forum.opennet.ru - "Вопрос по настройка OpenVPN" (24)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Вопрос по настройка OpenVPN"

Форум Открытые системы на сервере (VPN / Linux)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Вопрос по настройка OpenVPN"	+/–
Сообщение от Faustle (ok) on 12-Июл-10, 15:49
Добрый день, коллеги, У меня следующая проблема: Есть удаленный сервер (домашний, на Ubuntu Server 10.04), на котором установлен OpenVPN. Сеть на нем огранизована следующим образом: Сервер (192.168.1.2\10.10.0.1) DSL модем (192.168.1.1) 10.10.0.0 - сеть между компами. 192.168.1.0 - сеть между серверами и модемами (остальные не столько важны, ибо пока не работают) root@debserver:~# ifconfig eth0 Link encap:Ethernet HWaddr 00:0e:a6:80:a2:39 inet addr:192.168.1.2 Bcast:192.168.1.255 Mask:255.255.255.0 inet6 addr: fe80::20e:a6ff:fe80:a239/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:11994336 errors:0 dropped:0 overruns:0 frame:0 TX packets:8166594 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:1970817508 (1.9 GB) TX bytes:941126176 (941.1 MB) Interrupt:22 eth1 Link encap:Ethernet HWaddr 00:14:d1:10:ad:7a inet addr:10.10.0.1 Bcast:10.10.0.255 Mask:255.255.255.0 inet6 addr: fe80::214:d1ff:fe10:ad7a/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:12647410 errors:0 dropped:0 overruns:0 frame:0 TX packets:24603326 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:898881172 (898.8 MB) TX bytes:1504853216 (1.5 GB) Interrupt:22 Base address:0x6800 lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 inet6 addr: ::1/128 Scope:Host UP LOOPBACK RUNNING MTU:16436 Metric:1 RX packets:583787 errors:0 dropped:0 overruns:0 frame:0 TX packets:583787 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:59913848 (59.9 MB) TX bytes:59913848 (59.9 MB) tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 inet addr:10.8.0.1 P-t-P:10.8.0.2 Mask:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B) Конфиг OpenVPN сервера: port 1194 proto tcp dev tun ca /etc/openvpn/keys/ca.crt cert /etc/openvpn/keys/server.crt key /etc/openvpn/keys/server.key # This file should be kept secret dh /etc/openvpn/keys/dh1024.pem server 10.8.0.0 255.255.255.0 ifconfig-pool-persist /etc/openvpn/keys/ipp.txt push "route 192.168.1.0 255.255.255.0" push "dhcp-option DNS 89.222.*." push "dhcp-option DNS 89.222.." duplicate-cn keepalive 10 120 comp-lzo persist-key persist-tun status /var/log/openvpn/openvpn-status.log log /var/log/openvpn/openvpn.log verb 3 роуты севера: root@debserver:~# route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 10.8.0.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0 10.8.0.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0 10.10.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1 192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 0.0.0.0 192.168.1.1 0.0.0.0 UG 100 0 0 eth0 Конфиг клиента: dev tun client http-proxy ..4.8 8001 remote ...* 1194 push "route 192.168.1.0 255.255.255.0" tls-client ca ca.crt cert tester.crt key tester.key proto tcp-client comp-lzo verb 4 Второй момент: Есть рабочая сеть, которая дает выход в инет только через прокси, но 1194 порт не закрыт. =========================================================================== Активные маршруты: Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика 0.0.0.0 0.0.0.0 ..175.1 ..175.42 20 10.8.0.1 255.255.255.255 10.8.0.5 10.8.0.6 1 10.8.0.4 255.255.255.252 10.8.0.6 10.8.0.6 30 10.8.0.6 255.255.255.255 127.0.0.1 127.0.0.1 30 10.255.255.255 255.255.255.255 10.8.0.6 10.8.0.6 30 .*.175.0 255.255.255.0 .*.175.42 .*.175.42 20 .*.175.42 255.255.255.255 127.0.0.1 127.0.0.1 20 13.255.255.255 255.255.255.255 .*.175.42 .*.175.42 20 127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1 192.168.1.0 255.255.255.0 10.8.0.5 10.8.0.6 1 224.0.0.0 240.0.0.0 10.8.0.6 10.8.0.6 30 224.0.0.0 240.0.0.0 .*.175.42 .*.175.42 20 255.255.255.255 255.255.255.255 10.8.0.6 10.8.0.6 1 255.255.255.255 255.255.255.255 .*.175.42 .*.175.42 1 Основной шлюз: .***.175.1 =========================================================================== VPN поднимается. net.ipv4.ip_forward = 1 iptables -I FORWARD 1 -o eth0 -i tun0 -j ACCEPT iptables -I FORWARD 1 -o tun0 -i eth0 -j ACCEPT В этот же комп воткнута 2-ая сетевуха, с настройками которой я игрался как только можно, чтобы увидеть в ней интернет с vpn. Максимальный результат - пинг dsl-модема 192.168.1.1, если расшарить через винду vpn подключение с . Все. Я понимаю, что не каждый и читать-то все это возмется, но кто все же дочитал, помогите советом. Очень непростая схема, никак н могу разобраться с роутингом всего этого. Также не ясно, почему клиентская машина ломиться на 10.8.0.7, которого не вообще нигде... Я бы воспользовался трейсроутом, но.... его траффик банится фаерволом на работе. Дать пиво админу, что б отключил фильтрацию тоже не могу, ибо он не в России находтся .... Очень надеюсь на вашу помощь, если что-то нужно уточнить, скажите.
Высказать мнение \| Ответить \| Правка \| Cообщить модератору

Оглавление

Вопрос по настройка OpenVPN, reader, 16:30 , 12-Июл-10, (1) +1

Вопрос по настройка OpenVPN, Аф, 17:18 , 12-Июл-10, (2)
Вопрос по настройка OpenVPN, Faustle, 21:49 , 12-Июл-10, (3)

Вопрос по настройка OpenVPN, reader, 22:30 , 12-Июл-10, (4) +1

Вопрос по настройка OpenVPN, Faustle, 23:12 , 12-Июл-10, (5)

Вопрос по настройка OpenVPN, reader, 11:18 , 13-Июл-10, (7) +1

Вопрос по настройка OpenVPN, Faustle, 13:51 , 14-Июл-10, (9)

Вопрос по настройка OpenVPN, reader, 14:00 , 14-Июл-10, (11) +1

Вопрос по настройка OpenVPN, Faustle, 14:20 , 14-Июл-10, (13)

Вопрос по настройка OpenVPN, reader, 15:23 , 14-Июл-10, (14) +1

Вопрос по настройка OpenVPN, Faustle, 16:18 , 14-Июл-10, (15)

Вопрос по настройка OpenVPN, reader, 17:00 , 14-Июл-10, (16) +1

Вопрос по настройка OpenVPN, Faustle, 09:54 , 16-Июл-10, (18)
Вопрос по настройка OpenVPN, reader, 10:41 , 16-Июл-10, (20) +1
Вопрос по настройка OpenVPN, Faustle, 14:32 , 16-Июл-10, (21)
Вопрос по настройка OpenVPN, reader, 16:45 , 16-Июл-10, (22)
Вопрос по настройка OpenVPN, reader, 16:51 , 16-Июл-10, (23)
Вопрос по настройка OpenVPN, Faustle, 14:45 , 19-Июл-10, (24)

Вопрос по настройка OpenVPN, reader, 22:54 , 14-Июл-10, (17) +1

Вопрос по настройка OpenVPN, Faustle, 09:56 , 16-Июл-10, (19)

Вопрос по настройка OpenVPN, прохожий., 23:12 , 12-Июл-10, (6)

Вопрос по настройка OpenVPN, Faustle, 13:53 , 14-Июл-10, (10)

Вопрос по настройка OpenVPN, reader, 14:07 , 14-Июл-10, (12)

Вопрос по настройка OpenVPN, Faustle, 13:28 , 14-Июл-10, (8)

Сообщения по теме [Сортировка по времени | RSS]

1. "Вопрос по настройка OpenVPN" +1 +/–

Сообщение от reader (ok) on 12-Июл-10, 16:30

>[оверквотинг удален]
>
>VPN поднимается.
>net.ipv4.ip_forward = 1
>iptables -I FORWARD 1 -o eth0 -i tun0 -j ACCEPT
>iptables -I FORWARD 1 -o tun0 -i eth0 -j ACCEPT
>
>В этот же комп воткнута 2-ая сетевуха, с настройками которой я игрался
>как только можно, чтобы увидеть в ней интернет с vpn. Максимальный
>результат - пинг dsl-модема 192.168.1.1, если расшарить через винду vpn подключение
>с . Все.
хотите ходить в инет через vpn-серевер?
на vpn-клиенте пропишите маршрут к vpn-сереверу через шлюз своего провайдера.
после поднятия vpn на клиенте шлюз по умолчанию измените на ip tun-интерфейса vpn-серевера (10.8.0.1).
на vpn-серевере для этих пакетов должен работать SNAT
>[оверквотинг удален]
>разобраться с роутингом всего этого.
>Также не ясно, почему клиентская машина ломиться на 10.8.0.7, которого не вообще
>нигде...
>
>Я бы воспользовался трейсроутом, но.... его траффик банится фаерволом на работе.
>
>Дать пиво админу, что б отключил фильтрацию тоже не могу, ибо он
>не в России находтся ....
>
>Очень надеюсь на вашу помощь, если что-то нужно уточнить, скажите.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

2. "Вопрос по настройка OpenVPN" +/–

Сообщение от Аф on 12-Июл-10, 17:18

>хотите ходить в инет через vpn-серевер?
>на vpn-клиенте пропишите маршрут к vpn-сереверу через шлюз своего провайдера.
>после поднятия vpn на клиенте шлюз по умолчанию измените на ip tun-интерфейса
>vpn-серевера (10.8.0.1).
>на vpn-серевере для этих пакетов должен работать SNAT
Большое спасибо за совет! Буду копать в этом направлении.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

3. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 12-Июл-10, 21:49

Решил настроить VPN хотя бы локально, у себя в сети.
Добился того, что все пакеты наконец идут до сервера, но, что-то я не так сделал с правилами iptables. Использовал следующие:
iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 10.10.0.1
iptables -A FORWARD -d 10.8.0.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tun0 -j SNAT -d 10.8.0.0/24 --to-source 10.10.0.1
и еще множество вариантов. Извращался как мог, но, пакеты идут, даже каким-то образом резолвятся, но Destination unreachable (Host unreachable).
Подскажите, какие именно правила надо прописать для корректного форвардинга?
Еще раз на всяки случай:
Конифг сервера:
port 1194
proto tcp
dev tun
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key
dh /etc/openvpn/keys/dh1024.pem
server 10.8.0.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"
route 192.168.1.0 255.255.255.0 10.8.0.5
client-config-dir /etc/openvpn/ccd
ifconfig-pool-persist /etc/openvpn/keys/ipp.txt
keepalive 10 120
comp-lzo
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log         /var/log/openvpn/openvpn.log
verb 5
local 10.10.0.1
push «redirect-gateway»
Конфиг клиента:
remote 10.10.0.1 1194
client
dev tun
ping 10
comp-lzo
proto tcp
tls-client
ca ca.crt
cert tester.crt
key tester.key
verb 3
pull
В роутах клинта, основной gateway 10.8.0.5, сам клиент 10.8.0.6
Пинги до сервера (10.8.0.1) идут нормально.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

4. "Вопрос по настройка OpenVPN" +1 +/–

Сообщение от reader (ok) on 12-Июл-10, 22:30

>Решил настроить VPN хотя бы локально, у себя в сети.
>Добился того, что все пакеты наконец идут до сервера, но, что-то я
>не так сделал с правилами iptables. Использовал следующие:
>
>iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT
>iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 10.10.0.1
>iptables -A FORWARD -d 10.8.0.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT
>iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tun0 -j SNAT -d
>10.8.0.0/24 --to-source 10.10.0.1
для пакетов идущих в локалки лучше оставить маршрутизацию, а не SNAT.
SNAT сделайте для всех пакетов уходящих через внешний интерфейс vpn-сервера и для начала в FORWARD разрешите все пакеты через tun-интерфейсы, в обе стороны

>[оверквотинг удален]
>proto tcp
>tls-client
>ca ca.crt
>cert tester.crt
>key tester.key
>verb 3
>pull
>
>В роутах клинта, основной gateway 10.8.0.5, сам клиент 10.8.0.6
>Пинги до сервера (10.8.0.1) идут нормально.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

5. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 12-Июл-10, 23:12

>для пакетов идущих в локалки лучше оставить маршрутизацию, а не SNAT.
>SNAT сделайте для всех пакетов уходящих через внешний интерфейс vpn-сервера и для
>начала в FORWARD разрешите все пакеты через tun-интерфейсы, в обе стороны
Большое спасибо за ответы!
С форвардом вроде как ясно:
iptables -I FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -I FORWARD -i eth0 -o tun0 -j ACCEPT
а вот со SNAT никак не соображу. Какие варианты уже не перепробовал, такое ощущение, что пишу в /dev/null...
Уже стал сомневаться в роутингах.
Роутинг сервера:
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.8.0.2        0.0.0.0         255.255.255.255 UH    0      0        0 tun0
10.8.0.0        10.8.0.2        255.255.255.0   UG    0      0        0 tun0
10.10.0.0       0.0.0.0         255.255.255.0   U     0      0        0 eth1
0.0.0.0         192.168.1.1     0.0.0.0         UG    100    0        0 eth0
роутинг клиента (winXP)
          0.0.0.0          0.0.0.0         10.8.0.5        10.8.0.6       1
          0.0.0.0          0.0.0.0        10.10.0.1     10.10.0.107       10
         10.8.0.0    255.255.255.0         10.8.0.5        10.8.0.6       1
         10.8.0.1  255.255.255.255         10.8.0.5        10.8.0.6       1
         10.8.0.4  255.255.255.252         10.8.0.6        10.8.0.6       30
         10.8.0.6  255.255.255.255        127.0.0.1       127.0.0.1       30
        10.10.0.0    255.255.255.0      10.10.0.107     10.10.0.107       10
      10.10.0.107  255.255.255.255        127.0.0.1       127.0.0.1       10
   10.255.255.255  255.255.255.255         10.8.0.6        10.8.0.6       30
   10.255.255.255  255.255.255.255      10.10.0.107     10.10.0.107       10
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1       1
        224.0.0.0        240.0.0.0         10.8.0.6        10.8.0.6       30
        224.0.0.0        240.0.0.0      10.10.0.107     10.10.0.107       10
  255.255.255.255  255.255.255.255         10.8.0.6        10.8.0.6       1
  255.255.255.255  255.255.255.255      10.10.0.107     10.10.0.107       1
  Default gateway:                            10.8.0.5

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

7. "Вопрос по настройка OpenVPN" +1 +/–

Сообщение от reader (ok) on 13-Июл-10, 11:18

>[оверквотинг удален]
>
>Большое спасибо за ответы!
>
>С форвардом вроде как ясно:
>
>iptables -I FORWARD -i tun0 -o eth0 -j ACCEPT
>iptables -I FORWARD -i eth0 -o tun0 -j ACCEPT
>
>а вот со SNAT никак не соображу. Какие варианты уже не перепробовал,
>такое ощущение, что пишу в /dev/null...
iptables-save покажите
>
>Уже стал сомневаться в роутингах.
сомневаетесь что пакеты приходят на сервер?
запустите tcpdump и посматрите.
>[оверквотинг удален]
>    10.10.0.107
>10
>  255.255.255.255  255.255.255.255
> 10.8.0.6        10.8.0.6
>     1
>  255.255.255.255  255.255.255.255      10.10.0.107
>   10.10.0.107       1
>
>  Default gateway:
>       10.8.0.5

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

9. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 14-Июл-10, 13:51

Роутинг вроде все-таки правильный, сниффер ловит пакеты, при обращении куда-либо:

root@debserver:~# tcpdump -i tun0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on tun0, link-type RAW (Raw IP), capture size 96 bytes
13:46:10.636232 IP 10.8.0.6.33523 > **.***.1.241.8000: Flags [S], seq 935179318, win 5840, options [mss 1366,sackOK,TS val 2803025 ecr 0,nop,wscale 6], length 0
13:46:10.768292 IP 10.8.0.6.33524 > **.***.1.241.8000: Flags [S], seq 985679284, win 5840, options [mss 1366,sackOK,TS val 2803039 ecr 0,nop,wscale 6], length 0
13:46:10.948176 IP 10.8.0.6.33525 > **.***.1.241.8000: Flags [S], seq 985356458, win 5840, options [mss 1366,sackOK,TS val 2803103 ecr 0,nop,wscale 6], length 0
13:46:13.692790 IP 10.8.0.6.33524 > **.***.1.241.8000: Flags [S], seq 985679284, win 5840, options [mss 1366,sackOK,TS val 2803789 ecr 0,nop,wscale 6], length 0
13:46:13.948573 IP 10.8.0.6.33525 > **.***.1.241.8000: Flags [S], seq 985356458, win 5840, options [mss 1366,sackOK,TS val 2803853 ecr 0,nop,wscale 6], length 0
13:46:15.575034 IP 10.8.0.6.33526 > **.***.1.241.8000: Flags [S], seq 1066250476, win 5840, options [mss 1366,sackOK,TS val 2804259 ecr 0,nop,wscale 6], length 0
13:46:15.825415 IP 10.8.0.6.33527 > **.***.1.241.8000: Flags [S], seq 1066210153, win 5840, options [mss 1366,sackOK,TS val 2804322 ecr 0,nop,wscale 6], length 0
13:46:18.574863 IP 10.8.0.6.33526 > **.***.1.241.8000: Flags [S], seq 1066250476, win 5840, options [mss 1366,sackOK,TS val 2805009 ecr 0,nop,wscale 6], length 0
13:46:18.826000 IP 10.8.0.6.33527 > **.***.1.241.8000: Flags [S], seq 1066210153, win 5840, options [mss 1366,sackOK,TS val 2805072 ecr 0,nop,wscale 6], length 0
13:46:19.950295 IP 10.8.0.6.33525 > **.***.1.241.8000: Flags [S], seq 985356458, win 5840, options [mss 1366,sackOK,TS val 2805353 ecr 0,nop,wscale 6], length 0
13:46:20.644937 IP 10.8.0.6.33528 > **.***.1.241.8000: Flags [S], seq 1132444148, win 5840, options [mss 1366,sackOK,TS val 2805526 ecr 0,nop,wscale 6], length 0
13:46:20.898549 IP 10.8.0.6.33529 > **.***.1.241.8000: Flags [S], seq 1145483146, win 5840, options [mss 1366,sackOK,TS val 2805590 ecr 0,nop,wscale 6], length 0
13:46:23.643846 IP 10.8.0.6.33528 > **.***.1.241.8000: Flags [S], seq 1132444148, win 5840, options [mss 1366,sackOK,TS val 2806276 ecr 0,nop,wscale 6], length 0
13:46:24.576152 IP 10.8.0.6.33526 > **.***.1.241.8000: Flags [S], seq 1066250476, win 5840, options [mss 1366,sackOK,TS val 2806509 ecr 0,nop,wscale 6], length 0
13:46:24.827257 IP 10.8.0.6.33527 > **.***.1.241.8000: Flags [S], seq 1066210153, win 5840, options [mss 1366,sackOK,TS val 2806572 ecr 0,nop,wscale 6], length 0
^C
28 packets captured
28 packets received by filter
0 packets dropped by kernel

