Модераторы: powerfox, ZeeLax

Поиск:

Ответ в темуСоздание новой темы Создание опроса
> OpenVPN и маршрутизация, Как марш-ть запросы обратно к VPN-сервер 
:(
    Опции темы
ll75
Дата 28.12.2006, 12:02 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


ok, let' go
*


Профиль
Группа: Участник
Сообщений: 79
Регистрация: 4.10.2006
Где: musiq

Репутация: 1
Всего: 1
Плз, хелп.

Настроил OpenVPN, конфиги:

сервер:
Код

dev tun0
ifconfig 192.168.15.1 192.168.15.2

comp-lzo

keepalive 10 60
ping-timer-rem
persist-tun
persist-key

user nobody
group nobody

tls-server
tls-auth ta.key 0
ca ca.crt
cert  server.crt
key server.key
dh dh1024.pem
mode server
cipher DES-EDE3-CBC
client-config-dir ccd
log openvpn.log
verb 3
route 192.168.10.0 255.255.255.0


клиент:
Код

remote ip_адрес_сервера
dev tun1
ifconfig 192.168.15.2 192.168.15.1
comp-lzo
keepalive 10 60
ping-timer-rem
persist-tun
persist-key

user nobody
group nobody

client
tls-client
tls-auth ta.key 1
dh dh1024.pem
ca ca.crt
cert client.crt
key client.key
cipher DES-EDE3-CBC
ns-cert-type server
log openvpn-log
verb 3


ccd/client:
Код

ifconfig-push 192.168.15.2 192.168.15.1
iroute 192.168.10.0 255.255.255.0


При этом интерфейсы tun при запуске появляются и на сервере и на клиенте-и пингуются между собой, но вот с сервера не пингуется адреса из сети 192.168.10, которая подключена к VPN-клиенту. tcpdump показывает на клиенте, что icmp-пакеты доходят, но обратно не идут реплаи... 

На http://openvpn.net/howto.html :
"The last step, and one that is often forgotten, is to add a route to the server's LAN gateway which directs 192.168.4.0/24 to the OpenVPN server box..." Каким образом это делать?
PM MAIL   Вверх
ZeeLax
Дата 28.12.2006, 17:06 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
Если, как мне показалось, на сервере висит адрес 192.168.5.1, то
Код

ip route add 192.168.10.0/24 via 192.168.15.2



--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
ll75
Дата 28.12.2006, 17:11 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


ok, let' go
*


Профиль
Группа: Участник
Сообщений: 79
Регистрация: 4.10.2006
Где: musiq

Репутация: 1
Всего: 1
благодаря опциям 
Код

route 192.168.10.0 255.255.255.0 (в /usr/local/etc/openvpn/openvpn.conf) и iroute 192.168.10.0 255.255.255.0 (в /usr/local/etc/openvpn/ccd/client)



на сервере

Код

$netstat -rn|grep 192

192.168.10         192.168.15.2       UGSc        0       53   tun0


т.е. маршрут есть и icmp пакеты доходят до VPN-клиента по крайней мере,а назад не идут, как узнать на коком хопе затык что-ли?
PM MAIL   Вверх
bilbobagginz
Дата 28.12.2006, 23:02 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Naughtius Maximus
****


Профиль
Группа: Экс. модератор
Сообщений: 8813
Регистрация: 2.3.2004
Где: Israel

Репутация: 34
Всего: 317
покури man tcpdump


--------------------
Я ещё не демон. Я только учусь.
PM WWW   Вверх
ZeeLax
Дата 29.12.2006, 07:24 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
ll75, с маршрутом ступил, прошу прощения.
А на хостах из сети 192.168.10.0/24 маршрут по умолчанию присутствует?
man traceroute ещё курнуть можно.


