak Vam jde pouze o to, aby se klient pripojil na VPN a mel pristup do vnitrni site.
Na to by melo stacit pridat push "route 10.88.255.1 255.255.255.0" a to def1 bych tam vubec nedaval (tim byste pouze skryl veskery provoz do VPN.  Ja to pouzivam ve skole, kde mame zakazane ICQ a podobne veci, pomoci def1 mne pak vsechno funguje, ale je to pomalejsi.)

v podstatě ano,
def 1 jsem ; ale kdz6 d8m ping na klientu na 10.0.0.177 tak ho nezná
jak je to s tím brdige spojení musí být na straně serveru nebo ne?

[Jarda001]

v podstatě ano,
def 1 jsem ; ale kdz6 d8m ping na klientu na 10.0.0.177 tak ho nezná
jak je to s tím brdige spojení musí být na straně serveru nebo ne?
[/quote]
ještě doplnění, když na clientovi dám tracert na 10.0.0.177 tak mi to ukazuje že to rve na 10.200.0.254 což brána a dns počítače clienta

[Jarda001]

zkoušel jsem ještě další věci a stále nic. Poradíte mi prosím někdo. děkuji.