А вот с роутингами беда...
iptables-save vpn сервера:
root@debserver:~# iptables-save
# Generated by iptables-save v1.4.4 on Wed Jul 14 13:48:24 2010
*nat
:PREROUTING ACCEPT [726:47061]
:POSTROUTING ACCEPT [2309:211472]
:OUTPUT ACCEPT [1730:176440]
COMMIT
# Completed on Wed Jul 14 13:48:24 2010
# Generated by iptables-save v1.4.4 on Wed Jul 14 13:48:24 2010
*mangle
:PREROUTING ACCEPT [10707:1282460]
:INPUT ACCEPT [8720:1115260]
:FORWARD ACCEPT [1987:167200]
:OUTPUT ACCEPT [8766:1071888]
:POSTROUTING ACCEPT [10828:1245782]
COMMIT
# Completed on Wed Jul 14 13:48:24 2010
# Generated by iptables-save v1.4.4 on Wed Jul 14 13:48:24 2010
*filter
:INPUT ACCEPT [8720:1115260]
:FORWARD ACCEPT [1818:156497]
:OUTPUT ACCEPT [8766:1071888]
-A FORWARD -i eth0 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o eth0 -j ACCEPT
COMMIT
# Completed on Wed Jul 14 13:48:24 2010
С NAT-ом экспериментировал по всякому, результатов нет.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

11. "Вопрос по настройка OpenVPN" +1 +/–

Сообщение от reader (ok) on 14-Июл-10, 14:00

iptables -t nat -A POSTROUTING -o внешний_интерфейс -j SNAT --to-source ip_внешнего_интерфейса
и не забываем
echo 1 > /proc/sys/net/ipv4/ip_forward

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

13. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 14-Июл-10, 14:20

>iptables -t nat -A POSTROUTING -o внешний_интерфейс -j SNAT --to-source ip_внешнего_интерфейса
>и не забываем
>echo 1 > /proc/sys/net/ipv4/ip_forward
/proc/sys/net/ipv4/ip_forward выставил 1 сразу
правило прописал:
iptables -t nat -A POSTROUTING -o eth0 (смотрит подключен к DSL-модему) -j SNAT --to-source 192.168.1.2 (пробовал и внешний статический IP)
в целом, как сейчас обстоит картина:
Поскольку def. gateway автоматом при поднятии впн-а прописывается впн-шлюза, то обычный инет работать перестает, что одкано не мешает текущему соединению самого впн-а. Меня бы это даже устроило, но, оно таки не хочет работать. И мне кажется, что момент в следующем:
14:12:04.782196 IP 10.8.0.6.46805 > **.***.1.241.8000: Flags [S], seq 3869804218, win 5840, options [mss 1366,sackOK,TS val 3191471 ecr 0,nop,wscale 6], length 0
14:12:07.530696 IP 10.8.0.6.46804 > **.***.1.241.8000: Flags [S], seq 3858051874, win 5840, options [mss 1366,sackOK,TS val 3192158 ecr 0,nop,wscale 6], length 0
14:12:08.211505 IP 10.8.0.6.43327 > **.***.12.9.domain: 41350+ A? ya.ru.eu.mydomain.net. (36)
Почему он пытается обратиться к ya.ru, как к поддомену рабочего домена?
Роуты сервера:
root@debserver:~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.8.0.2        0.0.0.0         255.255.255.255 UH    0      0        0 tun0
10.8.0.0        10.8.0.2        255.255.255.0   UG    0      0        0 tun0
10.10.0.0       0.0.0.0         255.255.255.0   U     0      0        0 eth1
0.0.0.0         192.168.1.1     0.0.0.0         UG    100    0        0 eth0
Роуты клиенты:
tester@tester-laptop:~$ route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.8.0.5        0.0.0.0         255.255.255.255 UH    0      0        0 tun0
13.163.4.8      13.158.175.1    255.255.255.255 UGH   0      0        0 eth0
10.8.0.1        10.8.0.5        255.255.255.255 UGH   0      0        0 tun0
10.8.0.0        10.8.0.5        255.255.255.0   UG    0      0        0 tun0
13.158.175.0    0.0.0.0         255.255.255.0   U     0      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 eth0
0.0.0.0         10.8.0.5        0.0.0.0         UG    0      0        0 tun0
Кстати все компы домашней локалки пингуются без проблем.
Под вопросом несколько строк из конфига сервера:
push "route 10.8.0.0 255.255.255.0"
push "dhcp-option DNS 10.10.0.1"
нужны ли они, и не мешают ли?

Большое спасибо за помощь!

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

14. "Вопрос по настройка OpenVPN" +1 +/–

Сообщение от reader (ok) on 14-Июл-10, 15:23

>[оверквотинг удален]
>Поскольку def. gateway автоматом при поднятии впн-а прописывается впн-шлюза, то обычный инет
>работать перестает, что одкано не мешает текущему соединению самого впн-а. Меня
>бы это даже устроило, но, оно таки не хочет работать. И
>мне кажется, что момент в следующем:
>
>14:12:04.782196 IP 10.8.0.6.46805 > **.***.1.241.8000: Flags [S], seq 3869804218, win 5840, options [mss 1366,sackOK,TS val 3191471 ecr 0,nop,wscale 6], length 0
>14:12:07.530696 IP 10.8.0.6.46804 > **.***.1.241.8000: Flags [S], seq 3858051874, win 5840, options [mss 1366,sackOK,TS val 3192158 ecr 0,nop,wscale 6], length 0
>14:12:08.211505 IP 10.8.0.6.43327 > **.***.12.9.domain: 41350+ A? ya.ru.eu.mydomain.net. (36)
>
>Почему он пытается обратиться к ya.ru, как к поддомену рабочего домена?
после ya.ru нет точки, поэтому проверяется и такой вариант.
при этом на 10.8.0.6 адрес ya.ru резолвится правильно?
nslookup ya.ru
>[оверквотинг удален]
>tun0
>
>Кстати все компы домашней локалки пингуются без проблем.
>
>Под вопросом несколько строк из конфига сервера:
>
>push "route 10.8.0.0 255.255.255.0"
>push "dhcp-option DNS 10.10.0.1"
>
>нужны ли они, и не мешают ли?
это передает клиенту маршрут и адрес DNS
а если добавить
echo 1 > /proc/sys/net/ipv4/ip_dynaddr

>
>
>Большое спасибо за помощь!

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

15. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 14-Июл-10, 16:18

>после ya.ru нет точки, поэтому проверяется и такой вариант.
>при этом на 10.8.0.6 адрес ya.ru резолвится правильно?
>nslookup ya.ru
Проблема в том, что рабочий прокси блокирует мне трафик ICMP Echo запросы, и результат я могу видеть только через tcpdump на сервере. Кстати говоря, как раз судя по нему, ya.ru не резолвится. Упорно ломится на какие-то рабочие сервера, вероятно через шлюз, вместо сервера, и дальше дело не идет:
root@debserver:~# tcpdump -i tun0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on tun0, link-type RAW (Raw IP), capture size 96 bytes
16:15:01.794825 IP 10.8.0.6.45048 > **.***.12.9.domain: 1213+ A? ya.ru. (23)
16:15:02.793758 IP 10.8.0.6.50858 > **.***.129.15.domain: 1213+ A? ya.ru. (23)
16:15:03.756494 IP 10.8.0.6.34992 > **.***.130.15.domain: 1213+ A? ya.ru. (23)
16:15:08.757679 IP 10.8.0.6.45048 > **.***.12.9.domain: 1213+ A? ya.ru. (23)
16:15:09.896440 IP 10.8.0.6.50858 > **.***.129.15.domain: 1213+ A? ya.ru. (23)
16:15:10.758465 IP 10.8.0.6.34992 > **.***.130.15.domain: 1213+ A? ya.ru. (23)
16:15:10.949439 IP 10.8.0.6.53630 > **.***.1.241.8000: Flags [S], seq 3702367402, win 5840, options [mss 1366,sackOK,TS val 5037582 ecr 0,nop,wscale 6], length 0
16:15:11.202517 IP 10.8.0.6.53631 > **.***.1.241.8000: Flags [S], seq 3711546525, win 5840, options [mss 1366,sackOK,TS val 5037646 ecr 0,nop,wscale 6], length 0

>это передает клиенту маршрут и адрес DNS
>
>а если добавить
>echo 1 > /proc/sys/net/ipv4/ip_dynaddr
Добавил. Результата не дало...

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

16. "Вопрос по настройка OpenVPN" +1 +/–

Сообщение от reader (ok) on 14-Июл-10, 17:00

>>после ya.ru нет точки, поэтому проверяется и такой вариант.
>>при этом на 10.8.0.6 адрес ya.ru резолвится правильно?
>>nslookup ya.ru
>
>Проблема в том, что рабочий прокси блокирует мне трафик ICMP Echo запросы,
>и результат я могу видеть только через tcpdump на сервере. Кстати
>говоря, как раз судя по нему, ya.ru не резолвится. Упорно ломится
>на какие-то рабочие сервера, вероятно через шлюз, вместо сервера, и дальше
>дело не идет:
причем тут ICMP?
при dns запросах используется udp, и так как шлюз по умолчанию вы изменили, то запросы должны идти по vpn-каналу, а там прокси их не увидит и ICMP кстати тоже.
vpn-клиенту выдаете dns 10.10.0.1, он к нему обращается?
dns 10.10.0.1 вообще существует?
сеть 10.10.0.0/24 доступна vpn-клиенту?
а если с vpn-клиента обращаться по IP в инет, что происходит?

>[оверквотинг удален]
>16:15:10.949439 IP 10.8.0.6.53630 > **.***.1.241.8000: Flags [S], seq 3702367402, win 5840, options [mss 1366,sackOK,TS val 5037582 ecr 0,nop,wscale 6], length 0
>16:15:11.202517 IP 10.8.0.6.53631 > **.***.1.241.8000: Flags [S], seq 3711546525, win 5840, options [mss 1366,sackOK,TS val 5037646 ecr 0,nop,wscale 6], length 0
>
>
>>это передает клиенту маршрут и адрес DNS
>>
>>а если добавить
>>echo 1 > /proc/sys/net/ipv4/ip_dynaddr
>
>Добавил. Результата не дало...

