LINUX.ORG.RU
Форум — General  

Openvpn и все все все

 , , ,


0

1

Всем ку. Поможите чем можите. Есть OpenVPN сервер, находящийся за NAT. Проброшен порт 1194 по tcp.

Клиент к нему подключается без проблем, может пинговать как и IP адрес сервера в локальной сети, так и в VPN. Сам тоже пингуется. А больше ничего в локальной сети клиент не видит. Вот конфиги:

Сервер 

port 1194

tls-auth ta.key 0
cipher DES-EDE3-CBC
ca ca.crt
cert server.crt
key server.key
dh dh2048.pem

proto tcp
dev tun
server 10.8.0.0 255.255.255.0
client-to-client

ifconfig-pool-persist ipp.txt
client-config-dir ccd

push "route 192.168.1.0 255.255.255.0"

keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
log openvpn.log
verb 3

Клиент: 

client
tls-auth ta.key 1
cipher DES-EDE3-CBC
dev tun
proto tcp
remote a.b.c.d 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert andrey.crt
key andrey.key
ns-cert-type server
comp-lzo
log /var/log/openvpn.log
verb 3

Роуты на клиенте: 

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
0.0.0.0         78.46.111.49    0.0.0.0         UG        0 0          0 eth0
10.8.0.0        10.8.0.5        255.255.255.0   UG        0 0          0 tun0
10.8.0.5        0.0.0.0         255.255.255.255 UH        0 0          0 tun0
78.46.111.48    0.0.0.0         255.255.255.240 U         0 0          0 eth0
192.168.1.0     10.8.0.5        255.255.255.0   UG        0 0          0 tun0

# ifconfig tun0
tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  
          inet addr:10.8.0.6  P-t-P:10.8.0.5  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:2 errors:0 dropped:0 overruns:0 frame:0
          TX packets:4 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:168 (168.0 B)  TX bytes:336 (336.0 B)

Роуты на сервере: 

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
10.8.0.2        0.0.0.0         255.255.255.255 UH        0 0          0 tun0
10.8.0.0        10.8.0.2        255.255.255.0   UG        0 0          0 tun0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0          0 br0
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 br0
0.0.0.0         192.168.1.1     0.0.0.0         UG        0 0          0 br0
ЧТЯДНТ?

А в сети на GW роут прописан до сети 10.8.0.0 255.255.255.0

Откуда устройства в сети узнают где находится ваша сеть VPN

aeX1pu2b ★
()
Ответ на: комментарий от teamfighter

балда, остам сети для ответа надо тоже иметь маршрут до клиента. Поэтому либопрописывай на каждом хосте маршруты, либо вынеси шлюз опенвпн в отдельный сегмент локалки

anonymous
()
Ответ на: комментарий от teamfighter

Ну смотри, клиент маршрут до неё получил. Чтобы хосты из сети были «доступны» надо:
а) Разрещить в sysctl на шлюзе роутинг
б) Прописать на хостах в сети маршрут до сети vpn-a. Ну или vpn-сервер должен быть default gateway для этих хостов.

У тебя так?

generator ★★★
()
Ответ на: комментарий от teamfighter

попробуй и увидишь, что всё равно путаница будет.

anonymous
()
Ответ на: комментарий от generator

Так, рано обрадовался.
На шлюзе 192.168.1.1 добавил маршрут до сети 10.8.0.0/24

Из локалки теперь VPN клиенты пингуются
Из VPN локалка недоступна. Доступен только сам VPN сервер и шлюз.

teamfighter ★
() автор топика

Да, шлюз и openvpn сервер разные сущности. У openvpn ip 192.168.1.7

teamfighter ★
() автор топика
Ответ на: комментарий от teamfighter

На шлюзе 192.168.1.1 добавил маршрут до сети 10.8.0.0/24

Это не очень хорошо. Получается несимметричная маршрутизация.
От хостов до сети vpn пакеты идут так: 

host->192.168.1.1->vpn-server->vpn-client
А обратно так: 
vpn-client->vpn-server->host
Лучше если хосты в сети 192.168.1.0/24, прописать маршрут на каждом через vpn-сервер. Впрочем, работать должно и так.

Из локалки теперь VPN клиенты пингуются
Из VPN локалка недоступна. Доступен только сам VPN сервер и шлюз.

Странно. Возможно, виноват фаервол где-нибудь? NAT-а никакого на шлюзе или vpn-сервере нет (это ведь не один и тот же хост, если я правильно понял)?

generator ★★★
()
Ответ на: комментарий от generator

Да, это разные хосты.
А VPN сервер за натом
Короче, такая получается схема:

VPN-serv (192.168.1.7) --> (192.168.1.1) Шлюз (a.b.c.d) <-- Клиент

teamfighter ★
() автор топика
Ответ на: комментарий от teamfighter

Локалка, откуда пингуются vpn-клиенты это какая сеть? 192.168.1.0/24? Если да, то пропиши на каждом хосте в локалке маршрут до 10.8.0.0/24 через 192.168.1.7, либо послушай мудрого анона и вынеси vpn-сервер в отдельный vlan.

generator ★★★
()
Последнее исправление: generator (всего исправлений: 1)
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
General