LINUX.ORG.RU
ФорумAdmin

Не поднимается OpenVPN


0

0

Hi all. Пытаюсь настроить впн-туннель между машиной на Debian (сервер) и клиентом на ХР. Туннель не поднимается, при этом на сервере:

aerie:~# openvpn --dev tun -config /usr/local/etc/openvpn/server.conf
Wed May 12 13:02:52 2010 OpenVPN 2.1.1 i686-pc-linux-gnu [SSL] [LZO2] [EPOLL] built on May 11 2010
Wed May 12 13:02:52 2010 IMPORTANT: OpenVPN's default port number is now 1194, based on an official port number assignment by IANA.  OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
Wed May 12 13:02:52 2010 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Wed May 12 13:02:52 2010 ******* WARNING *******: all encryption and authentication features disabled -- all data will be tunnelled as cleartext
Wed May 12 13:02:52 2010 TUN/TAP device tun0 opened
Wed May 12 13:02:52 2010 UDPv4 link local (bound): [undef]:1194
Wed May 12 13:02:52 2010 UDPv4 link remote: [undef]
Wed May 12 13:03:00 2010 Peer Connection Initiated with 192.168.5.2:1194
Wed May 12 13:03:00 2010 Initialization Sequence Completed
Wed May 12 13:03:00 2010 write to TUN/TAP : Invalid argument (code=22)
Wed May 12 13:03:02 2010 write to TUN/TAP : Invalid argument (code=22)
Wed May 12 13:03:04 2010 write to TUN/TAP : Invalid argument (code=22)
..на клиенте:
Wed May 12 13:06:21 2010 OpenVPN 2.1.1 i686-pc-mingw32 [SSL] [LZO2] [PKCS11] built on Dec 11 2009
Wed May 12 13:06:21 2010 IMPORTANT: OpenVPN's default port number is now 1194, based on an official port number assignment by IANA.  OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
Wed May 12 13:06:21 2010 WARNING: using --pull/--client and --ifconfig together is probably not what you want
Wed May 12 13:06:21 2010 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Wed May 12 13:06:22 2010 Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
Wed May 12 13:06:22 2010 Outgoing Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Wed May 12 13:06:22 2010 Incoming Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Wed May 12 13:06:22 2010 LZO compression initialized
Wed May 12 13:06:22 2010 Control Channel MTU parms [ L:1538 D:162 EF:62 EB:0 ET:0 EL:0 ]
Wed May 12 13:06:22 2010 Data Channel MTU parms [ L:1538 D:1450 EF:38 EB:135 ET:0 EL:0 AF:3/1 ]
Wed May 12 13:06:22 2010 Local Options hash (VER=V4): '03fa487d'
Wed May 12 13:06:22 2010 Expected Remote Options hash (VER=V4): '1056bce3'
Wed May 12 13:06:22 2010 Socket Buffers: R=[8192->8192] S=[8192->8192]
Wed May 12 13:06:22 2010 UDPv4 link local (bound): [undef]:1194
Wed May 12 13:06:22 2010 UDPv4 link remote: 192.168.5.1:1194
Wed May 12 13:06:24 2010 TLS Error: Unroutable control packet received from 192.168.5.1:1194 (si=3 op=P_ACK_V1)
Wed May 12 13:06:35 2010 TLS Error: Unroutable control packet received from 192.168.5.1:1194 (si=3 op=P_ACK_V1)
server.conf:
proto udp
dev tun
ping 15
local 192.168.5.1
remote 192.168.5.2
ifconfig 10.1.0.1 10.1.0.2
route 192.168.5.0 255.255.255.0
ca /usr/local/etc/openvpn/keys/ca.crt
cert /usr/local/etc/openvpn/keys/server.crt
key /usr/local/etc/openvpn/keys/server.key
dh /usr/local/etc/openvpn/keys/dh1024.pem
client-config-dir ccd
tls-server
tls-auth keys/ta.key 0
tls-timeout 120
auth MD5
cipher BF-CBC
keepalive 10 120
comp-lzo
max-clients 100
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn-status.log
log /var/log/openvpn.log
verb 3
openvpn.conf:
dev tun
proto udp
remote 192.168.5.1
client
ping 15
ifconfig 10.1.0.2 10.1.0.1
route 192.168.5.0 255.255.255.0
resolv-retry infinite
ca ca.crt
cert client.crt
key client.key
tls-client
tls-auth ta.key 1
auth MD5
cipher BF-CBC
ns-cert-type server
comp-lzo
persist-key
persist-tun
verb 3
Две машины: у одной адрес 192.168.5.2 (ХР), у второй: 192.168.5.1 (openvpn server). Также вторая является шлюзом в сеть 192.168.0.0-192.168.0.255 Подскажите пожалуйста, в каком хоть направлении копать.