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
ll75
Дата 29.12.2006, 10:52 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


ok, let' go
*


Профиль
Группа: Участник
Сообщений: 79
Регистрация: 4.10.2006
Где: musiq

Репутация: 1
Всего: 1
с сервера
Код

# traceroute 192.168.10.31
traceroute to 192.168.10.31 (192.168.10.31), 64 hops max, 44 byte packets
1  192.168.15.2 (192.168.15.2)  257.734 ms  223.007 ms  239.358 ms
2  * * *
PM MAIL   Вверх
ll75
Дата 29.12.2006, 11:11 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


ok, let' go
*


Профиль
Группа: Участник
Сообщений: 79
Регистрация: 4.10.2006
Где: musiq

Репутация: 1
Всего: 1
Запустил на VPN клиенте tcpdump и одновременно на VPN сервере ping 192.168.10.31 - идут только  запросы

Код

# tcpdump -env -i tun1
10:08:29.823593 AF 2 84: 192.168.15.1 > 192.168.10.31: icmp: echo request (ttl 64, id 43236, len 84)
10:08:30.837705 AF 2 84: 192.168.15.1 > 192.168.10.31: icmp: echo request (ttl 64, id 43238, len 84)
PM MAIL   Вверх
ZeeLax
Дата 29.12.2006, 11:11 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
Код

ip ro sh | sort
netstat -nr  | sort
route -n | sort
route print  | sort

? (отовсюду)

Это сообщение отредактировал(а) ZeeLax - 29.12.2006, 11:11


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
ll75
Дата 29.12.2006, 13:50 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


ok, let' go
*


Профиль
Группа: Участник
Сообщений: 79
Регистрация: 4.10.2006
Где: musiq

Репутация: 1
Всего: 1
А может быть необходимо исп-ть  port forwarding 1194 к OpenVPN серверу на VPn-клиенте?
PM MAIL   Вверх
ll75
Дата 29.12.2006, 14:48 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


ok, let' go
*


Профиль
Группа: Участник
Сообщений: 79
Регистрация: 4.10.2006
Где: musiq

Репутация: 1
Всего: 1
Код

# route -n get 192.168.10.31
   route to: 192.168.10.31
destination: 192.168.10.0
       mask: 255.255.255.0
    gateway: 192.168.15.2
  interface: tun0
      flags: <UP,GATEWAY,DONE,STATIC,PRCLONING>
 recvpipe  sendpipe  ssthresh  rtt,msec    rttvar  hopcount      mtu     expire
       0         0         0         0         0         0      1500         0
PM MAIL   Вверх
ZeeLax
Дата 30.12.2006, 09:56 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
Ещё раз, пожалуйста, скиньте сюда таблицы маршрутизации со всех трёх хостов.


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
ll75
Дата 3.1.2007, 10:59 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


ok, let' go
*


Профиль
Группа: Участник
Сообщений: 79
Регистрация: 4.10.2006
Где: musiq

Репутация: 1
Всего: 1
На OpenVPN-сервере

Код

$netstat -nr
Internet:
Destination        Gateway            Flags    Refs      Use  Netif Expire
default            xxx.xx.xx.xxx      UGSc       40   235707   fxp0
127.0.0.1          127.0.0.1          UH          1    97866    lo0
192.168.10         192.168.15.2       UGSc        0       15   tun0
192.168.15.2       192.168.15.1       UH          1       27   tun0


На OpenVPN-клиенте
Код


$netstat -nr
Internet:
Destination        Gateway            Flags    Refs      Use  Netif Expire
default            yyy.yyy.yyy.y      UGSc        5     7539   tun0
127.0.0.1          127.0.0.1          UH          0     3781    lo0
192.168.9.2        00:30:4f:24:f0:18  UHLW       11        0    rl0    181
192.168.10         192.168.9.2        UGSc        7    53077    rl0
192.168.15.1       192.168.15.2       UH          0       11   tun1


На клиенте Windows, которого не пингую с OpenVPN-сервера:

Код

>netstat -nr

Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрик09
          0.0.0.0          0.0.0.0   192.168.10.1      192.168.10.31       20
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1       1
     192.168.10.0    255.255.255.0    192.168.10.31       192.168.10.31       20
    192.168.10.31  255.255.255.255        127.0.0.1       127.0.0.1       20
   192.168.10.255  255.255.255.255    192.168.10.31       192.168.10.31       20
  255.255.255.255  255.255.255.255    192.168.10.31       192.168.10.31       1
Основной шлюз:      192.168.10.1
PM MAIL   Вверх
ZeeLax
Дата 3.1.2007, 13:34 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
на vpn клиенте маршрутизация включена?
на windows брандмауэр запросы из сети 192.168.15.0 не блокирует?