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

18. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 16-Июл-10, 09:54

>причем тут ICMP?
>при dns запросах используется udp, и так как шлюз по умолчанию вы
>изменили, то запросы должны идти по vpn-каналу, а там прокси их
>не увидит и ICMP кстати тоже.
Логично...
>dns 10.10.0.1 вообще существует?
>сеть 10.10.0.0/24 доступна vpn-клиенту?
>
>а если с vpn-клиента обращаться по IP в инет, что происходит?
Да, dns(bind9) на 10.10.0.1 существует.
Сеть доступна, пинги на все компы данной подсети с клиента проходят.
>vpn-клиенту выдаете dns 10.10.0.1, он к нему обращается?
В том то и дело, что нет. И как раз этого я не пойму, ибо в роутах он прописан, а обращения по какой-то причине идут в шлюз рабочей сети, и начинают стучатся кудо-то не ясно куда:

09:42:21.022547 IP 10.8.0.6.37151 > **.***.130.15.domain: 6797+ A? www.ip-as.ru. (30)
09:42:21.023866 IP 10.8.0.6.44385 > **.***.12.9.domain: 6420+ PTR? 15.130.***.**.in-addr.arpa. (44)
09:42:25.962525 IP 10.8.0.6.57995 > **.***.12.9.domain: 13991+ A? www.opennet.ru.eu.work_domain.net. (45)
И мне кажется, происходит это из-за того, что default gateway у клиентской машины меняется на VPN-овский, и соотв. до рабочей прокси она добратся не может. Поэтому я и вижу вышеуказанные пакеты уже на своем сервере при сниффе туннеля. Хотя я могу ошибатся.
Просто мне кажется странным, что уже на серверной стороне VPN-а, при просмотре трафика проходят попытки клиента обратится на какие-то адреса рабочей подсети:
18.953829     10.8.0.6 -> **.***.12.9  DNS Standard query A vk.com
19.106069     10.8.0.6 -> **.***.129.15 DNS Standard query A counter.yadro.ru
19.106249     10.8.0.6 -> **.***.129.15 DNS Standard query A cs10411.vk.com

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

20. "Вопрос по настройка OpenVPN" +1 +/–

Сообщение от reader (ok) on 16-Июл-10, 10:41

>[оверквотинг удален]
>>сеть 10.10.0.0/24 доступна vpn-клиенту?
>>
>>а если с vpn-клиента обращаться по IP в инет, что происходит?
>
>Да, dns(bind9) на 10.10.0.1 существует.
>Сеть доступна, пинги на все компы данной подсети с клиента проходят.
>
>>vpn-клиенту выдаете dns 10.10.0.1, он к нему обращается?
>
>В том то и дело, что нет. И как раз этого я
попробуйте добавить его ручками
>не пойму, ибо в роутах он прописан, а обращения по какой-то
>причине идут в шлюз рабочей сети, и начинают стучатся кудо-то не
>ясно куда:
у клиента остались DNS адреса, на них он и обращается, но так как default gateway вы изменили на ip vpn-сервера, то и обращения идут через vpn-сервер.
>
>
>09:42:21.022547 IP 10.8.0.6.37151 > **.***.130.15.domain: 6797+ A? www.ip-as.ru. (30)
>09:42:21.023866 IP 10.8.0.6.44385 > **.***.12.9.domain: 6420+ PTR? 15.130.***.**.in-addr.arpa. (44)
>09:42:25.962525 IP 10.8.0.6.57995 > **.***.12.9.domain: 13991+ A? www.opennet.ru.eu.work_domain.net. (45)
>
>И мне кажется, происходит это из-за того, что default gateway у клиентской
>машины меняется на VPN-овский, и соотв. до рабочей прокси она добратся
>не может. Поэтому я и вижу вышеуказанные пакеты уже на своем
>сервере при сниффе туннеля. Хотя я могу ошибатся.
правильно, а вы разве не этого хотели?

>Просто мне кажется странным, что уже на серверной стороне VPN-а, при просмотре
>трафика проходят попытки клиента обратится на какие-то адреса рабочей подсети:
>
> 18.953829     10.8.0.6 -> **.***.12.9  DNS Standard query A vk.com
> 19.106069     10.8.0.6 -> **.***.129.15 DNS Standard query A counter.yadro.ru
> 19.106249     10.8.0.6 -> **.***.129.15 DNS Standard query A cs10411.vk.com
не понял, **.***.129.15 - это адрес вашей подсети?
10.8.0.6 обратился к **.***.129.15 как к DNS серверу

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

21. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 16-Июл-10, 14:32

>[оверквотинг удален]
>у клиента остались DNS адреса, на них он и обращается, но так
>как default gateway вы изменили на ip vpn-сервера, то и обращения
>идут через vpn-сервер.
>
>правильно, а вы разве не этого хотели?
>
>
>не понял, **.***.129.15 - это адрес вашей подсети?
>10.8.0.6 обратился к **.***.129.15 как к DNS серверу
>
Оно почти заработало, но, почему-то упорно отказывается резолвить имена. По IP заходит и пингует без проблем, но резолвить не хочет.
В /etc/resolv.conf прописал 10.10.0.1 и 192.168.1.2 (это адреса на обоих интерфейсах сервера), но резолвить не хочет все равно:
root@debserver:~# tshark -i tun0
Running as user "root" and group "root". This could be dangerous.
Capturing on tun0
  0.000000     10.8.0.6 -> 10.10.0.1    DNS Standard query A ya.ru
  0.000304    10.10.0.1 -> 10.8.0.6     DNS Standard query response, Refused
  0.138222     10.8.0.6 -> 10.10.0.1    DNS Standard query A ya.ru.home
  0.138485    10.10.0.1 -> 10.8.0.6     DNS Standard query response, No such name
Притом с самого сервера проблем нет.
Возможно надо добавить какое-то правило в iptables?
UPD:
Интересен тот факт, что все локальные имена он резолвит, а сам севр резолвит соотв. все:
root@debserver:~# tshark -i tun0
Running as user "root" and group "root". This could be dangerous.
Capturing on tun0
  0.000000     10.8.0.6 -> 10.10.0.1    DNS Standard query A az.home
  0.000336    10.10.0.1 -> 10.8.0.6     DNS Standard query response A 10.10.0.101
  7.042326     10.8.0.6 -> 10.10.0.1    DNS Standard query A ya.ru
  7.042669    10.10.0.1 -> 10.8.0.6     DNS Standard query response, Refused
  7.179239     10.8.0.6 -> 10.10.0.1    DNS Standard query A ya.ru.home
  7.179512    10.10.0.1 -> 10.8.0.6     DNS Standard query response, No such name
^C6 packets captured
root@debserver:~# nslookup ya.ru
Server:        10.10.0.1
Address:    10.10.0.1#53
Non-authoritative answer:
Name:    ya.ru
Address: 77.88.21.3
Name:    ya.ru
Address: 87.250.250.3
Name:    ya.ru
Address: 87.250.251.3
Name:    ya.ru
Address: 93.158.134.3
Name:    ya.ru
Address: 213.180.204.3
Если смотреть tcpdump есть один момент который меня смущает:
root@debserver:~# tcpdump -i tun0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on tun0, link-type RAW (Raw IP), capture size 96 bytes
15:22:28.002695 IP 10.8.0.6.42477 > debserver.domain: 49478+ A? ya.ru. (23)
15:22:28.003138 IP debserver.domain > 10.8.0.6.42477: 49478 Refused- 0/0/0 (23)
15:22:28.142308 IP 10.8.0.6.54099 > debserver.domain: 54895+ A? ya.ru.home. (28)
15:22:28.142555 IP debserver.domain > 10.8.0.6.54099: 54895 NXDomain*- 0/1/0 (69)
15:22:34.161654 IP 10.8.0.6.35744 > debserver.domain: 50212+ A? az.home. (25)
15:22:34.161975 IP debserver.domain > 10.8.0.6.35744: 50212*- 1/1/1 A 10.10.0.101 (74)
откуда он взял debserver.domain?... Нигде не нашел упоминание о "domain", домен в сети -  "home".

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

22. "Вопрос по настройка OpenVPN" +/–

Сообщение от reader (ok) on 16-Июл-10, 16:45

>[оверквотинг удален]
>root@debserver:~# tshark -i tun0
>Running as user "root" and group "root". This could be dangerous.
>Capturing on tun0
>  0.000000     10.8.0.6 -> 10.10.0.1    DNS Standard query A ya.ru
>  0.000304    10.10.0.1 -> 10.8.0.6     DNS Standard query response, Refused
>  0.138222     10.8.0.6 -> 10.10.0.1    DNS Standard query A ya.ru.home
>  0.138485    10.10.0.1 -> 10.8.0.6     DNS Standard query response, No such name
>
>Притом с самого сервера проблем нет.
>Возможно надо добавить какое-то правило в iptables?
а запросы в том числе и рекурсивные запросы и на этих серверах для 10.8.0.6 разрешены?

>[оверквотинг удален]
>listening on tun0, link-type RAW (Raw IP), capture size 96 bytes
>15:22:28.002695 IP 10.8.0.6.42477 > debserver.domain: 49478+ A? ya.ru. (23)
>15:22:28.003138 IP debserver.domain > 10.8.0.6.42477: 49478 Refused- 0/0/0 (23)
>15:22:28.142308 IP 10.8.0.6.54099 > debserver.domain: 54895+ A? ya.ru.home. (28)
>15:22:28.142555 IP debserver.domain > 10.8.0.6.54099: 54895 NXDomain*- 0/1/0 (69)
>15:22:34.161654 IP 10.8.0.6.35744 > debserver.domain: 50212+ A? az.home. (25)
>15:22:34.161975 IP debserver.domain > 10.8.0.6.35744: 50212*- 1/1/1 A 10.10.0.101 (74)
>
>откуда он взял debserver.domain?... Нигде не нашел упоминание о "domain", домен в
>сети -  "home".

