lan to lan openvpn πρόβλημα

[evagelos_21]

Γεια σας παιδιά

Εχω συνδέσει ένα router με openvpn με ένα άλλο router.

Το πρόβλημα μου είναι ότι οι υπολογιστές του δικτύου μου δεν βλέπουν τον "server" αλλά μόνο ο router μου τον βλέπει.

Εδώ είναι το config αρχείο του openvpn.

Κάτι πρέπει να κάνω με route αλλά δεν είμαι και ο πιο ειδικός.

Καμιά βοήθεια;

Ευχαριστώ

>
client
dev tun
proto udp
remote xxx.xxx.gr 12345
resolv-retry infinite
nobind
persist-key
persist-tun
ca /tmp/openvpncl/ca.crt
cert /tmp/openvpncl/client.crt
key /tmp/openvpncl/client.key
ns-cert-type server
tls-auth /tmp/openvpn/ta.key 1
cipher AES-256-CBC   # AES
verb 1
management localhost 5001

[astrea966]

αυτο ειναι το config του client.βαλε να δουμε το config του server

[evagelos_21]

Αν και νομίζω ότι είναι θέμα του routing στο client μέρος του VPN, θα το βάλω μόλις μπορέσω.

Thanks

[the_eye]

το ipforward το έχεις ενεργοποιημένο ;

[evagelos_21]

Το πιο;

[the_eye]

Δες αυτό

 

 

* enable IP forwarding in /etc/sysctl.conf:

 

net.ipv4.ip_forward = 1

 

* enable IP forwarding now:

 

echo 1 > /proc/sys/net/ipv4/ip_forward

[evagelos_21]

Ορίστε και το server config αρχείο

αυτο ειναι το config του client.βαλε να δουμε το config του server

 

>
local 192.168.0.1
port 12345
proto udp
dev tun
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key  # This file should be kept secret
dh /etc/openvpn/keys/dh1024.pem
server 10.10.10.0 255.255.255.0
ifconfig-pool-persist /etc/openvpn/ipp.txt
keepalive 10 120
tls-auth /etc/openvpn/keys/ta.key 0 # This file is secret
cipher AES-256-CBC   # AES
max-clients 10
persist-key
persist-tun
status /etc/openvpn/openvpn-status.log
log        /etc/openvpn/openvpn.log
verb 0

[Sta]

Αφού εγκαθίσταται κανονικά το vpn, πρέπει να είναι θέμα routing. Κοίτα λίγο εδώ.

[evagelos_21]

Αυτό λέει άλλο πράγμα

[astrea966]

θα σου συνηστουσα να ενεργοποιησεις την καταγραφη log file στον σερβερ για να δεις τι μηνυματα βγαζει.ριξε μια ματια στα δικα μου.ο σερβερ ειναι λινουξ αλλα ο client windows και δουλευει κανονικα.

ανοιξε τα με wordpad η notepad++ για να τα δεις σωστα

client.txt

server.txt

[evagelos_21]

Μάλλον άλλο πράγμα λέω.

Τα δύο μηχανήματα client-server βλέπονται μια χαρα.

Στην client μεριά υπάρχουν πολλά μηχανήματα.

Θέλω ΟΛΑ να βλέπουν τον "vpn-server"

Αρα κάποιος πρέπει να πει στον vpn-client πως να προοθήσει την σύνδεση ερχόμενη απο το εσωτερικό δίκτυο προς το vpn δίκτυο.

[nske]

Αρα κάποιος πρέπει να πει στον vpn-client πως να προοθήσει την σύνδεση ερχόμενη απο το εσωτερικό δίκτυο προς το vpn δίκτυο.

Αν έχεις ενεργοποιήσει στον client το ip forwarding που ανέφερε ο the_eye, αυτό πρέπει να συμβαίνει (μπορείς να το επιβεβαιώσεις ελέγχοντας με ένα packet capturing program όπως το tcpdump ή το wireshark αν τα πακέτα που θα στείλεις -π.χ. με την ping- από κάποιο μηχάνημα του τοπικού δικτύου του client φτάνουν στον server).

 

Το πρόβλημα μάλλον είναι ότι ο server δε γνωρίζει πού βρίσκεται το υποδίκτυο του client για να απαντήσει. Αν τυχαίνει να έχει διευθύνσεις στο ίδιο subnet με κάποιο τοπικό δίκτυο του server (192.168.0.1/24 ; ), τότε θα τα στέλνει στο τοπικό δίκτυο, διαφορετικά θα τα δρομολογεί από τον σχετικό gateway του (μπορείς να δεις το routing table δίνοντας "route").

 

Οι φυσιολογικές επιλογές είναι δύο:

 

1. Είτε να φροντίσεις το τοπικό δίκτυο του client να έχει διευθύνσεις σε διαφορετικό subnet από το τοπικό δίκτυο του server (αν δεν έχει) και να προσθέσεις στον server μια route για αυτό το υποδίκτυο με gateway τη διεύθυνση του client στο VPN (π.χ. route add -net 192.168.2.1 netmask 255.255.255.0 gw 10.10.10.x).
    
    
   
2. Είτε να ρυθμίσεις τα τρία δίκτυα (VPN, client local network, server local network) να έχουν όλα διευθύνσεις στο ίδιο subnet και να κάνεις bridge τα interfaces.

 

Αν δεν έχεις λόγο τα τοπικά δίκτυα των άκρων να είναι διαχωρισμένα από το VPN, πιο φυσική λύση είναι η δεύτερη.

 

Δυστυχώς εδώ που είμαι δεν έχω internet οπότε δε ξέρω πότε θα μπορέσω να ξαναμπω.

[evagelos_21]

Εβαλα αυτό στο firewall και όλα καλά πλέον:

iptables -I POSTROUTING -t nat -o tun0 -d 10.100.10.0/24 -j MASQUERADΕ

[nske]

Απλά με το NAT έχεις κάποιες παρενέργειες:

 

• Δεν είναι γνωστή η διεύθυνση των hosts που βρίσκονται από πίσω, φαίνεται μόνο η διεύθυνση του router με ό,τι αυτό συνεπάγεται (π.χ. λιγότερος έλεγχος και αδυναμία καταγραφής/εξαγωγής στατιστικών με βάση τη διεύθυνση από το άλλο άκρο)
   
   
  
• Περιττός επεξεργαστικός φόρτος στο router
   
   
  
• Κάποια λίγα πρωτόκολλα, ιδίως αυτά που βασίζονται σε broadcasts, θα έχουν πρόβλημα

[evagelos_21]

Δηλαδή τι θα μπορούσα να βάλω;

Υπ' όψιν ΄βρίσκομαι στην μεριά του client.