LINUX.ORG.RU
решено ФорумAdmin

Конфигурация сервера OpenVPN


0

1

Добрый вечер, хотел бы попросить помощи, начал осваивать openvpn, так как у меня ubuntu я решил сразу искать инструкцию на форуме - вот нашёл ссылку https://help.ubuntu.com/10.04/serverguide/C/openvpn.html по ней и настраиваю, нашёл ещё перевод конфигурации openvpn. Собрал уже столько инструкций аж голова кругом и все пишут по разному. Я просто опишу, поправьте... Домашний компьютер(server) хочу соединить с двумя другими. модем 192.168.1.1 server 192.168.1.33 DynDNS dft.dyndns.com В модеме в настройках NAT я указал порт 1194

Вот встречается символ ; - он означает что строка закомментирована также как и символом #? Вот конфигурация которая на ubuntu.com local 172.18.100.101 - заменяем на 192.168.1.33

dev tap0 - вот тут есть 2 варианта - какой подходит мне, чем отличаются? # «dev tun» создаст маршрутизируемый IP туннель, # «dev tap» создаст ethernet туннель.

up «/etc/openvpn/up.sh br0» - эту строку я не нашёл в конфиге - куда её вставлять? down «/etc/openvpn/down.sh br0» - тоже отсутсвует

;server 10.8.0.0 255.255.255.0 - эту строку закомментируем если используем tap

server-bridge 172.18.100.101 255.255.255.0 172.18.100.105 172.18.100.200 - заменяем на 192.168.1.33 255.255.255.0 192.168.1.50 192.168.1.55

push «route 172.18.100.1 255.255.255.0» - заменяем на ip модема 192.168.1.1 255.255.255.0

push «dhcp-option DNS 172.18.100.20» - вот здесь мне нужно указать имя dft.dyndns.com?

push «dhcp-option DOMAIN example.com» - нужна мне эта строка домена нет?

tls-auth ta.key 0 # This file is secret - эта строка по умолчанию закомментирована

user nobody

group nogroup

И для чего нужны скрипты которые были прописаны в конфиге /etc/openvpn/up.sh #!/bin/sh

BR=$1 DEV=$2 MTU=$3 /sbin/ifconfig $DEV mtu $MTU promisc up /usr/sbin/brctl addif $BR $DEV

/etc/openvpn/down.sh #!/bin/sh

BR=$1 DEV=$2

/usr/sbin/brctl delif $BR $DEV /sbin/ifconfig $DEV down

Спасибо...

Ну, эти скрипты нужны для того, чтобы при поднятии tap интерфейса он добавлялся в бридж при подключении и удалялся при отключении клиента.

А tun или tap.. тут дело вкуса.. +) по мне так tap няшнее, более прозрачнее)

Lindows ()

push «dhcp-option DNS 172.18.100.20» - вот здесь мне нужно указать имя dft.dyndns.com?

нет. нужно указать днс сервер, который будет пушиться клиенту и использоваться им для резолва адресов

push «dhcp-option DOMAIN example.com» - нужна мне эта строка домена нет?

нет

xtraeft ★★☆☆ ()
Ответ на: комментарий от xtraeft

Так у меня динамический адрес, для этого я и зарегистрировался на DynDNS - где же мне теперь указать адрес, в какой строке

anonymous ()
Ответ на: комментарий от anonymous

где же мне теперь указать адрес, в какой строке

если dyndns привязан к серверу openvpn, то его адрес клиенту в конфиг

remote host.dyndns.com
xtraeft ★★☆☆ ()
Ответ на: комментарий от xtraeft

Извиняюсь может я повторяюсь - но как мне привязать dyndns к моему серверу openvpn если я не знаю куда её прописать в конфиге openvpn, это я и спрашивал в первом вопросе, он же не может просто работать если я прописал openvpn в настройках NAT модема, а вы же мне кажется немного дальше подсказываете - уже в конфиге клиента

Silver23 ()
Ответ на: комментарий от Silver23

openvpn и dyndns никак не связаны, dyndns нужно просто резолвить на ип openvpn сервера

и без нормально описанной желаемой схемы сети трудно помочь.

xtraeft ★★☆☆ ()
Ответ на: комментарий от xtraeft

Схема вроде простая 1. Компьютер(он же сервер openvpn) - внешний динамический IP локальный IP 192.168.1.33 IP модема 192.168.1.1 DHCP выступает модем DNS зарегистрировал на DynDNS - dft.dyndns.com 2. Есть 2 компьютера (клиенты openvpn) удалённых которые я бы хотел соединить в одну сеть (Hamachi не подходит)

Первым делом я прописал порты в настройках модема NAT (1194), затем приступил к настройки openvpn по инструкции, дошел до настройки сервера и всё остальное выше... Я просто не пойму, вот например клиент подключается к серверу он же должен указать внешний статический адрес (не будет же он подключатся к локальному 192.168.1.33), а внешний статический же должен же где то в конфиге openvnc указан быть правильно? А если нет статического, тогда я должен там указать dft.dyndns.com - правильно? Или будет достаточно указать в настройках NAT модема? Видите ли я просто всё записываю чтобы потом объяснить другим, а для этого мне нужно понять всё

Silver23 ()
Ответ на: комментарий от Silver23

1. тогда push dhcp-option тебе вообще не нужен.