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

23. "Вопрос по настройка OpenVPN" +/–

Сообщение от reader (ok) on 16-Июл-10, 16:51

>[оверквотинг удален]
>listening on tun0, link-type RAW (Raw IP), capture size 96 bytes
>15:22:28.002695 IP 10.8.0.6.42477 > debserver.domain: 49478+ A? ya.ru. (23)
>15:22:28.003138 IP debserver.domain > 10.8.0.6.42477: 49478 Refused- 0/0/0 (23)
>15:22:28.142308 IP 10.8.0.6.54099 > debserver.domain: 54895+ A? ya.ru.home. (28)
>15:22:28.142555 IP debserver.domain > 10.8.0.6.54099: 54895 NXDomain*- 0/1/0 (69)
>15:22:34.161654 IP 10.8.0.6.35744 > debserver.domain: 50212+ A? az.home. (25)
>15:22:34.161975 IP debserver.domain > 10.8.0.6.35744: 50212*- 1/1/1 A 10.10.0.101 (74)
>
>откуда он взял debserver.domain?... Нигде не нашел упоминание о "domain", домен в
>сети -  "home".
:) debserver.domain - это машина debserver порт domain ( 53 )
запустите tcpdump с ключом -n

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

24. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 19-Июл-10, 14:45

Все, разобрался с рекурсией и оно таки заработало!
reader, огромное спасибо за все ваши советы и за потраченное время! Даже не знаю, чтобы я без вас делал! Мне искренне приятно, что есть все таки люди, которые готовы и могут помочь в непростых ситуациях.
Вопрос можно считать закрытым.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

17. "Вопрос по настройка OpenVPN" +1 +/–

Сообщение от reader (ok) on 14-Июл-10, 22:54

специально проверил , с пол пинка.
отличия от вашего:
интерфейс tap, клиент под linux.
единственный нюанс - клиент не захотел брать адрес DNS сервера, прописывал ручками.
дополнительные модули подгружать не пришлось.
echo 1 > /proc/sys/net/ipv4/ip_dynaddr - не понадобилось (на внешке ip постоянный).

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

19. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 16-Июл-10, 09:56

>специально проверил , с пол пинка.
>
>отличия от вашего:
>интерфейс tap, клиент под linux.
>единственный нюанс - клиент не захотел брать адрес DNS сервера, прописывал ручками.
>
>
>дополнительные модули подгружать не пришлось.
>echo 1 > /proc/sys/net/ipv4/ip_dynaddr - не понадобилось (на внешке ip постоянный).
Клиент у меня тоже linux (ubuntu 10.04), ip сервера тоже внешний статический.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

6. "Вопрос по настройка OpenVPN" +/–

Сообщение от прохожий. on 12-Июл-10, 23:12

1. Уберите default gateway в настройках ip.
2. Допишите в сетях маршрут к прокси
http-proxy !!_**.**.4.8_!! 8001 через **.***.175.1 .
3. В настройках openvpn добавить поднятие default route через vpn.
Теперь после этих манипуляций все, что не в вашу сеть или в прокси - посылать через vpn.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

10. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 14-Июл-10, 13:53

>1. Уберите default gateway в настройках ip.
>2. Допишите в сетях маршрут к прокси
>http-proxy !!_**.**.4.8_!! 8001 через **.***.175.1 .
>
>3. В настройках openvpn добавить поднятие default route через vpn.
>
>Теперь после этих манипуляций все, что не в вашу сеть или в
>прокси - посылать через vpn.
Добрый день.
После добавления push «redirect-gateway», default gateway клиента соотв. становится нужный.
По поводу
>http-proxy !!_**.**.4.8_!! 8001 через **.***.175.1 .
не совсем понял

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

12. "Вопрос по настройка OpenVPN" +/–

Сообщение от reader (ok) on 14-Июл-10, 14:07

>[оверквотинг удален]
>>
>>Теперь после этих манипуляций все, что не в вашу сеть или в
>>прокси - посылать через vpn.
>
>Добрый день.
>
>После добавления push «redirect-gateway», default gateway клиента соотв. становится нужный.
>
>По поводу
>>http-proxy !!_**.**.4.8_!! 8001 через **.***.175.1 .
так как идете через прокси, то добавте маршрут к прокси через шлюз провайдера
>
>не совсем понял

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

8. "Вопрос по настройка OpenVPN" +/–

Сообщение от Faustle (ok) on 14-Июл-10, 13:28

Коллеги,
Всем спасибо за комментарии. Не имел доступа к интернету, не мог отписать.
Буду пробовать ваши советы, по результатами отпишусь..