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
ll75
Дата 3.1.2007, 14:28 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


ok, let' go
*


Профиль
Группа: Участник
Сообщений: 79
Регистрация: 4.10.2006
Где: musiq

Репутация: 1
Всего: 1
ну да, на клиенте ж есть строки 192.168.10         192.168.9.2        UGSc  
и 192.168.15.1       192.168.15.2       UH  
Код

$netstat -nr
Internet:
Destination        Gateway            Flags    Refs      Use  Netif Expire
default            yyy.yyy.yyy.y      UGSc        5     7539   tun0
127.0.0.1          127.0.0.1          UH          0     3781    lo0
192.168.9.2        00:30:4f:24:f0:18  UHLW       11        0    rl0    181
192.168.10         192.168.9.2        UGSc        7    53077    rl0
192.168.15.1       192.168.15.2       UH          0       11   tun1


Нет, не блокирует брэндмауэр на Win... еще я заметил что если вместо Win ставлю FreeBSD, и на ней смотрю tcpdump -видно как и request  и reply присутствуют в выводе tcpdump,т.е. где-то они тормозятся?
PM MAIL   Вверх
ZeeLax
Дата 3.1.2007, 21:19 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
Цитата(ll75 @  3.1.2007,  17:28 Найти цитируемый пост)
ну да, на клиенте ж есть строки 192.168.10         192.168.9.2        UGSc  
и 192.168.15.1       192.168.15.2       UH  

Наличие маршрутов не означает включенную маршрутизацию.

Добавлено @ 21:22 
Цитата(ll75 @  3.1.2007,  17:28 Найти цитируемый пост)
Нет, не блокирует брэндмауэр на Win... еще я заметил что если вместо Win ставлю FreeBSD, и на ней смотрю tcpdump -видно как и request  и reply присутствуют в выводе tcpdump,т.е. где-то они тормозятся? 

А вот это очень похоже на то, что ответные пакеты блокируются на VPN-клиенте.


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
Ответ в темуСоздание новой темы Создание опроса
Правила форума "Linux/UNIX: Администрирование"
ZeeLax
Imple
nerezus
 Этот форум предназначен для решения вопросов по администрации *n?x-систем, в частности по настройке сложных сетей и обслуживанию серверного оборудования.

  • Вы должны соблюдать правила форума.
  • Помните: какой вопрос, такой и ответ. Прежде чем задать вопрос прочитайте вот эту статью на форуме CIT.
  • Оскорблять запрещается.
  • Религиозные войны в Религиозных войнах.
  • Общение "просто так" в Клубе юнуксоидов. В отличие от многих других разделов, здесь разрешается сдержанно оффтопить и юморить в тему.

За интересные статьи, находки, решения, программы и просто реальную помощь будут ставиться + в репу).


В данный момент этот раздел модерируют nerezus, nickless, powerfox, pythonwin, Imple и ZeeLax. Если вы хотите помочь нам, пишите в ПМ и мы обсудим.

Спасибо. И use UNIX or die; С уважением, nerezus, nickless, powerfox, pythonwin, Imple, ZeeLax.
 
0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема | Администрирование *NIX систем | Следующая тема »

Подписаться на тему | Подписка на этот форум | Скачать/Распечатать тему


 




[ Время генерации скрипта: 0.0903 ]   [ Использовано запросов: 22 ]   [ GZIP включён ]


Реклама на сайте     Информационное спонсорство

 
 По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности     Powered by Invision Power Board(R) 1.3 © 2003  IPS, Inc.