2. в конфиге openvpn сервера указываешь слушать свой локальный ip, который получаешь по dhcp от модема.

3. в конфиге openvpn клиентов - remote dft.dyndns.com , который в свою очередь резолвит на твой белый динамический ip, который висит на модеме. модем в свою очередь натит это все на твой openvpn сервер.

вот простой конфиг openvpn сервера (в твоем случае все просто)

port 1194
proto tcp
dev tun1
ca ca-cert.pem
cert vpn_server_1.pem
key vpn_server_1_key.pem
dh dh1024.pem
server 10.8.0.0 255.255.255.0
keepalive 10 120
cipher AES-128-CBC
max-clients 200
client-to-client
user nobody
group nobody
persist-key
persist-tun
verb 3

и клиента

client
dev tun
proto tcp
remote dft.dyndns.com
port 1194
resolv-retry infinite
nobind
ns-cert-type server
pkcs12 client.p12
cipher AES-128-CBC
verb 3
xtraeft ★★☆☆ ()
Ответ на: комментарий от xtraeft

Спасибо я немного попроще сделал - только никак не получается через имя DynDNS выйти - если прописываю локальный адрес в момент, ставлю имя - wsaeconnreset code 10054 уже и NAT в модеме и Firewall проверял и решил на XP поднять - ту же ошибку показывает - хотя я вижу как он к моиму IP динамическому подключатся пытается - видать не осилить мне OpenVPN

Silver23 ()
Ответ на: комментарий от xtraeft

local 192.168.1.38

port 1211

proto udp

dev tun

ca ca.crt

cert server.crt

key server.key

dh dh1024.pem

server 10.10.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt

client-to-client

keepalive 10 120

comp-lzo

persist-key

persist-tun

status openvpn-status.log

verb 3

client

dev tun

proto udp

remote verd.dnslias.org 1211

resolv-retry infinite

nobind

persist-key

persist-tun

ca ca.crt

cert client3.crt

key client3.key

ns-cert-type server

comp-lzo

verb 3

Главное если в remove ставишь 192.168.1.38 то соединяется моментом, если адрес verd.dnslias.org то показывает мой внешний ip, но выдаёт ошибку wsaeconnreset code 10054, в настройках модема NAT - настроил UDP 1212, Firewall в подменю Rules тоже настраивал и другой вариант - отключал вообще Firewall всё одну ошибку выдаёт, может не такая конфигурация openvpn или всё таки в модеме настройки?

Silver23 ()
Ответ на: комментарий от xtraeft

Извините опечатка - там 1211, голова уже не соображает, просто у всех так легко получается поднять OpenVPN, а я вечно с проблемами ((((( Zyxel P-660HTW2 EE у меня такой модем, Ну если локально я соединяюсь, значит дело в настройках модема, больше же ничего не может влиять?

Silver23 ()
Ответ на: комментарий от Silver23

выкинь

local 192.168.1.38
из конфига сервера, перезапусти openvpn.

проверь пингуется ли verd.dnslias.org с клиента.

если не поможет - проблема в настройке ната модема

xtraeft ★★☆☆ ()
Ответ на: комментарий от xtraeft

Спасибо что уделяете время моей проблеме. Попробую советы вечером...

С другой стороны я настроил SSH, прописал в NAT порты, Firewall указал всё как по инструкции Zyxel и всё работает, а с OpenVPN проблема и вот не понятно получается где копать, или в модеме - но ssh работает или настройках openvpn, но локально vpn поднимается

Silver23 ()
Ответ на: комментарий от Silver23

ну если ssh пробросить получилось, значит проблема уже дальше модема - на самом сервере. попробуй конфиг поправить, как я указал постом выше

xtraeft ★★☆☆ ()
Ответ на: комментарий от Silver23

если есть какие то вопросы - стучи мне в джабер xtraeft@gmail.com , там быстрее получится

xtraeft ★★☆☆ ()
Ответ на: комментарий от Silver23

используй tcp проверь еще раз форвардинг. и еще. ты же проверяещь коннект с другого провайдера? если нет то попроси у знакомых телнетом проверить соединение на порт.

и все же я думаю дело в кривой настройке роутера

guyvernk ()
Ответ на: комментарий от guyvernk

Поставил tcp - ещё раз проверил port forwarding - хотя что там проверять галочка актив, ip сервера, порты 1194 - вот и весь форвардинг - попробую поискать другой модем, может dlink будет разговорчивей

Silver23 ()
Ответ на: комментарий от guyvernk

Да я с портами экспериментировал, всё получилось создать туннель - заново установил openvpn по инструкции ubuntu.com затем создал ключи для пользователя перекинул с помощь teamviewer на рабочий компьютер - установил openvpn на XP - запускаю и оп всё работает )) спасибо за помощь видать дело в модеме

Silver23 ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.