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Вопрос по настройка OpenVPN"	+1 +/–
Сообщение от reader (ok) on 12-Июл-10, 16:30
>[оверквотинг удален] > >VPN поднимается. >net.ipv4.ip_forward = 1 >iptables -I FORWARD 1 -o eth0 -i tun0 -j ACCEPT >iptables -I FORWARD 1 -o tun0 -i eth0 -j ACCEPT > >В этот же комп воткнута 2-ая сетевуха, с настройками которой я игрался >как только можно, чтобы увидеть в ней интернет с vpn. Максимальный >результат - пинг dsl-модема 192.168.1.1, если расшарить через винду vpn подключение >с . Все. хотите ходить в инет через vpn-серевер? на vpn-клиенте пропишите маршрут к vpn-сереверу через шлюз своего провайдера. после поднятия vpn на клиенте шлюз по умолчанию измените на ip tun-интерфейса vpn-серевера (10.8.0.1). на vpn-серевере для этих пакетов должен работать SNAT >[оверквотинг удален] >разобраться с роутингом всего этого. >Также не ясно, почему клиентская машина ломиться на 10.8.0.7, которого не вообще >нигде... > >Я бы воспользовался трейсроутом, но.... его траффик банится фаерволом на работе. > >Дать пиво админу, что б отключил фильтрацию тоже не могу, ибо он >не в России находтся .... > >Очень надеюсь на вашу помощь, если что-то нужно уточнить, скажите.
Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	2. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Аф on 12-Июл-10, 17:18
	>хотите ходить в инет через vpn-серевер? >на vpn-клиенте пропишите маршрут к vpn-сереверу через шлюз своего провайдера. >после поднятия vpn на клиенте шлюз по умолчанию измените на ip tun-интерфейса >vpn-серевера (10.8.0.1). >на vpn-серевере для этих пакетов должен работать SNAT Большое спасибо за совет! Буду копать в этом направлении.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	3. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 12-Июл-10, 21:49
	Решил настроить VPN хотя бы локально, у себя в сети. Добился того, что все пакеты наконец идут до сервера, но, что-то я не так сделал с правилами iptables. Использовал следующие: iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 10.10.0.1 iptables -A FORWARD -d 10.8.0.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tun0 -j SNAT -d 10.8.0.0/24 --to-source 10.10.0.1 и еще множество вариантов. Извращался как мог, но, пакеты идут, даже каким-то образом резолвятся, но Destination unreachable (Host unreachable). Подскажите, какие именно правила надо прописать для корректного форвардинга? Еще раз на всяки случай: Конифг сервера: port 1194 proto tcp dev tun ca /etc/openvpn/keys/ca.crt cert /etc/openvpn/keys/server.crt key /etc/openvpn/keys/server.key dh /etc/openvpn/keys/dh1024.pem server 10.8.0.0 255.255.255.0 push "route 10.8.0.0 255.255.255.0" route 192.168.1.0 255.255.255.0 10.8.0.5 client-config-dir /etc/openvpn/ccd ifconfig-pool-persist /etc/openvpn/keys/ipp.txt keepalive 10 120 comp-lzo persist-key persist-tun status /var/log/openvpn/openvpn-status.log log /var/log/openvpn/openvpn.log verb 5 local 10.10.0.1 push «redirect-gateway» Конфиг клиента: remote 10.10.0.1 1194 client dev tun ping 10 comp-lzo proto tcp tls-client ca ca.crt cert tester.crt key tester.key verb 3 pull В роутах клинта, основной gateway 10.8.0.5, сам клиент 10.8.0.6 Пинги до сервера (10.8.0.1) идут нормально.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	4. "Вопрос по настройка OpenVPN"	+1 +/–
	Сообщение от reader (ok) on 12-Июл-10, 22:30
	>Решил настроить VPN хотя бы локально, у себя в сети. >Добился того, что все пакеты наконец идут до сервера, но, что-то я >не так сделал с правилами iptables. Использовал следующие: > >iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT >iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 10.10.0.1 >iptables -A FORWARD -d 10.8.0.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT >iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tun0 -j SNAT -d >10.8.0.0/24 --to-source 10.10.0.1 для пакетов идущих в локалки лучше оставить маршрутизацию, а не SNAT. SNAT сделайте для всех пакетов уходящих через внешний интерфейс vpn-сервера и для начала в FORWARD разрешите все пакеты через tun-интерфейсы, в обе стороны >[оверквотинг удален] >proto tcp >tls-client >ca ca.crt >cert tester.crt >key tester.key >verb 3 >pull > >В роутах клинта, основной gateway 10.8.0.5, сам клиент 10.8.0.6 >Пинги до сервера (10.8.0.1) идут нормально.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	5. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 12-Июл-10, 23:12
	>для пакетов идущих в локалки лучше оставить маршрутизацию, а не SNAT. >SNAT сделайте для всех пакетов уходящих через внешний интерфейс vpn-сервера и для >начала в FORWARD разрешите все пакеты через tun-интерфейсы, в обе стороны Большое спасибо за ответы! С форвардом вроде как ясно: iptables -I FORWARD -i tun0 -o eth0 -j ACCEPT iptables -I FORWARD -i eth0 -o tun0 -j ACCEPT а вот со SNAT никак не соображу. Какие варианты уже не перепробовал, такое ощущение, что пишу в /dev/null... Уже стал сомневаться в роутингах. Роутинг сервера: Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 10.8.0.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0 10.8.0.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0 10.10.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1 0.0.0.0 192.168.1.1 0.0.0.0 UG 100 0 0 eth0 роутинг клиента (winXP) 0.0.0.0 0.0.0.0 10.8.0.5 10.8.0.6 1 0.0.0.0 0.0.0.0 10.10.0.1 10.10.0.107 10 10.8.0.0 255.255.255.0 10.8.0.5 10.8.0.6 1 10.8.0.1 255.255.255.255 10.8.0.5 10.8.0.6 1 10.8.0.4 255.255.255.252 10.8.0.6 10.8.0.6 30 10.8.0.6 255.255.255.255 127.0.0.1 127.0.0.1 30 10.10.0.0 255.255.255.0 10.10.0.107 10.10.0.107 10 10.10.0.107 255.255.255.255 127.0.0.1 127.0.0.1 10 10.255.255.255 255.255.255.255 10.8.0.6 10.8.0.6 30 10.255.255.255 255.255.255.255 10.10.0.107 10.10.0.107 10 127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1 224.0.0.0 240.0.0.0 10.8.0.6 10.8.0.6 30 224.0.0.0 240.0.0.0 10.10.0.107 10.10.0.107 10 255.255.255.255 255.255.255.255 10.8.0.6 10.8.0.6 1 255.255.255.255 255.255.255.255 10.10.0.107 10.10.0.107 1 Default gateway: 10.8.0.5
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	7. "Вопрос по настройка OpenVPN"	+1 +/–
	Сообщение от reader (ok) on 13-Июл-10, 11:18
	>[оверквотинг удален] > >Большое спасибо за ответы! > >С форвардом вроде как ясно: > >iptables -I FORWARD -i tun0 -o eth0 -j ACCEPT >iptables -I FORWARD -i eth0 -o tun0 -j ACCEPT > >а вот со SNAT никак не соображу. Какие варианты уже не перепробовал, >такое ощущение, что пишу в /dev/null... iptables-save покажите > >Уже стал сомневаться в роутингах. сомневаетесь что пакеты приходят на сервер? запустите tcpdump и посматрите. >[оверквотинг удален] > 10.10.0.107 >10 > 255.255.255.255 255.255.255.255 > 10.8.0.6 10.8.0.6 > 1 > 255.255.255.255 255.255.255.255 10.10.0.107 > 10.10.0.107 1 > > Default gateway: > 10.8.0.5
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	9. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 14-Июл-10, 13:51
	Роутинг вроде все-таки правильный, сниффер ловит пакеты, при обращении куда-либо: root@debserver:~# tcpdump -i tun0 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on tun0, link-type RAW (Raw IP), capture size 96 bytes 13:46:10.636232 IP 10.8.0.6.33523 > ..1.241.8000: Flags [S], seq 935179318, win 5840, options [mss 1366,sackOK,TS val 2803025 ecr 0,nop,wscale 6], length 0 13:46:10.768292 IP 10.8.0.6.33524 > ..1.241.8000: Flags [S], seq 985679284, win 5840, options [mss 1366,sackOK,TS val 2803039 ecr 0,nop,wscale 6], length 0 13:46:10.948176 IP 10.8.0.6.33525 > .*.1.241.8000: Flags [S], seq 985356458, win 5840, options [mss 1366,sackOK,TS val 2803103 ecr 0,nop,wscale 6], length 0 13:46:13.692790 IP 10.8.0.6.33524 > .*.1.241.8000: Flags [S], seq 985679284, win 5840, options [mss 1366,sackOK,TS val 2803789 ecr 0,nop,wscale 6], length 0 13:46:13.948573 IP 10.8.0.6.33525 > .*.1.241.8000: Flags [S], seq 985356458, win 5840, options [mss 1366,sackOK,TS val 2803853 ecr 0,nop,wscale 6], length 0 13:46:15.575034 IP 10.8.0.6.33526 > .*.1.241.8000: Flags [S], seq 1066250476, win 5840, options [mss 1366,sackOK,TS val 2804259 ecr 0,nop,wscale 6], length 0 13:46:15.825415 IP 10.8.0.6.33527 > .*.1.241.8000: Flags [S], seq 1066210153, win 5840, options [mss 1366,sackOK,TS val 2804322 ecr 0,nop,wscale 6], length 0 13:46:18.574863 IP 10.8.0.6.33526 > .*.1.241.8000: Flags [S], seq 1066250476, win 5840, options [mss 1366,sackOK,TS val 2805009 ecr 0,nop,wscale 6], length 0 13:46:18.826000 IP 10.8.0.6.33527 > .*.1.241.8000: Flags [S], seq 1066210153, win 5840, options [mss 1366,sackOK,TS val 2805072 ecr 0,nop,wscale 6], length 0 13:46:19.950295 IP 10.8.0.6.33525 > .*.1.241.8000: Flags [S], seq 985356458, win 5840, options [mss 1366,sackOK,TS val 2805353 ecr 0,nop,wscale 6], length 0 13:46:20.644937 IP 10.8.0.6.33528 > .*.1.241.8000: Flags [S], seq 1132444148, win 5840, options [mss 1366,sackOK,TS val 2805526 ecr 0,nop,wscale 6], length 0 13:46:20.898549 IP 10.8.0.6.33529 > .*.1.241.8000: Flags [S], seq 1145483146, win 5840, options [mss 1366,sackOK,TS val 2805590 ecr 0,nop,wscale 6], length 0 13:46:23.643846 IP 10.8.0.6.33528 > .*.1.241.8000: Flags [S], seq 1132444148, win 5840, options [mss 1366,sackOK,TS val 2806276 ecr 0,nop,wscale 6], length 0 13:46:24.576152 IP 10.8.0.6.33526 > .*.1.241.8000: Flags [S], seq 1066250476, win 5840, options [mss 1366,sackOK,TS val 2806509 ecr 0,nop,wscale 6], length 0 13:46:24.827257 IP 10.8.0.6.33527 > .**.1.241.8000: Flags [S], seq 1066210153, win 5840, options [mss 1366,sackOK,TS val 2806572 ecr 0,nop,wscale 6], length 0 ^C 28 packets captured 28 packets received by filter 0 packets dropped by kernel А вот с роутингами беда... iptables-save vpn сервера: root@debserver:~# iptables-save # Generated by iptables-save v1.4.4 on Wed Jul 14 13:48:24 2010 nat :PREROUTING ACCEPT [726:47061] :POSTROUTING ACCEPT [2309:211472] :OUTPUT ACCEPT [1730:176440] COMMIT # Completed on Wed Jul 14 13:48:24 2010 # Generated by iptables-save v1.4.4 on Wed Jul 14 13:48:24 2010 mangle :PREROUTING ACCEPT [10707:1282460] :INPUT ACCEPT [8720:1115260] :FORWARD ACCEPT [1987:167200] :OUTPUT ACCEPT [8766:1071888] :POSTROUTING ACCEPT [10828:1245782] COMMIT # Completed on Wed Jul 14 13:48:24 2010 # Generated by iptables-save v1.4.4 on Wed Jul 14 13:48:24 2010 filter :INPUT ACCEPT [8720:1115260] :FORWARD ACCEPT [1818:156497] :OUTPUT ACCEPT [8766:1071888] -A FORWARD -i eth0 -o tun0 -j ACCEPT -A FORWARD -i tun0 -o eth0 -j ACCEPT COMMIT # Completed on Wed Jul 14 13:48:24 2010 С NAT-ом экспериментировал по всякому, результатов нет.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	11. "Вопрос по настройка OpenVPN"	+1 +/–
	Сообщение от reader (ok) on 14-Июл-10, 14:00
	iptables -t nat -A POSTROUTING -o внешний_интерфейс -j SNAT --to-source ip_внешнего_интерфейса и не забываем echo 1 > /proc/sys/net/ipv4/ip_forward
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	13. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 14-Июл-10, 14:20
	>iptables -t nat -A POSTROUTING -o внешний_интерфейс -j SNAT --to-source ip_внешнего_интерфейса >и не забываем >echo 1 > /proc/sys/net/ipv4/ip_forward /proc/sys/net/ipv4/ip_forward выставил 1 сразу правило прописал: iptables -t nat -A POSTROUTING -o eth0 (смотрит подключен к DSL-модему) -j SNAT --to-source 192.168.1.2 (пробовал и внешний статический IP) в целом, как сейчас обстоит картина: Поскольку def. gateway автоматом при поднятии впн-а прописывается впн-шлюза, то обычный инет работать перестает, что одкано не мешает текущему соединению самого впн-а. Меня бы это даже устроило, но, оно таки не хочет работать. И мне кажется, что момент в следующем: 14:12:04.782196 IP 10.8.0.6.46805 > ..1.241.8000: Flags [S], seq 3869804218, win 5840, options [mss 1366,sackOK,TS val 3191471 ecr 0,nop,wscale 6], length 0 14:12:07.530696 IP 10.8.0.6.46804 > ..1.241.8000: Flags [S], seq 3858051874, win 5840, options [mss 1366,sackOK,TS val 3192158 ecr 0,nop,wscale 6], length 0 14:12:08.211505 IP 10.8.0.6.43327 > .***.12.9.domain: 41350+ A? ya.ru.eu.mydomain.net. (36) Почему он пытается обратиться к ya.ru, как к поддомену рабочего домена? Роуты сервера: root@debserver:~# route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 10.8.0.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0 10.8.0.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0 10.10.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1 0.0.0.0 192.168.1.1 0.0.0.0 UG 100 0 0 eth0 Роуты клиенты: tester@tester-laptop:~$ route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0 13.163.4.8 13.158.175.1 255.255.255.255 UGH 0 0 0 eth0 10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0 10.8.0.0 10.8.0.5 255.255.255.0 UG 0 0 0 tun0 13.158.175.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 169.254.0.0 0.0.0.0 255.255.0.0 U 1000 0 0 eth0 0.0.0.0 10.8.0.5 0.0.0.0 UG 0 0 0 tun0 Кстати все компы домашней локалки пингуются без проблем. Под вопросом несколько строк из конфига сервера: push "route 10.8.0.0 255.255.255.0" push "dhcp-option DNS 10.10.0.1" нужны ли они, и не мешают ли? Большое спасибо за помощь!
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	14. "Вопрос по настройка OpenVPN"	+1 +/–
	Сообщение от reader (ok) on 14-Июл-10, 15:23
	>[оверквотинг удален] >Поскольку def. gateway автоматом при поднятии впн-а прописывается впн-шлюза, то обычный инет >работать перестает, что одкано не мешает текущему соединению самого впн-а. Меня >бы это даже устроило, но, оно таки не хочет работать. И >мне кажется, что момент в следующем: > >14:12:04.782196 IP 10.8.0.6.46805 > ..1.241.8000: Flags [S], seq 3869804218, win 5840, options [mss 1366,sackOK,TS val 3191471 ecr 0,nop,wscale 6], length 0 >14:12:07.530696 IP 10.8.0.6.46804 > ..1.241.8000: Flags [S], seq 3858051874, win 5840, options [mss 1366,sackOK,TS val 3192158 ecr 0,nop,wscale 6], length 0 >14:12:08.211505 IP 10.8.0.6.43327 > .***.12.9.domain: 41350+ A? ya.ru.eu.mydomain.net. (36) > >Почему он пытается обратиться к ya.ru, как к поддомену рабочего домена? после ya.ru нет точки, поэтому проверяется и такой вариант. при этом на 10.8.0.6 адрес ya.ru резолвится правильно? nslookup ya.ru >[оверквотинг удален] >tun0 > >Кстати все компы домашней локалки пингуются без проблем. > >Под вопросом несколько строк из конфига сервера: > >push "route 10.8.0.0 255.255.255.0" >push "dhcp-option DNS 10.10.0.1" > >нужны ли они, и не мешают ли? это передает клиенту маршрут и адрес DNS а если добавить echo 1 > /proc/sys/net/ipv4/ip_dynaddr > > >Большое спасибо за помощь!