Конфиг с которым много лет всё работает без сбоев в продакшене:

dev myvpn
dev-type tap
client-to-client
server 172.16.1.0 255.255.255.0
port 6669
user myvpn
group nogroup
persist-key
persist-tun
keepalive 30 180
client-config-dir /etc/openvpn/myvpn/ccd
ccd-exclusive

#SSL STUFF
dh /etc/openvpn/dh2048.pem
ca /etc/openvpn/ca.crt
cert /etc/openvpn/myvpn/myvpnserver.crt
key /etc/openvpn/myvpn/myvpnserver.key
client
tls-client
remote-cert-tls server
dev-type tap
dev myvpn
route-nopull
remote vpn.microsoft.com 6669
ca /etc/openvpn/myvpn/ca.crt
cert /etc/openvpn/myvpn/client.crt
key /etc/openvpn/myvpn/client.key
true_admin ★★★★★ ()

openvpn на сервере последней версии, APT-ом ставленный?

Bers666 ★★★★★ ()

Тут хорошо все описано, у меня лично работает по этому HowTo с небольшим допиливанием.

dgeliko ★★ ()

обычно такая ошибка возникает в случает несоответствия содержимого файлов ta.key на сервере и клиенте. И на всякий случай сверьте часы на клиенте и сервере, чтобы не бло ошибок сертификатами.

Bloody ()
Ответ на: комментарий от uruloke

это поднимает сеть между всеми клиентами и сервером. Если нужно ещё что-то то добавь роутов по вкусу.

true_admin ★★★★★ ()
Ответ на: комментарий от Bloody

Делал и по руководству с генту-вики, и по лиссяровскому, и по вышеприведенному - все равно с одной стороны invalid argument, а с другой - unroutable packet. Время синхронизировано, сертификаты и ключи заново перерегистрировал - бестолку.

uruloke ()

Может ли проблема быть в файерволе? Сейчас так:

#!/bin/sh
IPT="/sbin/iptables"
modprobe tun
echo 1 > /proc/sys/net/ipv4/ipforward
$IPT -F
$IPT -F INPUT
$IPT -F OUTPUT
$IPT -F FORWARD
$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD ACCEPT

uruloke ()
Ответ на: комментарий от uruloke

После смены схемы шифрования на шифрование со статическим ключом, полезли такие ошибки: на клиенте:

Authenticate/Decrypt packet error: missing authentication info
на сервере все тот же TUN/TAP error:
write to TUN/TAP : Invalid argument (code=22)
--test-crypto запускал, self-test mode succeeded.

uruloke ()
Ответ на: комментарий от uruloke

После отключения шифрования вообще, коннект как бы есть, но его на самом деле нет: пинг между клиентом и сервером опенвпн не проходит, хотя мониторчики зеленеют. сервер

proto udp
local 192.168.5.1
remote 192.168.5.2
dev tun
ifconfig 192.168.8.1 192.168.8.2
keepalive 10 60
ping-timer-rem
persist-tun
persist-key
daemon
клиент
proto udp
remote 192.168.5.1
local 192.168.5.2
dev tun
ifconfig 192.168.8.2 192.168.8.1
keepalive 10 60
persist-tun
persist-key
Еще ругается на
WARNING: 'ifconfig' is present in local config but missing in remote config, local='ifconfig 192.168.8.2 192.168.8.1'
, хотя и там и там ifconfig прописан вроде.

uruloke ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.