Помогите настроить OpenVPN

1. включи форвард + ip tables рулы. 2. логи

IPv4 форвард включен на VPN сервере (sysctl говорит, что «net.ipv4.ip_forward = 1»). В конфиге OpenVPN стоит «verb 6» (5 and 6 can help to debug connection problems), ничего подозрительного не пишет.

А насчет правил iptables - какие именно необходимо прописать?

Да, на клиенте1 файрволл выключен, на клиенте2 и VPN сервере iptables -L (-t nat) везде ACCEPT.

с вербоуз 4 покажи лог подлючения.

пишу по памяти (что типа этого): iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A FORWARD -s 192.168.1.0/24 -j ACCEPT

Лог с момента старта OpenVPN (Initialization complete) до подключения клиента1 http://pastebin.com/BBrY6Fyz. Правила применил на VPS - не помогло.

Запустите tcpdump на той машине, куда доходит ping, но не доходит ssh. Посмотрите, действительно ли доходят туда пакеты (icmp и tcp syn) или нет.

server:
route 192.168.1.0 255.255.255.0
route 10.1.0.0 255.255.255.0
push "route 192.168.1.0 255.255.255.0"
push "route 10.1.0.0 255.255.255.0"

client1:
iroute 10.1.0.0 255.255.255.0

client2:
iroute 192.168.1.0 255.255.255.0

Если не нужен iptables между подсетями клиентов, то ещё и client-to-client в конфиг сервера

tcpdump смотрел, вот лог с машины, куда хочу достучаться (ping прошел успешно, ssh - connection refused):

[root@nw73lxc ~]# tcpdump -n host 192.168.1.73
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
08:10:01.782688 IP 10.8.0.10 > 192.168.1.73: ICMP echo request, id 1, seq 2940, length 40
08:10:01.782783 IP 192.168.1.73 > 10.8.0.10: ICMP echo reply, id 1, seq 2940, length 40
08:10:02.791599 IP 10.8.0.10 > 192.168.1.73: ICMP echo request, id 1, seq 2941, length 40
08:10:02.791648 IP 192.168.1.73 > 10.8.0.10: ICMP echo reply, id 1, seq 2941, length 40
08:10:03.935986 IP 10.8.0.10 > 192.168.1.73: ICMP echo request, id 1, seq 2942, length 40
08:10:03.936034 IP 192.168.1.73 > 10.8.0.10: ICMP echo reply, id 1, seq 2942, length 40
08:10:04.798160 IP 10.8.0.10 > 192.168.1.73: ICMP echo request, id 1, seq 2943, length 40
08:10:04.798206 IP 192.168.1.73 > 10.8.0.10: ICMP echo reply, id 1, seq 2943, length 40
08:10:06.786777 ARP, Request who-has 192.168.1.20 tell 192.168.1.73, length 28
08:10:06.786799 ARP, Request who-has 192.168.1.73 tell 192.168.1.20, length 28
08:10:06.786810 ARP, Reply 192.168.1.73 is-at fe:8a:6a:14:dc:64, length 28
08:10:06.786834 ARP, Reply 192.168.1.20 is-at 3c:07:54:1d:58:60, length 28

Настройки повторил, безрезультатно. Лог tcpdump с недоступной машины здесь http://www.linux.org.ru/forum/admin/9402107?cid=9402953. Кстати, может это имеет значение, машина представляет собой LXC контейнер, работающий на клиенте2, сеть через бридж br0 на клиенте2.

А что машина с адресом 192.168.1.73 знает о 10.8.0.10? Таблицу маршрутов с нее покажи.

[root@nw73lxc ~]# ip ro                                            
default via 192.168.1.1 dev eth0                                    
10.8.0.0/24 via 192.168.1.20 dev eth0                               
169.254.0.0/16 dev eth0  scope link  metric 1010                    
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.73 

С 192.168.1.73 доступ к 10.8.0.10 есть (пинг, и прочее).

А с mtu поиграться? Симптомы вроде похожи.

MTU в настройках OpenVPN клиента2? Какое значение поставить?

Хорошо. Теперь посмотрите tcpdump'ом на VPN-интерфейсе машины «клиент 2». Если там есть tcp syn пакеты, значит firewall на ней настроен неправильно.

MTU здесь не причём, первый пакет tcp-соединения короткий, проходит независимо от MTU, а у вас даже он не проходит.

MTU здесь не причём, первый пакет tcp-соединения короткий, проходит независимо от MTU, а у вас даже он не проходит.

А точно дамп снят в момент попытки соединения?

например, нет доступа по ssh - «Conection refused»

Вывод tcpdump -i tun0 на клиенте2, когда с клиента1 делаю «ssh 192.168.1.73»: http://pastebin.com/raw.php?i=ZXycTAqz

Не знаю, когда снят дамп, но когда проблемы с MTU tcp-соединение устанавливается, а данные не идут. Причём, если MTU пропускает пакет порядка 1000 байт, то даже по ssh можно работать (залогиниться и делать короткие команды). А при выполнении команды, дающей многобайтный выхлоп (допустим ls -R /) соединение зависает.

А всеми горячё обожаемая семёрочка, с которой ТС пытается установить ssh-подключение, не может быть причиной? В linux'е OUTPUT (iptables) обычно всегда ACCEPT на всё, а там ХЗ.

А точно дамп снят в момент попытки соединения? - да, в этот момент

На семерочке файрволы отключены

Тут тоже пусто, делайте tcpdump на openvpn сервере. Лучше делайте

tcpdump -i tun0 -n -nn host 192.168.1.73

тогда будут видны только нужные пакеты.

Если есть возможность, попробуйте вместо win7 какой-нибудь linux. Там хотя бы можно быть уверенным, что tcp-пакеты, пытающиеся установить ssh-сессию уходят в VPN-тунель.

то даже по ssh можно работать (залогиниться и делать короткие команды). А при выполнении команды, дающей многобайтный выхлоп (допустим ls -R /) соединение зависает.

Да, точно, вы правы.

Кроме двух линуксов из топика и семерочки есть только макось, да и та находится в одной сетке с клиентом2. Попробую вечером поднять какой-нибудь live-образ в VirtualBox.