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	15. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 14-Июл-10, 16:18
	>после ya.ru нет точки, поэтому проверяется и такой вариант. >при этом на 10.8.0.6 адрес ya.ru резолвится правильно? >nslookup ya.ru Проблема в том, что рабочий прокси блокирует мне трафик ICMP Echo запросы, и результат я могу видеть только через tcpdump на сервере. Кстати говоря, как раз судя по нему, ya.ru не резолвится. Упорно ломится на какие-то рабочие сервера, вероятно через шлюз, вместо сервера, и дальше дело не идет: root@debserver:~# tcpdump -i tun0 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on tun0, link-type RAW (Raw IP), capture size 96 bytes 16:15:01.794825 IP 10.8.0.6.45048 > ..12.9.domain: 1213+ A? ya.ru. (23) 16:15:02.793758 IP 10.8.0.6.50858 > ..129.15.domain: 1213+ A? ya.ru. (23) 16:15:03.756494 IP 10.8.0.6.34992 > .*.130.15.domain: 1213+ A? ya.ru. (23) 16:15:08.757679 IP 10.8.0.6.45048 > .*.12.9.domain: 1213+ A? ya.ru. (23) 16:15:09.896440 IP 10.8.0.6.50858 > .*.129.15.domain: 1213+ A? ya.ru. (23) 16:15:10.758465 IP 10.8.0.6.34992 > .*.130.15.domain: 1213+ A? ya.ru. (23) 16:15:10.949439 IP 10.8.0.6.53630 > .*.1.241.8000: Flags [S], seq 3702367402, win 5840, options [mss 1366,sackOK,TS val 5037582 ecr 0,nop,wscale 6], length 0 16:15:11.202517 IP 10.8.0.6.53631 > .***.1.241.8000: Flags [S], seq 3711546525, win 5840, options [mss 1366,sackOK,TS val 5037646 ecr 0,nop,wscale 6], length 0 >это передает клиенту маршрут и адрес DNS > >а если добавить >echo 1 > /proc/sys/net/ipv4/ip_dynaddr Добавил. Результата не дало...
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	16. "Вопрос по настройка OpenVPN"	+1 +/–
	Сообщение от reader (ok) on 14-Июл-10, 17:00
	>>после ya.ru нет точки, поэтому проверяется и такой вариант. >>при этом на 10.8.0.6 адрес ya.ru резолвится правильно? >>nslookup ya.ru > >Проблема в том, что рабочий прокси блокирует мне трафик ICMP Echo запросы, >и результат я могу видеть только через tcpdump на сервере. Кстати >говоря, как раз судя по нему, ya.ru не резолвится. Упорно ломится >на какие-то рабочие сервера, вероятно через шлюз, вместо сервера, и дальше >дело не идет: причем тут ICMP? при dns запросах используется udp, и так как шлюз по умолчанию вы изменили, то запросы должны идти по vpn-каналу, а там прокси их не увидит и ICMP кстати тоже. vpn-клиенту выдаете dns 10.10.0.1, он к нему обращается? dns 10.10.0.1 вообще существует? сеть 10.10.0.0/24 доступна vpn-клиенту? а если с vpn-клиента обращаться по IP в инет, что происходит? >[оверквотинг удален] >16:15:10.949439 IP 10.8.0.6.53630 > ..1.241.8000: Flags [S], seq 3702367402, win 5840, options [mss 1366,sackOK,TS val 5037582 ecr 0,nop,wscale 6], length 0 >16:15:11.202517 IP 10.8.0.6.53631 > .**.1.241.8000: Flags [S], seq 3711546525, win 5840, options [mss 1366,sackOK,TS val 5037646 ecr 0,nop,wscale 6], length 0 > > >>это передает клиенту маршрут и адрес DNS >> >>а если добавить >>echo 1 > /proc/sys/net/ipv4/ip_dynaddr > >Добавил. Результата не дало...
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	18. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 16-Июл-10, 09:54
	>причем тут ICMP? >при dns запросах используется udp, и так как шлюз по умолчанию вы >изменили, то запросы должны идти по vpn-каналу, а там прокси их >не увидит и ICMP кстати тоже. Логично... >dns 10.10.0.1 вообще существует? >сеть 10.10.0.0/24 доступна vpn-клиенту? > >а если с vpn-клиента обращаться по IP в инет, что происходит? Да, dns(bind9) на 10.10.0.1 существует. Сеть доступна, пинги на все компы данной подсети с клиента проходят. >vpn-клиенту выдаете dns 10.10.0.1, он к нему обращается? В том то и дело, что нет. И как раз этого я не пойму, ибо в роутах он прописан, а обращения по какой-то причине идут в шлюз рабочей сети, и начинают стучатся кудо-то не ясно куда: 09:42:21.022547 IP 10.8.0.6.37151 > ..130.15.domain: 6797+ A? www.ip-as.ru. (30) 09:42:21.023866 IP 10.8.0.6.44385 > ..12.9.domain: 6420+ PTR? 15.130...in-addr.arpa. (44) 09:42:25.962525 IP 10.8.0.6.57995 > ..12.9.domain: 13991+ A? www.opennet.ru.eu.work_domain.net. (45) И мне кажется, происходит это из-за того, что default gateway у клиентской машины меняется на VPN-овский, и соотв. до рабочей прокси она добратся не может. Поэтому я и вижу вышеуказанные пакеты уже на своем сервере при сниффе туннеля. Хотя я могу ошибатся. Просто мне кажется странным, что уже на серверной стороне VPN-а, при просмотре трафика проходят попытки клиента обратится на какие-то адреса рабочей подсети: 18.953829 10.8.0.6 -> .*.12.9 DNS Standard query A vk.com 19.106069 10.8.0.6 -> .*.129.15 DNS Standard query A counter.yadro.ru 19.106249 10.8.0.6 -> .***.129.15 DNS Standard query A cs10411.vk.com
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	20. "Вопрос по настройка OpenVPN"	+1 +/–
	Сообщение от reader (ok) on 16-Июл-10, 10:41
	>[оверквотинг удален] >>сеть 10.10.0.0/24 доступна vpn-клиенту? >> >>а если с vpn-клиента обращаться по IP в инет, что происходит? > >Да, dns(bind9) на 10.10.0.1 существует. >Сеть доступна, пинги на все компы данной подсети с клиента проходят. > >>vpn-клиенту выдаете dns 10.10.0.1, он к нему обращается? > >В том то и дело, что нет. И как раз этого я попробуйте добавить его ручками >не пойму, ибо в роутах он прописан, а обращения по какой-то >причине идут в шлюз рабочей сети, и начинают стучатся кудо-то не >ясно куда: у клиента остались DNS адреса, на них он и обращается, но так как default gateway вы изменили на ip vpn-сервера, то и обращения идут через vpn-сервер. > > >09:42:21.022547 IP 10.8.0.6.37151 > ..130.15.domain: 6797+ A? www.ip-as.ru. (30) >09:42:21.023866 IP 10.8.0.6.44385 > ..12.9.domain: 6420+ PTR? 15.130...in-addr.arpa. (44) >09:42:25.962525 IP 10.8.0.6.57995 > ..12.9.domain: 13991+ A? www.opennet.ru.eu.work_domain.net. (45) > >И мне кажется, происходит это из-за того, что default gateway у клиентской >машины меняется на VPN-овский, и соотв. до рабочей прокси она добратся >не может. Поэтому я и вижу вышеуказанные пакеты уже на своем >сервере при сниффе туннеля. Хотя я могу ошибатся. правильно, а вы разве не этого хотели? >Просто мне кажется странным, что уже на серверной стороне VPN-а, при просмотре >трафика проходят попытки клиента обратится на какие-то адреса рабочей подсети: > > 18.953829 10.8.0.6 -> .*.12.9 DNS Standard query A vk.com > 19.106069 10.8.0.6 -> .*.129.15 DNS Standard query A counter.yadro.ru > 19.106249 10.8.0.6 -> .*.129.15 DNS Standard query A cs10411.vk.com не понял, .*.129.15 - это адрес вашей подсети? 10.8.0.6 обратился к .***.129.15 как к DNS серверу
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	21. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 16-Июл-10, 14:32
	>[оверквотинг удален] >у клиента остались DNS адреса, на них он и обращается, но так >как default gateway вы изменили на ip vpn-сервера, то и обращения >идут через vpn-сервер. > >правильно, а вы разве не этого хотели? > > >не понял, ..129.15 - это адрес вашей подсети? >10.8.0.6 обратился к .*.129.15 как к DNS серверу > Оно почти заработало, но, почему-то упорно отказывается резолвить имена. По IP заходит и пингует без проблем, но резолвить не хочет. В /etc/resolv.conf прописал 10.10.0.1 и 192.168.1.2 (это адреса на обоих интерфейсах сервера), но резолвить не хочет все равно: root@debserver:~# tshark -i tun0 Running as user "root" and group "root". This could be dangerous. Capturing on tun0 0.000000 10.8.0.6 -> 10.10.0.1 DNS Standard query A ya.ru 0.000304 10.10.0.1 -> 10.8.0.6 DNS Standard query response, Refused 0.138222 10.8.0.6 -> 10.10.0.1 DNS Standard query A ya.ru.home 0.138485 10.10.0.1 -> 10.8.0.6 DNS Standard query response, No such name Притом с самого сервера проблем нет. Возможно надо добавить какое-то правило в iptables? UPD: Интересен тот факт, что все локальные имена он резолвит, а сам севр резолвит соотв. все: root@debserver:~# tshark -i tun0 Running as user "root" and group "root". This could be dangerous. Capturing on tun0 0.000000 10.8.0.6 -> 10.10.0.1 DNS Standard query A az.home 0.000336 10.10.0.1 -> 10.8.0.6 DNS Standard query response A 10.10.0.101 7.042326 10.8.0.6 -> 10.10.0.1 DNS Standard query A ya.ru 7.042669 10.10.0.1 -> 10.8.0.6 DNS Standard query response, Refused 7.179239 10.8.0.6 -> 10.10.0.1 DNS Standard query A ya.ru.home 7.179512 10.10.0.1 -> 10.8.0.6 DNS Standard query response, No such name ^C6 packets captured root@debserver:~# nslookup ya.ru Server: 10.10.0.1 Address: 10.10.0.1#53 Non-authoritative answer: Name: ya.ru Address: 77.88.21.3 Name: ya.ru Address: 87.250.250.3 Name: ya.ru Address: 87.250.251.3 Name: ya.ru Address: 93.158.134.3 Name: ya.ru Address: 213.180.204.3 Если смотреть tcpdump есть один момент который меня смущает: root@debserver:~# tcpdump -i tun0 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on tun0, link-type RAW (Raw IP), capture size 96 bytes 15:22:28.002695 IP 10.8.0.6.42477 > debserver.domain: 49478+ A? ya.ru. (23) 15:22:28.003138 IP debserver.domain > 10.8.0.6.42477: 49478 Refused- 0/0/0 (23) 15:22:28.142308 IP 10.8.0.6.54099 > debserver.domain: 54895+ A? ya.ru.home. (28) 15:22:28.142555 IP debserver.domain > 10.8.0.6.54099: 54895 NXDomain- 0/1/0 (69) 15:22:34.161654 IP 10.8.0.6.35744 > debserver.domain: 50212+ A? az.home. (25) 15:22:34.161975 IP debserver.domain > 10.8.0.6.35744: 50212*- 1/1/1 A 10.10.0.101 (74) откуда он взял debserver.domain?... Нигде не нашел упоминание о "domain", домен в сети - "home".
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	22. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от reader (ok) on 16-Июл-10, 16:45
	>[оверквотинг удален] >root@debserver:~# tshark -i tun0 >Running as user "root" and group "root". This could be dangerous. >Capturing on tun0 > 0.000000 10.8.0.6 -> 10.10.0.1 DNS Standard query A ya.ru > 0.000304 10.10.0.1 -> 10.8.0.6 DNS Standard query response, Refused > 0.138222 10.8.0.6 -> 10.10.0.1 DNS Standard query A ya.ru.home > 0.138485 10.10.0.1 -> 10.8.0.6 DNS Standard query response, No such name > >Притом с самого сервера проблем нет. >Возможно надо добавить какое-то правило в iptables? а запросы в том числе и рекурсивные запросы и на этих серверах для 10.8.0.6 разрешены? >[оверквотинг удален] >listening on tun0, link-type RAW (Raw IP), capture size 96 bytes >15:22:28.002695 IP 10.8.0.6.42477 > debserver.domain: 49478+ A? ya.ru. (23) >15:22:28.003138 IP debserver.domain > 10.8.0.6.42477: 49478 Refused- 0/0/0 (23) >15:22:28.142308 IP 10.8.0.6.54099 > debserver.domain: 54895+ A? ya.ru.home. (28) >15:22:28.142555 IP debserver.domain > 10.8.0.6.54099: 54895 NXDomain- 0/1/0 (69) >15:22:34.161654 IP 10.8.0.6.35744 > debserver.domain: 50212+ A? az.home. (25) >15:22:34.161975 IP debserver.domain > 10.8.0.6.35744: 50212- 1/1/1 A 10.10.0.101 (74) > >откуда он взял debserver.domain?... Нигде не нашел упоминание о "domain", домен в >сети - "home".
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	23. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от reader (ok) on 16-Июл-10, 16:51
	>[оверквотинг удален] >listening on tun0, link-type RAW (Raw IP), capture size 96 bytes >15:22:28.002695 IP 10.8.0.6.42477 > debserver.domain: 49478+ A? ya.ru. (23) >15:22:28.003138 IP debserver.domain > 10.8.0.6.42477: 49478 Refused- 0/0/0 (23) >15:22:28.142308 IP 10.8.0.6.54099 > debserver.domain: 54895+ A? ya.ru.home. (28) >15:22:28.142555 IP debserver.domain > 10.8.0.6.54099: 54895 NXDomain- 0/1/0 (69) >15:22:34.161654 IP 10.8.0.6.35744 > debserver.domain: 50212+ A? az.home. (25) >15:22:34.161975 IP debserver.domain > 10.8.0.6.35744: 50212- 1/1/1 A 10.10.0.101 (74) > >откуда он взял debserver.domain?... Нигде не нашел упоминание о "domain", домен в >сети - "home". :) debserver.domain - это машина debserver порт domain ( 53 ) запустите tcpdump с ключом -n
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	24. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 19-Июл-10, 14:45
	Все, разобрался с рекурсией и оно таки заработало! reader, огромное спасибо за все ваши советы и за потраченное время! Даже не знаю, чтобы я без вас делал! Мне искренне приятно, что есть все таки люди, которые готовы и могут помочь в непростых ситуациях. Вопрос можно считать закрытым.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	17. "Вопрос по настройка OpenVPN"	+1 +/–
	Сообщение от reader (ok) on 14-Июл-10, 22:54
	специально проверил , с пол пинка. отличия от вашего: интерфейс tap, клиент под linux. единственный нюанс - клиент не захотел брать адрес DNS сервера, прописывал ручками. дополнительные модули подгружать не пришлось. echo 1 > /proc/sys/net/ipv4/ip_dynaddr - не понадобилось (на внешке ip постоянный).
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	19. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 16-Июл-10, 09:56
	>специально проверил , с пол пинка. > >отличия от вашего: >интерфейс tap, клиент под linux. >единственный нюанс - клиент не захотел брать адрес DNS сервера, прописывал ручками. > > >дополнительные модули подгружать не пришлось. >echo 1 > /proc/sys/net/ipv4/ip_dynaddr - не понадобилось (на внешке ip постоянный). Клиент у меня тоже linux (ubuntu 10.04), ip сервера тоже внешний статический.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору

6. "Вопрос по настройка OpenVPN"	+/–
Сообщение от прохожий. on 12-Июл-10, 23:12
1. Уберите default gateway в настройках ip. 2. Допишите в сетях маршрут к прокси http-proxy !!_..4.8_!! 8001 через .*.175.1 . 3. В настройках openvpn добавить поднятие default route через vpn. Теперь после этих манипуляций все, что не в вашу сеть или в прокси - посылать через vpn.
Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	10. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от Faustle (ok) on 14-Июл-10, 13:53
	>1. Уберите default gateway в настройках ip. >2. Допишите в сетях маршрут к прокси >http-proxy !!_..4.8_!! 8001 через ..175.1 . > >3. В настройках openvpn добавить поднятие default route через vpn. > >Теперь после этих манипуляций все, что не в вашу сеть или в >прокси - посылать через vpn. Добрый день. После добавления push «redirect-gateway», default gateway клиента соотв. становится нужный. По поводу >http-proxy !!_..4.8_!! 8001 через .**.175.1 . не совсем понял
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	12. "Вопрос по настройка OpenVPN"	+/–
	Сообщение от reader (ok) on 14-Июл-10, 14:07
	>[оверквотинг удален] >> >>Теперь после этих манипуляций все, что не в вашу сеть или в >>прокси - посылать через vpn. > >Добрый день. > >После добавления push «redirect-gateway», default gateway клиента соотв. становится нужный. > >По поводу >>http-proxy !!_..4.8_!! 8001 через .*.175.1 . так как идете через прокси, то добавте маршрут к прокси через шлюз провайдера > >не совсем понял
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору

8. "Вопрос по настройка OpenVPN"	+/–
Сообщение от Faustle (ok) on 14-Июл-10, 13:28
Коллеги, Всем спасибо за комментарии. Не имел доступа к интернету, не мог отписать. Буду пробовать ваши советы, по результатами отпишусь..
Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору