PDA

Bekijk de volledige versie : Проблемы с OpenVPN. Прошу помощи!


Pages : 1 [2]
Little Friend
08-10-2012, 10:35
Здравствуйте!
Имеется в наличие роутер ASUS RT-N16 с установленной прошивкой от Олега. По работе необходимо иметь доступ из дома с сетке предприятия. Подключение происходит через VPN (PPTP). VPN поднимаю на компе. Захотелось, чтобы роутер сам устанавливал VPN соединение. Т.е., чтобы с компа всегда была доступна сеть предприятия и не было необходимости все время поднимать VPN подключение. Но ни как не получается это реализовать. Почитав материалы данного форума и в общем по linux, понял, что можно сделать это командной pptp. Но у меня нет этой команды, и в репозиториях тоже. Выяснил, что есть альтернатива в виде accel-pptp, но в репозиториях есть только демон для VPN сервера: accel-pppd, а клиента accel-pptp нет. Собственно вопрос: можно ли как-то реализовать желаемое? Может используется другая команда? Ведь настроить VPN-подключение к сети провайдера роутер позволяет.
p.s. у меня подключение к провайдеру осуществляется по Automatic IP. IP белый, если это важно.
Прошу помощи. Заранее спасибо.
MMX2
18-10-2012, 18:15
Коллеги, требуется помощь коллективного разума – всю голову сломал!
Имеется RT-N16 с поднятым OpenVPN в режиме моста. За RT-N16 стоит сервер, также с поднятым OpenVPN. Настройки ОДИНАКОВЫЕ (только номера портов разные и на RT-N16 настроен проброс порта второго сервера).
Также имеется 2 клиента: один под W7 второй под Debian. Настройки ОДИНАКОВЫЕ (разные только сертификаты).
Проблема: Клиент под W7 подключается к обоим серверам без проблем, все пингуется, все работает. А вот клиент под Debian работает только с RT-N16, а со вторым сервером через минуту после успешного установления связи перестают идти пакеты и клиентский OpenVPN плавно отваливается. Не пингуется даже физический IP сервера.
Оба клиентских компа работают через одну и туже WiFi сеть у меня на работе. Дальше еще интереснее – на клиенте с Debian подключаюсь не через WiFi, а через 3G модем (iPhone) и он стабильно работает с обоими серверами!!!
Товарищи, подскажите, что это за полтергейст? Рассмотрю любые идеи, даже самые бредовые.
Всем спасибо!
staticroute
18-10-2012, 20:43
Коллеги, требуется помощь коллективного разума – всю голову сломал!
Имеется RT-N16 с поднятым OpenVPN в режиме моста. За RT-N16 стоит сервер, также с поднятым OpenVPN. Настройки ОДИНАКОВЫЕ (только номера портов разные и на RT-N16 настроен проброс порта второго сервера).
Также имеется 2 клиента: один под W7 второй под Debian. Настройки ОДИНАКОВЫЕ (разные только сертификаты).
Проблема: Клиент под W7 подключается к обоим серверам без проблем, все пингуется, все работает. А вот клиент под Debian работает только с RT-N16, а со вторым сервером через минуту после успешного установления связи перестают идти пакеты и клиентский OpenVPN плавно отваливается. Не пингуется даже физический IP сервера.
Оба клиентских компа работают через одну и туже WiFi сеть у меня на работе. Дальше еще интереснее – на клиенте с Debian подключаюсь не через WiFi, а через 3G модем (iPhone) и он стабильно работает с обоими серверами!!!
Товарищи, подскажите, что это за полтергейст? Рассмотрю любые идеи, даже самые бредовые.
Всем спасибо!

Без логов ничего сказать нельзя - тут не телепаты.

Правила покажите и конфиги.

На Win7 dev tap драйвер, а на дебиане dev tun?

Как же вы их заставили оба работать?
MMX2
19-10-2012, 05:41
Конфиг RT-N16:

cat /opt/etc/openvpn/serverTAP.conf
dev tap0

tls-server

server-bridge 192.168.1.1 255.255.255.0 192.168.1.128 192.168.1.199

ifconfig-pool-persist /opt/etc/openvpn/ippTAP
client-config-dir /opt/etc/openvpn/ccd

dh /tmp/local/root/keys/dh1024.pem
ca /tmp/local/root/keys/ca.crt
cert /tmp/local/root/keys/server.crt
key /tmp/local/root/keys/server.key
#crl-verify /opt/etc/openvpn/home/keys/crl.pem

client-to-client

port 1196
proto tcp-server

comp-lzo yes
auth none
persist-tun
persist-key
verb 3
script-security 2
cipher AES-128-CBC

log /opt/var/log/openvpnTAP.log
status /opt/var/log/openvpn-statusTAP.log


Секция S20Openvpn, отвечающая за подъем бриджа:

brctl addif br0 tap0
ifconfig tap0 0.0.0.0 promisc up
brctl stp br0 on


Post-firewall, та часть, что про VPN:

iptables -I FORWARD -i tap0 -j ACCEPT
iptables -I FORWARD -o tap0 -j ACCEPT
iptables -P FORWARD ACCEPT
iptables -I OUTPUT -o tap0 -j ACCEPT
iptables -I INPUT -p tcp --dport 1196 -j ACCEPT
iptables -I INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i tap0 -j ACCEPT

+Настроен проброс портов через веб-морду

Конфиг сервера 2:

cat /etc/openvpn/serverTCP.conf
dev tap0

tls-server

server-bridge 192.168.1.11 255.255.255.0 192.168.1.201 192.168.1.205

ifconfig-pool-persist /etc/openvpn/ippTAP
client-config-dir /etc/openvpn/ccd

dh /etc/openvpn/keys/dh1024.pem
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key
#crl-verify /opt/etc/openvpn/home/keys/crl.pem

client-to-client

port 1196
proto tcp-server
#proto udp

comp-lzo yes
auth none
persist-tun
persist-key
verb 3
script-security 2
cipher AES-128-CBC

log /var/log/openvpnTAP.log
status /var/log/openvpn-statusTAP.log


Кусок скрипта отвечающего за подъем бриджа:

brctl addbr br0
brctl addif br0 eth1
brctl stp br0 on

ifconfig tap0 0.0.0.0 promisc up
ifconfig eth1 0.0.0.0 promisc up
ifconfig br0 192.168.1.11 netmask 255.255.255.0 broadcast 192.168.1.255
/sbin/route add default gw 192.168.1.1


На этом сервере все разрешено:

iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination


Проблемный клиент на Debian:

client

dev tap0
proto tcp
remote XXXX 80
resolv-retry infinite
nobind
script-security 3
persist-key
persist-tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/.crt
key /etc/openvpn/.key
ns-cert-type server
cipher AES-128-CBC
comp-lzo yes
auth none
redirect-gateway
mute-replay-warnings
log /var/log/openvpn.log
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf

В iptables вре разрешено по дефолту.

Беспроблемный клиент под W7:

client

dev tap0
proto tcp
remote XXXX 80
resolv-retry infinite

nobind

script-security 2
persist-key

persist-tun

ca " ca.crt"
cert " .crt"
key " .key"
ns-cert-type server

cipher AES-128-CBC
comp-lzo yes
auth none
redirect-gateway

У меня есть стойкое ощущение, что дело в серверной стороне, а не в клиентской. Вчера провел другой эксперимент - к RTN-16 подключаюся 2 клиента WL500GPv2 с вообще одинаковыми настройками. Это 2 роутера клона, с т.з. настроект. Так вот, если их переключить на сервер под дебианом, то первый клиент стабильно работает, второй постоянно отваливается.
Сейчас еще сниму логи и тоже выложу, но там ничего интересного нет - перезапуск соединения по пинг-таймауту.
Спасибо!
MMX2
19-10-2012, 09:57
Лог проблемного сервера:

cat /var/log/openvpnTAP.log
Fri Oct 19 09:35:47 2012 OpenVPN 2.2.1 i486-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [eurephia] [MH] [PF_INET6] [IPv6 payload 20110424-2 (2.2RC2)] built on Mar 23 2012
Fri Oct 19 09:35:47 2012 NOTE: when bridging your LAN adapter with the TAP adapter, note that the new bridge adapter will often take on its own IP address that is different from what the LAN adapter was previously set to
Fri Oct 19 09:35:47 2012 NOTE: your local LAN uses the extremely common subnet address 192.168.0.x or 192.168.1.x. Be aware that this might create routing conflicts if you connect to the VPN server from public locations such as internet cafes that use the same subnet.
Fri Oct 19 09:35:47 2012 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Fri Oct 19 09:35:47 2012 Diffie-Hellman initialized with 1024 bit key
Fri Oct 19 09:35:47 2012 WARNING: file '/etc/openvpn/keys/server.key' is group or others accessible
Fri Oct 19 09:35:47 2012 ******* WARNING *******: null MAC specified, no authentication will be used
Fri Oct 19 09:35:47 2012 TLS-Auth MTU parms [ L:1572 D:140 EF:40 EB:0 ET:0 EL:0 ]
Fri Oct 19 09:35:47 2012 Socket Buffers: R=[87380->131072] S=[16384->131072]
Fri Oct 19 09:35:47 2012 TUN/TAP device tap0 opened
Fri Oct 19 09:35:47 2012 TUN/TAP TX queue length set to 100
Fri Oct 19 09:35:47 2012 Data Channel MTU parms [ L:1572 D:1450 EF:40 EB:135 ET:32 EL:0 AF:3/1 ]
Fri Oct 19 09:35:47 2012 Listening for incoming TCP connection on [undef]
Fri Oct 19 09:35:47 2012 TCPv4_SERVER link local (bound): [undef]
Fri Oct 19 09:35:47 2012 TCPv4_SERVER link remote: [undef]
Пошел подключаться клиент под W7
Fri Oct 19 12:37:45 2012 MULTI: multi_create_instance called
Fri Oct 19 12:37:45 2012 Re-using SSL/TLS context
Fri Oct 19 12:37:45 2012 LZO compression initialized
Fri Oct 19 12:37:45 2012 Control Channel MTU parms [ L:1572 D:140 EF:40 EB:0 ET:0 EL:0 ]
Fri Oct 19 12:37:45 2012 Data Channel MTU parms [ L:1572 D:1450 EF:40 EB:135 ET:32 EL:0 AF:3/1 ]
Fri Oct 19 12:37:45 2012 Local Options hash (VER=V4): '4912185e'
Fri Oct 19 12:37:45 2012 Expected Remote Options hash (VER=V4): 'd97d9b5c'
Fri Oct 19 12:37:45 2012 TCP connection established with [AF_INET]93.180.40.140:60618
Fri Oct 19 12:37:45 2012 TCPv4_SERVER link local: [undef]
Fri Oct 19 12:37:45 2012 TCPv4_SERVER link remote: [AF_INET]93.180.40.140:60618
Fri Oct 19 12:37:45 2012 93.180.40.140:60618 TLS: Initial packet from [AF_INET]93.180.40.140:60618, sid=330f6b85 765c554e
Fri Oct 19 12:37:48 2012 93.180.40.140:60618 VERIFY OK: depth=1,
Fri Oct 19 12:37:48 2012 93.180.40.140:60618 VERIFY OK: depth=0,
Fri Oct 19 12:37:49 2012 93.180.40.140:60618 Data Channel Encrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Fri Oct 19 12:37:49 2012 93.180.40.140:60618 Data Channel Decrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Fri Oct 19 12:37:49 2012 93.180.40.140:60618 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Fri Oct 19 12:37:49 2012 93.180.40.140:60618 [clientMMX2_Note] Peer Connection Initiated with [AF_INET]93.180.40.140:60618
Fri Oct 19 12:37:49 2012 clientMMX2_Note/93.180.40.140:60618 OPTIONS IMPORT: reading client specific options from: /etc/openvpn/ccd/clientMMX2_Note
Fri Oct 19 12:37:51 2012 clientMMX2_Note/93.180.40.140:60618 PUSH: Received control message: 'PUSH_REQUEST'
Fri Oct 19 12:37:51 2012 clientMMX2_Note/93.180.40.140:60618 send_push_reply(): safe_cap=960
Fri Oct 19 12:37:51 2012 clientMMX2_Note/93.180.40.140:60618 SENT CONTROL [clientMMX2_Note]: 'PUSH_REPLY,route-gateway 192.168.1.11,ping 10,ping-restart 60,dhcp-option DNS 192.168.1.1,dhcp-option WINS 192.168.1.1,ifconfig 192.168.1.201 255.255.255.0' (status=1)
Fri Oct 19 12:37:52 2012 clientMMX2_Note/93.180.40.140:60618 MULTI: Learn: 00:ff:49:f3:a5:59 -> clientMMX2_Note/93.180.40.140:60618
Пошел подлючаться проблемный клиент под Дебианом:
Fri Oct 19 12:52:03 2012 MULTI: multi_create_instance called
Fri Oct 19 12:52:03 2012 Re-using SSL/TLS context
Fri Oct 19 12:52:03 2012 LZO compression initialized
Fri Oct 19 12:52:03 2012 Control Channel MTU parms [ L:1572 D:140 EF:40 EB:0 ET:0 EL:0 ]
Fri Oct 19 12:52:03 2012 Data Channel MTU parms [ L:1572 D:1450 EF:40 EB:135 ET:32 EL:0 AF:3/1 ]
Fri Oct 19 12:52:03 2012 Local Options hash (VER=V4): '4912185e'
Fri Oct 19 12:52:03 2012 Expected Remote Options hash (VER=V4): 'd97d9b5c'
Fri Oct 19 12:52:03 2012 TCP connection established with [AF_INET]93.180.40.140:33425
Fri Oct 19 12:52:03 2012 TCPv4_SERVER link local: [undef]
Fri Oct 19 12:52:03 2012 TCPv4_SERVER link remote: [AF_INET]93.180.40.140:33425
Fri Oct 19 12:52:04 2012 93.180.40.140:33425 TLS: Initial packet from [AF_INET]93.180.40.140:33425, sid=7c1f10d1 21bbdb0a
Fri Oct 19 12:52:06 2012 93.180.40.140:33425 VERIFY OK: depth=1,
Fri Oct 19 12:52:06 2012 93.180.40.140:33425 VERIFY OK: depth=0,
Fri Oct 19 12:52:07 2012 93.180.40.140:33425 Data Channel Encrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Fri Oct 19 12:52:07 2012 93.180.40.140:33425 Data Channel Decrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Fri Oct 19 12:52:08 2012 93.180.40.140:33425 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Fri Oct 19 12:52:08 2012 93.180.40.140:33425 [MMX2] Peer Connection Initiated with [AF_INET]93.180.40.140:33425
Fri Oct 19 12:52:08 2012 MMX2/93.180.40.140:33425 OPTIONS IMPORT: reading client specific options from: /etc/openvpn/ccd/MMX2
Fri Oct 19 12:52:10 2012 MMX2/93.180.40.140:33425 PUSH: Received control message: 'PUSH_REQUEST'
Fri Oct 19 12:52:10 2012 MMX2/93.180.40.140:33425 send_push_reply(): safe_cap=960
Fri Oct 19 12:52:10 2012 MMX2/93.180.40.140:33425 SENT CONTROL [MMX2]: 'PUSH_REPLY,route-gateway 192.168.1.11,ping 10,ping-restart 60,redirect-gateway,dhcp-option DNS 192.168.1.1,dhcp-option WINS 192.168.1.1,ifconfig 192.168.1.202 255.255.255.0' (status=1)
Fri Oct 19 12:52:11 2012 MMX2/93.180.40.140:33425 MULTI: Learn: fa:9b:69:b3:10:3a -> MMX2/93.180.40.140:33425
Fri Oct 19 12:54:35 2012 MMX2/93.180.40.140:33425 [MMX2] Inactivity timeout (--ping-restart), restarting
Fri Oct 19 12:54:35 2012 MMX2/93.180.40.140:33425 SIGUSR1[soft,ping-restart] received, client-instance restarting
Fri Oct 19 12:54:35 2012 TCP/UDP: Closing socket


На клиенте при этом аналогичная картина - пинг таймаут и растарт...
staticroute
19-10-2012, 10:32
Из конфига дебиана уберите:



auth none
redirect-gateway
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf

и сделайте на дебиане

chmod 0600 /etc/openvpn/keys/server.key

лог debian-клиента тоже покажите.
MMX2
19-10-2012, 10:45
Из конфига дебиана уберите:



auth none
redirect-gateway
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf

и сделайте на дебиане

chmod 0600 /etc/openvpn/keys/server.key

лог debian-клиента тоже покажите.

Спасибо за ответ! Сделал. Соединение продержалось дольше обычного, даже удалось зайти на шару дебиан-сервера. Потом опять разрыв. В логах сервета все тоже самое, а логи клиента сейчас сниму.
Лог дебиан-клиента:

Fri Oct 19 13:35:54 2012 OpenVPN 2.2.1 i486-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [eurephia] [MH] [PF_INET6] [IPv6 payload 20110424-2 (2.2RC2)] built on Mar 23 2012
Fri Oct 19 13:35:54 2012 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Fri Oct 19 13:35:54 2012 ******* WARNING *******: null MAC specified, no authentication will be used
Fri Oct 19 13:35:54 2012 LZO compression initialized
Fri Oct 19 13:35:54 2012 Attempting to establish TCP connection with [AF_INET] :80 [nonblock]
Fri Oct 19 13:35:55 2012 TCP connection established with [AF_INET] :80
Fri Oct 19 13:35:55 2012 TCPv4_CLIENT link local: [undef]
Fri Oct 19 13:35:55 2012 TCPv4_CLIENT link remote: [AF_INET] :80
Fri Oct 19 13:35:59 2012 [server] Peer Connection Initiated with [AF_INET] :80
Fri Oct 19 13:36:01 2012 TUN/TAP device tap0 opened
Fri Oct 19 13:36:01 2012 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Fri Oct 19 13:36:01 2012 /sbin/ifconfig tap0 192.168.1.202 netmask 255.255.255.0 mtu 1500 broadcast 192.168.1.255
Fri Oct 19 13:36:01 2012 Initialization Sequence Completed
Fri Oct 19 13:38:05 2012 Connection reset, restarting [0]
Fri Oct 19 13:38:05 2012 SIGUSR1[soft,connection-reset] received, process restarting
Fri Oct 19 13:38:10 2012 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Fri Oct 19 13:38:10 2012 Re-using SSL/TLS context
Fri Oct 19 13:38:10 2012 LZO compression initialized
Fri Oct 19 13:38:10 2012 Attempting to establish TCP connection with [AF_INET]:80 [nonblock]
Fri Oct 19 13:38:11 2012 TCP connection established with [AF_INET] :80
Fri Oct 19 13:38:11 2012 TCPv4_CLIENT link local: [undef]
Fri Oct 19 13:38:11 2012 TCPv4_CLIENT link remote: [AF_INET] :80
Fri Oct 19 13:38:14 2012 [server] Peer Connection Initiated with [AF_INET] :80
Fri Oct 19 13:38:16 2012 Preserving previous TUN/TAP instance: tap0
Fri Oct 19 13:38:16 2012 Initialization Sequence Completed
Fri Oct 19 13:45:07 2012 event_wait : Interrupted system call (code=4)
Fri Oct 19 13:45:07 2012 /sbin/ifconfig tap0 0.0.0.0
Fri Oct 19 13:45:08 2012 SIGTERM[hard,] received, process exiting

В конце - это я остановил сервис OVPN.
staticroute
19-10-2012, 12:22
Можно попробовать воткнуть mssfix 1450 на клиенте и сервере.
MMX2
19-10-2012, 12:45
Можно попробовать воткнуть mssfix 1450 на клиенте и сервере.

Сделал, не помогает. Зато заметил, что проблема начинается только если по тоннель начинают использовать. Т.е. если только пинговать, то он сколь угодно долго пингуется. А вот если по нему, например, попытаться подключиться к компу за сервером - сразу падает...
staticroute
19-10-2012, 13:04
Сделал, не помогает. Зато заметил, что проблема начинается только если по тоннель начинают использовать. Т.е. если только пинговать, то он сколь угодно долго пингуется. А вот если по нему, например, попытаться подключиться к компу за сервером - сразу падает...

Он падает и переподключается?

Возможно проблема в MTU/MSSFIX как раз-таки.

на Debian-сервере сделайте:

iptables -A FORWARD -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j TCPMSS --clamp-mss-to-pmtu

win7 работает стабильно на точно такой же конфигурации? никаких реконнектов?
MMX2
19-10-2012, 13:18
Он падает и переподключается?

Возможно проблема в MTU/MSSFIX как раз-таки.

на Debian-сервере сделайте:

iptables -A FORWARD -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j TCPMSS --clamp-mss-to-pmtu

win7 работает стабильно на точно такой же конфигурации? никаких реконнектов?

Сейчас попробую. W7 работает стабильно как скала - никаких реконектов, хоть 20-30 гигов переливай. А у дебиана клиента соединение падает и переподключается. И так до следующего таймаута по пингу.
UPD. Проверил. Картина не изменилась, когда начинаешь пользоваться тонелем то сразу таймаут и потом реконнект. Мистика....
staticroute
19-10-2012, 13:21
Версии OpenVPN на сервере Debian и клиенте Debian одинаковые?
MMX2
19-10-2012, 13:43
Версии OpenVPN на сервере Debian и клиенте Debian одинаковые?

На дебианах одинаковые версии OpenVPN Версия: 2.2.1-8
А вот на RT-N16, с которым безпроблемная работа - другая: Version: 2.2.2-2
Щас попробую собрать на дебиана Ovpn из сорцов версии 2.2.2-2

UPD:
Собрал на обоих дебианах самый свежий OpenVPN. Картина осталась прежней. Также в настройках wi-fi адаптера клиента отключил роуминг и жестко прописал MTU 1500. Без изменений.
Какими методами диагностики и наблюдения можно отловить данный глюк?
MMX2
19-10-2012, 20:42
Заметил, что сервера RT-N16 и дебиан(ы) отличаются тем, что на RT-N16 выключена поддержка ipv6. В виндовом клиенты тоже выключена. Таким образом, следующей моей идеей было отключить ее на дебианах. Отключил, в ifconfig адреса ipv6 пропали, но.... не помогло...
Дальше я тупо забил на проблемном сервере:

ifconfig tap0 mtu 1400
и вот уже 200 мегов от фильма залилось без проблем:) Тьфу*3, надеюсь, что проблема решена. Точно скажу теперь только в понедельник.
В любом случае, staticroute, ОГРОМНОЕ спасибо за помощь в решении мистической проблемы:)
Если дело таки в mtu, то каков механизм возникновения проблемы?
staticroute
19-10-2012, 21:20
Заметил, что сервера RT-N16 и дебиан(ы) отличаются тем, что на RT-N16 выключена поддержка ipv6. В виндовом клиенты тоже выключена. Таким образом, следующей моей идеей было отключить ее на дебианах. Отключил, в ifconfig адреса ipv6 пропали, но.... не помогло...
Дальше я тупо забил на проблемном сервере:

ifconfig tap0 mtu 1400
и вот уже 200 мегов от фильма залилось без проблем:) Тьфу*3, надеюсь, что проблема решена. Точно скажу теперь только в понедельник.
В любом случае, staticroute, ОГРОМНОЕ спасибо за помощь в решении мистической проблемы:)
Если дело таки в mtu, то каков механизм возникновения проблемы?



--tun-mtu n
Take the TUN device MTU to be n and derive the link MTU from it (default=1500). In most cases, you will probably want to leave this parameter set to its default value.

The MTU (Maximum Transmission Units) is the maximum datagram size in bytes that can be sent unfragmented over a particular network path. OpenVPN requires that packets on the control or data channels be sent unfragmented.

MTU problems often manifest themselves as connections which hang during periods of active usage.

It's best to use the --fragment and/or --mssfix options to deal with MTU sizing issues.


Вообще mssfix должно было помочь по идее.

Точно рестартил OpenVPN после добавления опций?

Хотя, возможно это применимо только к tun, а на tap как раз-таки mtu интерфейса, так как интерфейс ты вручную поднимаешь ifconfig-ом.
MMX2
20-10-2012, 07:41
OpenVPN и сервер и клиент точно перезапускал, да и даже пересобирал и сам сервер (компьютер) рестартил.
При этом, в выдаче ifconfig mtu у tap интерфейса оставался 1500. Может это не влияет ни на что и OpenVPN сам рулить MTU - не знаю.
Кстати TAP интерфейс создается, если верить стартовым скриптам, не ifconfig'ом, а OpenVPN'ом:

for t in $tap; do
openvpn --mktun --dev $t
done

За ночь второй проблемный клиент не отваливался, но совсем точно о результате будет известно в понедельник:) Спасибо!
kpush
22-10-2012, 12:07
установил на роутер OpenVPN, теперь он занят постоянно:

top -d 10

Mem: 28776K used, 98064K free, 0K shrd, 2480K buff, 12480K cached
CPU: 45% usr 14% sys 0% nic 12% idle 0% io 1% irq 25% sirq
Load average: 1.14 0.92 0.78 3/29 1059
PID PPID USER STAT VSZ %VSZ %CPU COMMAND
299 1 admin R 4984 4% 87% /opt/bin/openvpn --cd /opt/etc/openvpn
284 1 admin S 1512 1% 0% watchdog
1059 1056 admin R 1384 1% 0% top -d 10
.......

Что можно сделать? может, что лишнее остановить?

В общем то Wifi раздавать не надо, надо только шифровать поток
и доступ к остальному интернету обеспечивать на машин 10-15.

Могу, теоретически, поставить RT-66U.
Будет ли сильно лучше?

Когда OpenVPN стоял на обычной машине, загрузки такой не видел
(выложу Top для сравнения, когда снова пойдет поток)
MMX2
22-10-2012, 12:31
установил на роутер OpenVPN, теперь он занят постоянно:

top -d 10

Mem: 28776K used, 98064K free, 0K shrd, 2480K buff, 12480K cached
CPU: 45% usr 14% sys 0% nic 12% idle 0% io 1% irq 25% sirq
Load average: 1.14 0.92 0.78 3/29 1059
PID PPID USER STAT VSZ %VSZ %CPU COMMAND
299 1 admin R 4984 4% 87% /opt/bin/openvpn --cd /opt/etc/openvpn
284 1 admin S 1512 1% 0% watchdog
1059 1056 admin R 1384 1% 0% top -d 10
.......

Что можно сделать? может, что лишнее остановить?

В общем то Wifi раздавать не надо, надо только шифровать поток
и доступ к остальному интернету обеспечивать на машин 10-15.

Могу, теоретически, поставить RT-66U.
Будет ли сильно лучше?

Когда OpenVPN стоял на обычной машине, загрузки такой не видел
(выложу Top для сравнения, когда снова пойдет поток)

Так может и поднять OpenVPN на полноценном компе, скажем, под дебианом, а на асусе пробросить порт?
MMX2
22-10-2012, 14:35
Итак, сегодня проверил - с mtu на сервере 1400 все работает как часы. Причем не пришлось даже трогать настройки клиента.
Спасибо за помощь!
kpush
24-10-2012, 18:53
Так может и поднять OpenVPN на полноценном компе, скажем, под дебианом, а на асусе пробросить порт?
это не круто
staticroute
24-10-2012, 21:21
это не круто

openvpn использует софтовое шифрование, к тому же роутер достаточно слабый, поэтому больше 500 кб/sec и не выдает.
kpush
25-10-2012, 07:12
openvpn использует софтовое шифрование,
а какое VPN не софтовое на роутере?
tempik
25-10-2012, 10:08
а какое VPN не софтовое на роутере?

accel-pppd работает раза в 2.5 шустрее ... правда не знаю пользует он аппаратное шифрование или нет, но работает на уровне модуля ядра (если не ошибаюсь) ...
kpush
25-10-2012, 13:21
accel-pppd работает раза в 2.5 шустрее ... правда не знаю пользует он аппаратное шифрование .
- так вот и вопрос то изначальный был не про аппаратное шифрование, а как можно больше дать ресурсов роутеру
или тупо наверное придется заменить на более мощьный.
То, что pppd шустрее от своей простоты я понимаю.
SerJJ
03-11-2012, 06:19
Всем привет! Помогите пожалуйста решить задачку. Есть 3 помещения, все в разных районах города. Есть 2 проводных интернет-провайдера. Первое помещение подключено к первому провадеру. Второе и третее помещение подключены ко второму провадеру. Второй провайдер предоставляет свою городскую локальную сеть, а интернет предоставляет через PPTP соединение. В помещениях 1 и 2 стоят роутеры Asus RT-N16, в помещение 3 роутер еще не приобретен.

Требуется объединить в одну локальную сеть помещения 1 и 2. При этом сервером должен выступаь роутер в помещении 1. Будет для этого использован OpenVPN или что-то иное - не важно, главное чтобы задача реализовывалась посредством роутеров. Не обязательно делать одну общую подсеть, можно и две - скажем 192.168.1.* и 192.168.2.* - главное чтобы между помещениями была связь, работали "виндовые шары". При это доступ в интернет компьютеры каждого из помещений получают через своих провайдеров в обычном режиме.

Требуется пробросить через локальную сеть провайдера 2 шифрованый тунель между помещением 2 и 3 с тем, чтобы находясь в помещении 3 пользоваться интернетом помещения 2. В помещении 3 интернет не безлимитный, а в помещении 2 - безлимитный и весьма быстрый. Локальная сеть безлимитная и быстрая. Сервер соответственно должен быть в помещении 2. Внутри локальной сети провайдера 2 роутеры не имеют фиксированных IP адресов, но работает локальный DDNS. Объединять в локальную сеть помещения 2 и 3 не нужно. Нужно только пробросить интернет при помощи зашифрованого тунеля OpenVPN или иного. На сервере в помещении 2 требуется возможность ограничивать скорость раздачи интернета для помещения 3.

Прошу помочь с решением обозначеных задач как в программной части, так и в выборе роутера для помещения 3. В помещение 3 нет возможности приобретать дорогой RT-N16, хотелось бы обойтись чем-нибудь по-проще. Не утверждаю что на роутерах должна быть прошивка именно от Энтузиастов, согласен на любую, плюс на допиливание в разумных пределах, главное чтобы все задачи были решены.
Время сильно поджимает - согласен и на небезвозмездную помощь. Спасибо.
staticroute
03-11-2012, 13:15
Всем привет! Помогите пожалуйста решить задачку. Есть 3 помещения, все в разных районах города. Есть 2 проводных интернет-провайдера. Первое помещение подключено к первому провадеру. Второе и третее помещение подключены ко второму провадеру. Второй провайдер предоставляет свою городскую локальную сеть, а интернет предоставляет через PPTP соединение. В помещениях 1 и 2 стоят роутеры Asus RT-N16, в помещение 3 роутер еще не приобретен.

Требуется объединить в одну локальную сеть помещения 1 и 2. При этом сервером должен выступаь роутер в помещении 1. Будет для этого использован OpenVPN или что-то иное - не важно, главное чтобы задача реализовывалась посредством роутеров. Не обязательно делать одну общую подсеть, можно и две - скажем 192.168.1.* и 192.168.2.* - главное чтобы между помещениями была связь, работали "виндовые шары". При это доступ в интернет компьютеры каждого из помещений получают через своих провайдеров в обычном режиме.

Требуется пробросить через локальную сеть провайдера 2 шифрованый тунель между помещением 2 и 3 с тем, чтобы находясь в помещении 3 пользоваться интернетом помещения 2. В помещении 3 интернет не безлимитный, а в помещении 2 - безлимитный и весьма быстрый. Локальная сеть безлимитная и быстрая. Сервер соответственно должен быть в помещении 2. Внутри локальной сети провайдера 2 роутеры не имеют фиксированных IP адресов, но работает локальный DDNS. Объединять в локальную сеть помещения 2 и 3 не нужно. Нужно только пробросить интернет при помощи зашифрованого тунеля OpenVPN или иного. На сервере в помещении 2 требуется возможность ограничивать скорость раздачи интернета для помещения 3.

Прошу помочь с решением обозначеных задач как в программной части, так и в выборе роутера для помещения 3. В помещение 3 нет возможности приобретать дорогой RT-N16, хотелось бы обойтись чем-нибудь по-проще. Не утверждаю что на роутерах должна быть прошивка именно от Энтузиастов, согласен на любую, плюс на допиливание в разумных пределах, главное чтобы все задачи были решены.
Время сильно поджимает - согласен и на небезвозмездную помощь. Спасибо.

Лучше брать RT-N16, все, что дешевле не будет держать нормальную скорость, особенно если это касается OpenVPN.

Если я правильно понял, то схема доступа в интернет должна быть такой:

Помещение 3 <-> (LAN) Помещение 2 ->(WAN) Internet
Помещение 1 <-> (WAN) Помещение 2
Помещение 3 <-> (LAN) Помещение 2 <-> (WAN) Помещение 1

Получится, что в Помещение 2 нужен будет OpenVPN сервер, с которым соединяются Помещение 1 (LAN) и Помещение 2 (WAN).

Далее Помещение 2 является посредником между 1 и 3 и 3 и 1.

Насчет резания скорости шибко опыта не было, но можно разобраться с шейпером в принципе при желании.

Лучше решать задачу при помощи accel-pppd, там должна быть скорость выше, единственным вопросом остается роутинг.
SerJJ
04-11-2012, 05:08
Нет, помещение 2 не является посредником между помещением 1 и 3. Помещение 2 просто дает доступ в интернет помещению 3 посредством шифрованного тунеля, проложенного внутри общегородской локальной сети провайдера. В помещении 3 в роутере указывается не PPTP сервер провайдера в качестве источника интернет, а указывается сервер помещения 2, который просто дает доступ в интернет и не более того.
Мне не понятно, почему все что дешевле, чем RT-N16 не будет держать нормальную скорость, если цепляться к нашему серверу, а если цепляться к серверу провайдера по PPTP - то вполне себе держать будет.

В помещении 3 не нужен высокоскоростной интернет, там можно честно подключить самую дешевую безлимитку по PPTP - 30 мегабит скорость днем провайдер обеспечивает. Можно для этой цели купить роутер типа такого http://chelyabinsk.dns-shop.ru/catalog/i121637/marshrutizator-tochka-dostupa-tp-link-tl-wr340gd.html
Настроить его за 20 минут, честно платить за безлимитку провайдеру 450рэ в месяц и вопрос с помещением наглухо 3 закрыть. А можно купить роутер и по-дороже в принципе и пробросить интернет из помещения 2. В принципе и RT-N16 можно прикупить. Но если сконфигурить и настроить все не получиться - то тогда мне дадут по шапке за ненужную переплату за роутер т.к. в помещении 3 не требуются ни гигабитные порты, ни N вай-фай, а уж к бренду азус вообще никакой привязанности нет. Мне хочется как лучше, но лишь бы не выло как всегда....

Мы пробовали соединять меж собой напрмую компьютеры при помощи OpenVPN-GUI. Так вот при этом создавалось подключение как 10 мегабитная локальная сеть. Тоесть, если требовалось ограничить скорость по OpenVPN на уровне 10 мегабит - то и шейперов никаких специальных ставить не надо. Очень удобно. Может и в случае если делать все на роутерах, там оно тоже само десятью мегабитами ограничится да и все? Тогда и шейпер не нужен никакой.

В помещении 2 роутеру для соединения с сервером помещения 1 потребуется сначала поднять PPTP дабы получить доступ к интернет и уже внутри PPTP проложить OpenVPN или что-то другое, чтобы через интернет соединиться с сервером помещения 1. В самом помещении 1 слава богу провайдер дает интернет без всяких там PPTP, "просто воткнул шланг и на тебе сразу интернет"...
ConstAntz
04-11-2012, 09:39
...
Требуется объединить в одну локальную сеть помещения 1 и 2. При этом сервером должен выступаь роутер в помещении 1. Будет для этого использован OpenVPN или что-то иное - не важно, главное чтобы задача реализовывалась посредством роутеров. Не обязательно делать одну общую подсеть, можно и две - скажем 192.168.1.* и 192.168.2.* - главное чтобы между помещениями была связь, работали "виндовые шары". При это доступ в интернет компьютеры каждого из помещений получают через своих провайдеров в обычном режиме.
...


...
В помещении 2 роутеру для соединения с сервером помещения 1 потребуется сначала поднять PPTP дабы получить доступ к интернет и уже внутри PPTP проложить OpenVPN или что-то другое, чтобы через интернет соединиться с сервером помещения 1. В самом помещении 1 слава богу провайдер дает интернет без всяких там PPTP, "просто воткнул шланг и на тебе сразу интернет"...

А вот здесь могут возникнуть проблемы с роутером из помещения 1. Предполагаю, что он привязан к мак-адресу и любые попытки подключиться к нему из вне будут блокированы провайдером до заключения отдельного (платного) договора. Отсюда - нет смысла поднимать на нем что либо серверное. Как проверить? Есть возможность зайти в веб-админку роутера_1, скажем из офиса_2? Если нет, и нет желания на доп.договор (выделенный айпи), то сервер должен переехать на роутер_2, т.к. у него больше шансов быть увиденным из вне. имхо.
SerJJ
05-11-2012, 05:05
В помещении 1 как раз таки все просто. Роутер сидит за провайдерским NAT, но любой порт без проблем пробросят по моей просьбе. Сейчас уже прокинут порт 1194 UDP. Соединяли компы с помощью OpenVPN GUI - все работает. Айпишник кстати фиксированый если из вне стучаться на сервер в помещение 1. Даже ДДНС не нужен.

Мегабит 5 как минимум в помещении 3 надо чтобы интернет скоростью-то обладал. Да и торренты там будут таки запускать. Соответсттвенно будет инициироваться большое кол-во соединений одновременно. И пусь 5 мегабит, но чтобы не зависало надо. Слышал, многие роутеры не тянут большое кол-во соединений, зависают наглухо. Конечно в настройках торрент-качалки можно зарезать кол-во соединений, но не до 10 же. Хотябы 50 то надо оставить....

Может быть за основу стоит взять такое решение (не в плане железок, а в плане прошивок): http://ru.intel.com/business/community/?automodule=blog&blogid=14496&showentry=2193
Не знаю насколько это хорошая идея. Насколько она вообще применима в моем случае. Всех поставленых задач, насколько я понял это решение не обеспечивает, а насколько оно доступно и удобно для допиливания - не знаю. Не могу оценить. Не специалист.
staticroute
05-11-2012, 05:20
Нет, помещение 2 не является посредником между помещением 1 и 3. Помещение 2 просто дает доступ в интернет помещению 3 посредством шифрованного тунеля, проложенного внутри общегородской локальной сети провайдера. В помещении 3 в роутере указывается не PPTP сервер провайдера в качестве источника интернет, а указывается сервер помещения 2, который просто дает доступ в интернет и не более того.
Мне не понятно, почему все что дешевле, чем RT-N16 не будет держать нормальную скорость, если цепляться к нашему серверу, а если цепляться к серверу провайдера по PPTP - то вполне себе держать будет.

Если PPTP, то возможно да, но все-таки сравнение некорректное - большинство провайдеров предоставляют PPTP без шифрования.

Да и имелся ввиду OpenVPN - он работает не больше 500кб/sec на wl500gP v1 (думаю на аналогичных длинках или любых других того же семейства скорость будет не лучше).



В помещении 3 не нужен высокоскоростной интернет, там можно честно подключить самую дешевую безлимитку по PPTP - 30 мегабит скорость днем провайдер обеспечивает. Можно для этой цели купить роутер типа такого http://chelyabinsk.dns-shop.ru/catalog/i121637/marshrutizator-tochka-dostupa-tp-link-tl-wr340gd.html
Настроить его за 20 минут, честно платить за безлимитку провайдеру 450рэ в месяц и вопрос с помещением наглухо 3 закрыть. А можно купить роутер и по-дороже в принципе и пробросить интернет из помещения 2. В принципе и RT-N16 можно прикупить. Но если сконфигурить и настроить все не получиться - то тогда мне дадут по шапке за ненужную переплату за роутер т.к. в помещении 3 не требуются ни гигабитные порты, ни N вай-фай, а уж к бренду азус вообще никакой привязанности нет. Мне хочется как лучше, но лишь бы не выло как всегда....

Хочется и сэкономить и все получить, я думаю не стоит экономить, купите один раз, чтобы все работало, может потребуется в скором времени расширить сеть? Хотя если все это временно и есть большое желание экономить, тогда можно взять то, что вы хотите.


Мы пробовали соединять меж собой напрмую компьютеры при помощи OpenVPN-GUI. Так вот при этом создавалось подключение как 10 мегабитная локальная сеть. Тоесть, если требовалось ограничить скорость по OpenVPN на уровне 10 мегабит - то и шейперов никаких специальных ставить не надо. Очень удобно. Может и в случае если делать все на роутерах, там оно тоже само десятью мегабитами ограничится да и все? Тогда и шейпер не нужен никакой.
опция --shaper действительно есть в OpenVPN, позволяющая ограничить в одну сторону, если нужно в обе стороны, то нужно и на клиенте и на сервере указать эту опцию.


В помещении 2 роутеру для соединения с сервером помещения 1 потребуется сначала поднять PPTP дабы получить доступ к интернет и уже внутри PPTP проложить OpenVPN или что-то другое, чтобы через интернет соединиться с сервером помещения 1. В самом помещении 1 слава богу провайдер дает интернет без всяких там PPTP, "просто воткнул шланг и на тебе сразу интернет"...
Какой-то изврат на самом деле :)

Мое предложение было таким:

1. Настроить OpenVPN сервер в помещении 2 (где у вас быстрый интернет).

2. Подсоединить к этому серверу помещение 1 через локальную сеть, таким образом дав интернет (при помощи правил дополнительных iptables) и объединив обе локальные сети между собой.

3. Подсоединить помещение 3 к помещению 2 через интернет к OpenVPN cерверу.

В итоге коммутация между 3 и 1 будет происходить через 2. После этого все 3 помещения будут в одной сети OpenVPN, при желании можно все подсети за роутерами прокинуть также, чтобы они видели друг-дружку (MASQUERADING).

Единственно, что есть некоторые глюки с отображением компьютеров в Сетевом окружении.
SerJJ
06-11-2012, 09:08
Да нет никакого изврата. Очень много какие провайдеры предоставляют интернет через PPTP или через другой тунель. И что теперь во всех таких случаях ставить крест на объединении помещений в одну вирутальную частную сеть? С компьютеров же через виндовую версию OpenVPN мы соединялись без проблем. Роутер через PPTP давал выход компьютеру в интернет, а компьютер коннектился при помощи программы OpenVPN GUI к компьютеру в удаленном помещении. Все работало. Просто нужно объединить не тупо два компьютера, а все устройства подключеные к роутеру, потому и делаться все должно при помощи самих роутеров.

Вобщем для помещения 3 вчера был приобретен роутер TP-Link TL-WR340GD. Официально подключен безлимитный интернет. За 15 минут все настроено и введено в эксплуатацию. Интернет поднят через PPTP. Просто некогда было больше ждать. Пошли коротким путем. Сейчас задача подключения помещения 3 к интернету через помещение 2 снята. Но может снова возникнуть в будущем.

Сейчас надо объединить помещения 1 и 2 в вирутальную частную сеть. Ребят, мне не нужны общие советы и рассказы в общих чертах как это делается. В общих чертах я и сам знаю. Мне нужна практическая помощь. Пошаговая инструкция или личное пусть и удаленное участие. Помощь направленая на быстрое достижение результата. Не безвозмездно. Есть желающие и могущие?
staticroute
06-11-2012, 09:27
Да нет никакого изврата. Очень много какие провайдеры предоставляют интернет через PPTP или через другой тунель. И что теперь во всех таких случаях ставить крест на объединении помещений в одну вирутальную частную сеть? С компьютеров же через виндовую версию OpenVPN мы соединялись без проблем. Роутер через PPTP давал выход компьютеру в интернет, а компьютер коннектился при помощи программы OpenVPN GUI к компьютеру в удаленном помещении. Все работало. Просто нужно объединить не тупо два компьютера, а все устройства подключеные к роутеру, потому и делаться все должно при помощи самих роутеров.

Вобщем для помещения 3 вчера был приобретен роутер TP-Link TL-WR340GD. Официально подключен безлимитный интернет. За 15 минут все настроено и введено в эксплуатацию. Интернет поднят через PPTP. Просто некогда было больше ждать. Пошли коротким путем. Сейчас задача подключения помещения 3 к интернету через помещение 2 снята. Но может снова возникнуть в будущем.

Сейчас надо объединить помещения 1 и 2 в вирутальную частную сеть. Ребят, мне не нужны общие советы и рассказы в общих чертах как это делается. В общих чертах я и сам знаю. Мне нужна практическая помощь. Пошаговая инструкция или личное пусть и удаленное участие. Помощь направленая на быстрое достижение результата. Не безвозмездно. Есть желающие и могущие?

Вы меня не поняли, я говорил о самой схеме подключения помещений между собой.

Отправил вам PM.
chelsanya
16-04-2013, 08:01
Помогите пожалуйста, уже не знаю что делать, гугля замучал тупыми вопросами.

Задача пускать в интернет знакомых и себя в сети провайдера (10.х.х.х) через одно pptp соединение. dir-320 в комплекте.

Опенвпн поставил, а дальше как мартышка с очками... клиент сервер соединяется, но в инет не ходят.

server.conf



dev tun
ifconfig 10.8.0.1 10.8.0.2 # как тут прописать больше клиентов?
port 9513
secret static.key

log-append /opt/var/log/openvpn/openvpn.log
status /opt/var/log/openvpn/status.log


/tmp/local/sbin/post-firewall


# openvpn Server
iptables -I INPUT -p udp --dport 9513 -j ACCEPT #only Server (delete for Client)
iptables -I INPUT -p tcp --dport 9513 -j ACCEPT #добавил потомучто и tcp вариан запускал.
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 80 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 8080 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 139 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 445 -j ACCEPT
iptables -I INPUT -i tun0 -p udp --dport 137 -j ACCEPT
iptables -I INPUT -i tun0 -p udp --dport 138 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 901 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 9100 -j ACCEPT #непонятно для чего тут столько правил?

# тут я уже собрал все что можно

iptables -I INPUT -p tcp --dport 9513 -j ACCEPT
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 9513 -j DNAT --to-destination $4:9513
iptables -A INPUT -j DROP
iptables -I INPUT -i tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -j ACCEPT
iptables -I FORWARD -o tun0 -j ACCEPT
iptables -I OUTPUT -o tun0 -j ACCEPT

iptables -I INPUT -p tcp --dport 9513 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
# iptables -I INPUT -i tun0 -p tcp --dport 80 -j ACCEPT


И попутно, если я добавлю или закоменирую правило в пост-фаервол, что оно автоматически примется? или как этот пост-фаервол применять после изменений? чтоб роутер не перегружать?

Огорчающие факты.
если это важно, но вроде виндовые клиенты соединяются по имени, провайдер дает ип по dhcp, но есть ddns.

тыкал и натыкал что не выдается defaul gateway, в винде в сетевухе tap поставил в ручную и все заработало, интересно как теперь прописать автоматом(((

server.conf


dev tun0
ifconfig 10.8.0.1 10.8.0.2
secret static.key
# Routing all client traffic (including web-traffic) through the VPN
push "redirect-gateway def1"
push "dhcp-option DNS 10.8.0.1"

client.conf


remote my.router
float
dev tun0
ifconfig 10.8.0.2 10.8.0.1
secret static.key
keepalive 10 60
redirect-gateway def1
route-method exe
route-delay 2
dhcp-option DNS 10.8.0.1

И огорчает скорость.
по speedtest.net из lan 192.168.1.x 30/15 загрузка роутера 100 пинг 5
по опенвпн 5/4 загрузка 100 пинг 10
может ли тут помочь более мощный маршрутизатор у меня dir-320? и какой RT-N16?
chelsanya
17-04-2013, 08:03
openvpn пустить в ppp0

Задолбался ужа курить маны разбиратся с сетями впнами итд херней...

Помогите плиз настроить, ну не реально освоить... всякие построутинг опенвпн клиенты итд.... каша в голове уже от этого всего...

на роутере поднял openvpn http://rung.narod.ru/ алелуя товарищу....

мучаю конфиги как обезьяна и очки.




dev tun

tls-server

server 192.168.255.0 255.255.255.0
ifconfig 192.168.255.1 192.168.255.2

#client-config-dir ccd

#route 192.168.255.0 255.255.255.0
#route 192.168.2.0 255.255.255.0
#route 192.168.3.0 255.255.255.0
#route 192.168.4.0 255.255.255.0

#route 192.168.255.0 255.255.255.0
#route 192.168.2.0 255.255.255.0
#route 192.168.3.0 255.255.255.0
#route 192.168.4.0 255.255.255.0

#push "route 192.168.1.0 255.255.255.0"
#push "route 192.168.2.0 255.255.255.0"
#push "route 192.168.3.0 255.255.255.0"
#push "route 192.168.4.0 255.255.255.0"
#push "route 192.168.5.0 255.255.255.0"

# мои экспиременты

# Routing all client traffic (including web-traffic) through the VPN
# push "redirect-gateway def1"
# push "dhcp-option DNS 192.168.1.1"
# push "route-gateway 10.8.0.1"
#push "redirect-gateway def1 bypass-dhcp"



dh /opt/etc/openvpn/keys/dh1024.pem
ca /opt/etc/openvpn/keys/ca.crt
cert /opt/etc/openvpn/keys/bserver.crt
key /opt/etc/openvpn/keys/bserver.key

client-to-client

duplicate-cn

port 9513
proto udp

user nobody
group nobody

#comp-lzo # компресор
persist-tun
persist-key

verb 6

log-append /opt/var/log/openvpn/openvpn.log
status /opt/var/log/openvpn/status.log

keepalive 10 120
mute 20





post-firewall

#!/bin/sh

# port HTTP
# iptables -I INPUT -p tcp --dport 80 -j ACCEPT

### Ограничиваем доступ ребенку.
### Во время действия летнего времени срабатывает на 1 час позже:
### Создаем новую цепочку, дропаем в ней все по умолчанию.
### Заворачиваем на нее все интернет-пакеты ребенка
#iptables -N CHILD
#iptables -A CHILD -j DROP
#iptables -I FORWARD 1 -m mac --mac-source xx:xx:xx:xx:xx:xx -o ppp0 -j CHILD
#iptables -I FORWARD 1 -m mac --mac-source xx:xx:xx:xx:xx:xx -o ppp0 -j CHILD
#iptables -I FORWARD 1 -m mac --mac-source xx:xx:xx:xx:xx:xx -o ppp0 -j CHILD
### Включаем ребенку интернет по времени
#iptables -I CHILD 1 -m time --timestart 09:00:00 --timestop 20:00:00 --weekdays Sun,Mon,Tue,Wed,Thu,Fri,Sat -j RETURN

# openvpn Server
iptables -I INPUT -p udp --dport 9513 -j ACCEPT #only Server (delete for Client)
iptables -I INPUT -p tcp --dport 9513 -j ACCEPT #only Server (delete for Client)
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 80 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 8080 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 139 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 445 -j ACCEPT
iptables -I INPUT -i tun0 -p udp --dport 137 -j ACCEPT
iptables -I INPUT -i tun0 -p udp --dport 138 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 901 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 9100 -j ACCEPT #printer


# openvpn server dobavleni mnoy

iptables -I INPUT -p udp --dport 9513 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 80 -j ACCEPT

iptables -I INPUT -p tcp --dport 9513 -j ACCEPT
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 9513 -j DNAT --to-destination $4:9513
iptables -A INPUT -j DROP
iptables -I INPUT -i tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -j ACCEPT
iptables -I FORWARD -o tun0 -j ACCEPT
iptables -I OUTPUT -o tun0 -j ACCEPT

iptables -I INPUT -p tcp --dport 9513 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 80 -j ACCEPT




opnvpn.log

Wed Apr 17 05:46:02 2013 us=80491 Current Parameter Settings:
Wed Apr 17 05:46:02 2013 us=81722 config = 'openvpn.conf'
Wed Apr 17 05:46:02 2013 us=82233 mode = 1
Wed Apr 17 05:46:02 2013 us=82713 persist_config = DISABLED
Wed Apr 17 05:46:02 2013 us=83192 persist_mode = 1
Wed Apr 17 05:46:02 2013 us=83669 show_ciphers = DISABLED
Wed Apr 17 05:46:02 2013 us=84150 show_digests = DISABLED
Wed Apr 17 05:46:02 2013 us=84628 show_engines = DISABLED
Wed Apr 17 05:46:02 2013 us=85104 genkey = DISABLED
Wed Apr 17 05:46:02 2013 us=85582 key_pass_file = '[UNDEF]'
Wed Apr 17 05:46:02 2013 us=86062 show_tls_ciphers = DISABLED
Wed Apr 17 05:46:02 2013 us=86605 Connection profiles [default]:
Wed Apr 17 05:46:02 2013 us=87089 proto = udp
Wed Apr 17 05:46:02 2013 us=87565 local = '[UNDEF]'
Wed Apr 17 05:46:02 2013 us=88177 local_port = 9513
Wed Apr 17 05:46:02 2013 us=88654 remote = '[UNDEF]'
Wed Apr 17 05:46:02 2013 us=89131 remote_port = 9513
Wed Apr 17 05:46:02 2013 us=89608 remote_float = DISABLED
Wed Apr 17 05:46:02 2013 us=90086 bind_defined = DISABLED
Wed Apr 17 05:46:02 2013 us=90562 bind_local = ENABLED
Wed Apr 17 05:46:02 2013 us=91032 NOTE: --mute triggered...
Wed Apr 17 05:46:02 2013 us=91759 196 variation(s) on previous 20 message(s) suppressed by --mute
Wed Apr 17 05:46:02 2013 us=92257 OpenVPN 2.2.0 mipsel-linux [SSL] [LZO2] [EPOLL] [eurephia] built on Feb 18 2012
Wed Apr 17 05:46:02 2013 us=97552 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Wed Apr 17 05:46:02 2013 us=372218 Diffie-Hellman initialized with 1024 bit key
Wed Apr 17 05:46:02 2013 us=379050 WARNING: file '/opt/etc/openvpn/keys/bserver.key' is group or others accessible
Wed Apr 17 05:46:02 2013 us=390446 TLS-Auth MTU parms [ L:1541 D:138 EF:38 EB:0 ET:0 EL:0 ]
Wed Apr 17 05:46:02 2013 us=391360 Socket Buffers: R=[108544->131072] S=[108544->131072]
Wed Apr 17 05:46:02 2013 us=398809 ROUTE default_gateway=10.100.222.10
Wed Apr 17 05:46:02 2013 us=421810 TUN/TAP device tun0 opened
Wed Apr 17 05:46:02 2013 us=422442 TUN/TAP TX queue length set to 100
Wed Apr 17 05:46:02 2013 us=423459 /sbin/ifconfig tun0 192.168.255.1 pointopoint 192.168.255.2 mtu 1500
Wed Apr 17 05:46:02 2013 us=449108 /sbin/route add -net 192.168.255.0 netmask 255.255.255.0 gw 192.168.255.2
Wed Apr 17 05:46:02 2013 us=466135 Data Channel MTU parms [ L:1541 D:1450 EF:41 EB:4 ET:0 EL:0 ]
Wed Apr 17 05:46:02 2013 us=478491 GID set to nobody
Wed Apr 17 05:46:02 2013 us=479116 UID set to nobody
Wed Apr 17 05:46:02 2013 us=479776 UDPv4 link local (bound): [undef]:9513
Wed Apr 17 05:46:02 2013 us=480274 UDPv4 link remote: [undef]
Wed Apr 17 05:46:02 2013 us=480906 MULTI: multi_init called, r=256 v=256
Wed Apr 17 05:46:02 2013 us=482143 IFCONFIG POOL: base=192.168.255.4 size=62
Wed Apr 17 05:46:02 2013 us=483370 Initialization Sequence Completed
Wed Apr 17 05:46:20 2013 us=304022 MULTI: multi_create_instance called
Wed Apr 17 05:46:20 2013 us=305154 192.168.1.217:60673 Re-using SSL/TLS context
Wed Apr 17 05:46:20 2013 us=309398 192.168.1.217:60673 Control Channel MTU parms [ L:1541 D:138 EF:38 EB:0 ET:0 EL:0 ]
Wed Apr 17 05:46:20 2013 us=310020 192.168.1.217:60673 Data Channel MTU parms [ L:1541 D:1450 EF:41 EB:4 ET:0 EL:0 ]
Wed Apr 17 05:46:20 2013 us=311211 192.168.1.217:60673 Local Options String: 'V4,dev-type tun,link-mtu 1541,tun-mtu 1500,proto UDPv4,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-server'
Wed Apr 17 05:46:20 2013 us=311681 192.168.1.217:60673 Expected Remote Options String: 'V4,dev-type tun,link-mtu 1541,tun-mtu 1500,proto UDPv4,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-client'
Wed Apr 17 05:46:20 2013 us=312692 192.168.1.217:60673 Local Options hash (VER=V4): '239669a8'
Wed Apr 17 05:46:20 2013 us=313484 192.168.1.217:60673 Expected Remote Options hash (VER=V4): '3514370b'
Wed Apr 17 05:46:20 2013 us=315140 192.168.1.217:60673 UDPv4 READ [14] from 192.168.1.217:60673: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 [ ] pid=0 DATA len=0
Wed Apr 17 05:46:20 2013 us=315934 192.168.1.217:60673 TLS: Initial packet from 192.168.1.217:60673, sid=a8efc739 5653262a
Wed Apr 17 05:46:20 2013 us=317490 192.168.1.217:60673 UDPv4 WRITE [26] to 192.168.1.217:60673: P_CONTROL_HARD_RESET_SERVER_V2 kid=0 [ 0 ] pid=0 DATA len=0
Wed Apr 17 05:46:20 2013 us=322207 192.168.1.217:60673 UDPv4 READ [22] from 192.168.1.217:60673: P_ACK_V1 kid=0 [ 0 ]
Wed Apr 17 05:46:20 2013 us=323753 192.168.1.217:60673 UDPv4 READ [108] from 192.168.1.217:60673: P_CONTROL_V1 kid=0 [ ] pid=1 DATA len=94
Wed Apr 17 05:46:20 2013 us=742042 192.168.1.217:60673 UDPv4 WRITE [126] to 192.168.1.217:60673: P_CONTROL_V1 kid=0 [ 1 ] pid=1 DATA len=100
Wed Apr 17 05:46:20 2013 us=743874 192.168.1.217:60673 UDPv4 WRITE [114] to 192.168.1.217:60673: P_CONTROL_V1 kid=0 [ ] pid=2 DATA len=100
Wed Apr 17 05:46:20 2013 us=745682 192.168.1.217:60673 UDPv4 WRITE [114] to 192.168.1.217:60673: P_CONTROL_V1 kid=0 [ ] pid=3 DATA len=100
Wed Apr 17 05:46:20 2013 us=747482 192.168.1.217:60673 UDPv4 WRITE [114] to 192.168.1.217:60673: P_CONTROL_V1 kid=0 [ ] pid=4 DATA len=100


что еще нужно? выложу помогите пожалуйста....
ildar
17-04-2013, 14:03
chelsanya

Я так понял VPN server на роутере, клиент на компе?

Post-firewall (мой вариант, порт изменил на твой)

#!/bin/sh
iptables -D INPUT -j DROP
iptables -A INPUT -p udp --sport 9513 -j ACCEPT
iptables -A OUTPUT -p udp --dport 9513 -j ACCEPT
iptables -A INPUT -j DROP
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -I FORWARD -i tun0 -j ACCEPT
iptables -I FORWARD -o tun0 -j ACCEPT
iptables -I INPUT -i tun0 -j ACCEPT
iptables -I OUTPUT -o tun0 -j ACCEPT
iptables -I INPUT -i br0 -j ACCEPT
iptables -I OUTPUT -o br0 -j ACCEPT

Не понятно пока в чем проблема. Например: "Хочу поднять VPN соединение роутер-комп, VPN соединения нет"
прочитал 3 поста ничего не понял.
Arthur_X
04-05-2013, 22:14
Вот мой кусок post-firewall, прекрасно работает:

iptables -D INPUT -j DROP
iptables -I INPUT -p udp --dport 9513 -j ACCEPT
iptables -t nat -I PREROUTING -i eth1 -p udp --dport 9513 -j DNAT --to-destination \$4:9513
iptables -A INPUT -j DROP
iptables -I INPUT -i tun0 -j ACCEPT

iptables -I FORWARD -i tun0 -j ACCEPT
iptables -I FORWARD -o tun0 -j ACCEPT
iptables -I OUTPUT -o tun0 -j ACCEPT
abi
12-06-2013, 18:56
Прошу немного помочь, помоему, заблудился в двух соснах просто.

Есть домашняя сеть и сеть на даче, хочется связать их вместе через openVPN, чтобы сети за роутерами пингались.

Топология примерно такая: 10.0.0.0/24 ----------- 192.168.0.0/24 (openVPN) ---------------- 10.0.1.0/24

Первый роутер совсем древний с прошивкой Олега, выступает сервером (его адрес 10.0.0.222). Второй чуть новее.


[root@galaxy root]$ openvpn --version
OpenVPN 2.2.0 mipsel-linux [SSL] [LZO2] [EPOLL] [eurephia] built on Apr 28 2011


Конфиг:


dev tap0
mode server
proto tcp-server
port 443

ifconfig 192.168.0.1 255.255.255.0
ifconfig-pool 192.168.0.2 192.168.0.10
ifconfig-pool-persist /opt/etc/openvpn/ipp.txt

client-to-client

route 10.0.1.0 255.255.255.0
push "route 10.0.0.0 255.255.255.0"

script-security 2
tls-server
dh /opt/etc/openvpn/keys/dh1024.pem
ca /opt/etc/openvpn/keys/ca.crt
cert /opt/etc/openvpn/keys/server.crt
key /opt/etc/openvpn/keys/server.key

user nobody
group nobody

comp-lzo
persist-tun
persist-key
verb 3
status /opt/var/log/openvpn/status.log

Таблицы сервера


[root@galaxy root]$ iptables -L -v
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
286 27143 ACCEPT tcp -- any any anywhere anywhere tcp dpt:https
248 18192 ACCEPT tcp -- any any anywhere anywhere tcp dpt:ssh
3 144 DROP all -- any any anywhere anywhere ctstate INVALID
23 5007 ACCEPT all -- any any anywhere anywhere ctstate RELATED,ESTABLISHED
1 122 ACCEPT all -- lo any anywhere anywhere ctstate NEW
38 5125 ACCEPT all -- br0 any anywhere anywhere ctstate NEW
1029 72708 DROP all -- any any anywhere anywhere
0 0 DROP all -- any any anywhere anywhere
0 0 ACCEPT all -- lo any anywhere anywhere
0 0 ACCEPT all -- tap0 any anywhere anywhere
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:ssh
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:www
0 0 DROP all -- any any anywhere anywhere

Chain FORWARD (policy ACCEPT 117 packets, 6260 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- br0 br0 anywhere anywhere
9 384 DROP all -- any any anywhere anywhere ctstate INVALID
0 0 ACCEPT all -- any any anywhere anywhere ctstate RELATED,ESTABLISHED
0 0 DROP all -- !br0 vlan1 anywhere anywhere
0 0 ACCEPT all -- any any anywhere anywhere ctstate DNAT
0 0 DROP all -- any br0 anywhere anywhere
0 0 ACCEPT all -- tap0 any anywhere anywhere


Виртуальный интерфейс:


[root@galaxy root]$ ifconfig tap0
tap0 Link encap:Ethernet HWaddr 00:FF:29:15:1F:06
inet addr:192.168.0.1 Bcast:192.168.0.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)

Второй роутер выступает клиентом, его адрес 10.0.1.222.


root@dacha:~# openvpn --version
OpenVPN 2.3.1 mipsel-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on May 24 2013

Конфиг

root@dacha:~# cat /tmp/openvpncl/openvpn.conf
ca /tmp/openvpncl/ca.crt
cert /tmp/openvpncl/client.crt
key /tmp/openvpncl/client.key
management 127.0.0.1 16
management-log-cache 100
verb 3
mute 3
syslog
writepid /var/run/openvpncl.pid
client
resolv-retry infinite
nobind
persist-key
persist-tun
script-security 2
dev tap1
proto tcp-client
cipher bf-cbc
auth sha1
remote погрызано 443
comp-lzo yes
tls-client
tun-mtu 1500
mtu-disc yes
ns-cert-type server

Интерфейс

root@dacha:~# ifconfig tap1
tap1 Link encap:Ethernet HWaddr 00:FF:EB:09:9E:C9
inet addr:192.168.0.4 Bcast:192.168.0.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:210 errors:0 dropped:0 overruns:0 frame:0
TX packets:158 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:22513 (21.9 KiB) TX bytes:22204 (21.6 KiB)

Таблицы


root@dacha:~# iptables -L -v
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
235 21625 ACCEPT 0 -- tap1 any anywhere anywhere
669 101K logaccept 0 -- any any anywhere anywhere state RELATED,ESTABLISHED
0 0 logdrop udp -- ppp0 any anywhere anywhere udp dpt:route
0 0 logdrop udp -- br0 any anywhere anywhere udp dpt:route
0 0 ACCEPT udp -- any any anywhere anywhere udp dpt:route
0 0 ACCEPT icmp -- ppp0 any anywhere anywhere
24 768 ACCEPT igmp -- any any anywhere anywhere
0 0 ACCEPT 0 -- lo any anywhere anywhere state NEW
1326 83843 logaccept 0 -- br0 any anywhere anywhere state NEW
9 3550 logdrop 0 -- any any anywhere anywhere

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT 0 -- any tap1 anywhere anywhere
0 0 ACCEPT 0 -- tap1 any anywhere anywhere
0 0 logaccept gre -- any ppp0 10.0.1.0/24 anywhere
0 0 logaccept tcp -- any ppp0 10.0.1.0/24 anywhere tcp dpt:1723
9483 6550K lan2wan 0 -- any any anywhere anywhere
386 20352 TCPMSS tcp -- any any anywhere anywhere tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
9170 6527K logaccept 0 -- any any anywhere anywhere state RELATED,ESTABLISHED
0 0 logaccept 0 -- br0 br0 anywhere anywhere
0 0 logaccept udp -- ppp0 any anywhere base-address.mcast.net/4
0 0 TRIGGER 0 -- ppp0 br0 anywhere anywhere TRIGGER type:in match:0 relate:0
313 22934 trigger_out 0 -- br0 any anywhere anywhere
303 22534 logaccept 0 -- br0 any anywhere anywhere state NEW
10 400 logdrop 0 -- any any anywhere anywhere

От этой связи я искренне ожидал следующего: сервер будет знать куда ему рутить на дачу и пропихнёт клиенту куда ему роутить в дом.

В результате имеем:
на сервере

[root@galaxy root]$ route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
10.208.124.1 0.0.0.0 255.255.255.255 UH 0 0 0 vlan1
10.0.0.0 0.0.0.0 255.255.255.0 U 0 0 0 br0
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 tap0
10.208.125.0 0.0.0.0 255.255.255.0 U 0 0 0 vlan1
127.0.0.0 0.0.0.0 255.0.0.0 U 0 0 0 lo
0.0.0.0 10.208.124.1 0.0.0.0 UG 0 0 0 vlan1


root@dacha:~# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
10.64.64.64 0.0.0.0 255.255.255.255 UH 0 0 0 ppp0
10.0.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br0
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 tap1
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 br0
127.0.0.0 0.0.0.0 255.0.0.0 U 0 0 0 lo
0.0.0.0 10.64.64.64 0.0.0.0 UG 0 0 0 ppp0

т.е. маршрутов нет. Я могу заходить с роутера на роутер введя его айпи из сети 192.168.0.0/24 но не пинговать их с 10.0.0.0 и 10.0.1.0 . Машины за роутерами, понятное дело, ничего не видят.

Куда копать?
ildar
13-06-2013, 12:49
abi
я думаю роутинг тебе нужно добавить на серве, не помню как Linux в Windows будет выглядеть так

Route -p add 10.0.0.0 mask 255.255.255.0 10.0.1.0
Route -p add 10.0.1.0 mask 255.255.255.0 10.0.0.0
Arthur_X
08-01-2014, 07:53
Добрый день!
Роутер WL-500GP V2. Уже второй год работает OpenVPN как сервер, несколько клиентов выходят в инет через него.
Последнее время стала возникать такая проблема: в определенный момент у клиента перестает открываться часть сайтов, причем скорость скачивания с одного определенного IP не меняется, проблема лечится выключением роутера на 20-30 секунд.
Сначала думал что проблема в DNS, добавил push-dns чтобы клиент использовал локальный DNS провайдера вместо DNS через туннель. Делал также перезапуск процесса openvpn. Но, ситуация не поменялась. Такая проблема только через OpenVPN, напрямую инет работает отлично всегда.
Проблема возникает не периодически, может раз в 10-15 дней, может несколько раз в неделю появляться.

Есть предположения что проблема с железом или USB-флешкой. Раз/два в месяц роутер стабильно уходит в ребут, сам.

Можно как-нибудь диагностировать проблемы с железом? Тесты? Запустить мониторинг каких-нибудь параметров?

P.S.
Сегодня ночью был такой случай:
роутер самопроизвольно перезагрузился, после перезагрузки у клиента перестали открываться часть сайтов, остальная часть открывается частично (похоже на проблему с DNS), выключаю роутер на 30 секунд, загружается, все сайты открываются нормально.

Сегодня перенес openvpn на внутреннюю флеш роутера, посмотрим как будет себя вести. И.... опять повторилась проблема, перенос openvpn на внутреннюю флеш ничего не дал.
sajor2006
24-01-2014, 13:13
http://wl500g.info/showthread.php?3171-%C8%ED%F1%F2%F0%F3%EA%F6%E8%FF-%EF%EE-%ED%E0%F1%F2%F0%EE%E9%EA%E5-%F0%EE%F3%F2%E5%F0%E0-WL-500gP-%F1-%ED%F3%EB%FF

версия прошивки
WL500gp-1.9.2.7-rtn-r5066.trx
что не так ?

[admin@WL-001E8C023520 sbin]$ ipkg.sh update
Downloading http://wl500g-repo.googlecode.com/svn/ipkg/openwrt/Packages ...
Connecting to wl500g-repo.googlecode.com (173.194.70.82:80)
Packages 100% |*************************************| 843k 0:00:00 ETA
Done.
Updated list of available packages in /opt/lib/ipkg/lists/openwrt
[admin@WL-001E8C023520 sbin]$ ipkg.sh install ipkg-opt
ipkg_get_install: ERROR: Cannot find package ipkg-opt in /opt/lib/ipkg/lists
ipkg_get_install: Check the spelling and maybe run `ipkg update'.
[admin@WL-001E8C023520 sbin]$



пробовал скачать

http://ipkg.nslu2-linux.org/feeds/optware/oleg/cross/stable/ipkg-opt_0.99.163-10_mipsel.ipk
поставить

[admin@WL-001E8C023520 bin]$ipkg.sh install ipkg-opt_0.99.163-10_mipsel.ipk
Unpacking ipkg-opt...Done.
Configuring ipkg-opt...Done.
[admin@WL-001E8C023520 bin]$ cd /opt/bin
[admin@WL-001E8C023520 bin]$ ls
ipkg ipkg-opt update-alternatives
[admin@WL-001E8C023520 bin]$ ./ipkg
-sh: ./ipkg: not found
[admin@WL-001E8C023520 bin]$


также делал и с openvpn/ тоже не запускается.
MercuryV
24-01-2014, 13:56
sajor2006, начиная с r3727 (http://code.google.com/p/wl500g/source/detail?r=3727) ipkg.sh устанавливает не Optware, а Entware (http://wl500g.info/showthread.php?28036). С пользовательской точки зрения основное отличие - вместо ipkg используется opkg, насчет остального посмотрите по ссылке. Вы умудрились смешать два репозитория, так что рекомендую теперь очистить /opt и выполнить установку "с чистого листа".
IICUX
07-02-2014, 14:58
Есть такая задача. 2 локальных сетки, одна дома, вторая на даче. Дома стоит файлопомойка на базе x86 + Debian. На нее поставил OpenVPN сервер.
На даче роутер через модем к инету подключен. Туда втулил openvpn клиент. Задача соеденить локальные сетки дачную и домашнюю.

Проблема в iptables на роутере. С дачи доступ к дому есть, а вот роутер в локалку не пускает.

Что есть,
Home lan: 10.0.10.0/24
Dacha lan: 172.16.2.0/24
OpenVPN lan: 172.17.1.0/24

Debian server: 10.0.10.1
Openvpn server: 172.17.1.1
Dacha openvpn ip: 172.17.1.2

На рутере ppp0 - инет, tun0 - openvpn, br0 - локалка (wifi+lan)

iptables

# Generated by iptables-save v1.3.8 on Fri Feb 7 16:57:01 2014
*nat
:PREROUTING ACCEPT [2349:182383]
:POSTROUTING ACCEPT [1146:206671]
:OUTPUT ACCEPT [846:198793]
:VSERVER - [0:0]
-A PREROUTING -d 94.248.35.40 -j VSERVER
-A POSTROUTING -s ! 94.248.35.40 -o ppp0 -j MASQUERADE
-A POSTROUTING -s 172.16.2.0/255.255.255.0 -d 172.16.2.0/255.255.255.0 -o br0 -j MASQUERADE
-A VSERVER -p udp -m udp --dport 18432 -j DNAT --to-destination 192.168.1.153:18432
-A VSERVER -p tcp -m tcp --dport 18432 -j DNAT --to-destination 192.168.1.153:18432
-A VSERVER -p udp -m udp --dport 4500 -j DNAT --to-destination 192.168.1.153:4500
-A VSERVER -p udp -m udp --dport 5353 -j DNAT --to-destination 192.168.1.153:5353
-A VSERVER -p udp -m udp --dport 42387 -j DNAT --to-destination 172.16.2.178:42387
-A VSERVER -p tcp -m tcp --dport 42387 -j DNAT --to-destination 172.16.2.178:42387
-A VSERVER -p tcp -m tcp --dport 3389 -j DNAT --to-destination 172.16.2.2:3389
-A VSERVER -p udp -m udp --dport 64694 -j DNAT --to-destination 172.16.2.2:64694
-A VSERVER -p tcp -m tcp --dport 64694 -j DNAT --to-destination 172.16.2.2:64694
COMMIT
# Completed on Fri Feb 7 16:57:01 2014
# Generated by iptables-save v1.3.8 on Fri Feb 7 16:57:01 2014
*mangle
:PREROUTING ACCEPT [81617:48066595]
:INPUT ACCEPT [18476:3572129]
:FORWARD ACCEPT [62880:44456466]
:OUTPUT ACCEPT [18091:10279534]
:POSTROUTING ACCEPT [86220:56668177]
COMMIT
# Completed on Fri Feb 7 16:57:01 2014
# Generated by iptables-save v1.3.8 on Fri Feb 7 16:57:01 2014
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [518:37108]
:OUTPUT ACCEPT [18060:10268331]
:BRUTE - [0:0]
:MACS - [0:0]
:SECURITY - [0:0]
:logaccept - [0:0]
:logdrop - [0:0]
-A INPUT -i tun0 -m state --state NEW -j ACCEPT
-A INPUT -i tun0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -m state --state NEW -j ACCEPT
-A INPUT -i br0 -m state --state NEW -j ACCEPT
-A INPUT -i ppp0 -m state --state NEW -j SECURITY
-A INPUT -i vlan1 -m state --state NEW -j SECURITY
-A INPUT -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -j BRUTE
-A INPUT -p icmp -j ACCEPT
-A INPUT -p udp -m udp --dport 33434:33534 -j ACCEPT
-A INPUT -j DROP
-A FORWARD -d 172.16.2.2 -p tcp -m tcp --dport 64694 -j ACCEPT
-A FORWARD -d 172.16.2.2 -p udp -m udp --dport 64694 -j ACCEPT
-A FORWARD -i tun0 -o br0 -j ACCEPT
-A FORWARD -i br0 -o tun0 -j ACCEPT
-A FORWARD -i br0 -o br0 -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i ! br0 -o ppp0 -j DROP
-A FORWARD -i ! br0 -o vlan1 -j DROP
-A FORWARD -i ! br0 -m state --state NEW -j SECURITY
-A FORWARD -o br0 -p tcp -m tcp --sport 3389 --dport 3389 -j ACCEPT
-A FORWARD -m conntrack --ctstate DNAT -j ACCEPT
-A FORWARD -o br0 -j DROP
-A BRUTE -m recent --update --seconds 600 --hitcount 3 --name BRUTE --rsource -j DROP
-A BRUTE -m recent --set --name BRUTE --rsource -j ACCEPT
-A SECURITY -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 1/sec -j RETURN
-A SECURITY -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -m limit --limit 1/sec -j RETURN
-A SECURITY -p udp -m limit --limit 5/sec -j RETURN
-A SECURITY -p icmp -m limit --limit 5/sec -j RETURN
-A SECURITY -j DROP
-A logaccept -m state --state NEW -j LOG --log-prefix "ACCEPT " --log-tcp-sequence --log-tcp-options --log-ip-options
-A logaccept -j ACCEPT
-A logdrop -m state --state NEW -j LOG --log-prefix "DROP " --log-tcp-sequence --log-tcp-options --log-ip-options
-A logdrop -j DROP
COMMIT
# Completed on Fri Feb 7 16:57:01 2014

Такое ощущение что рутер блочит фаерволлом openvpn. Как можно полечить?

Мой post-firewall


-I FORWARD -i br0 -o tun0 -j ACCEPT
-I FORWARD -i tun0 -o br0 -j ACCEPT
-I INPUT -i tun0 -p tcp --dport 80 -j ACCEPT
-I INPUT -i tun0 -m state --state NEW -j ACCEPT
newkid
13-02-2014, 10:01
Есть такая задача. 2 локальных сетки, одна дома, вторая на даче. Дома стоит файлопомойка на базе x86 + Debian. На нее поставил OpenVPN сервер.
На даче роутер через модем к инету подключен. Туда втулил openvpn клиент. Задача соеденить локальные сетки дачную и домашнюю.

Проблема в iptables на роутере. С дачи доступ к дому есть, а вот роутер в локалку не пускает.

Что есть,
Home lan: 10.0.10.0/24
Dacha lan: 172.16.2.0/24
OpenVPN lan: 172.17.1.0/24

Debian server: 10.0.10.1
Openvpn server: 172.17.1.1
Dacha openvpn ip: 172.17.1.2

[/code]

Все это хорошо а маршрут на Debian server-е прописан



# route add -net 172.16.2.0/24 gw 172.17.1.2 dev tun0
Balada
28-03-2014, 15:45
Коллеги, подскажите
сделал себе туннель PPTP
Сервер n66, клиент N16. (прошивка Мерлина)
2 вопроса:

1. как мне заставить клиента (если произошло пропадание питания) сделать реконнект тунеля.
Сейчас после перезагрузки соединение нужно производить вручную с помощью веб интерефейса (кнопкой коннект).

2. после установления соединения, связь с соседней локальной сетью идет односторонняя: т.е со стороны клиента сеть ок, а со стороны сервера сеть не видна. Начал разбираться - увидел, что на сервере не хватает маршрута:
мой вариант (route add -net 192.168.0.0/24 gw 192.168.10.2) это спасает. Но проблема, что маршрут не сохраняется. При реконнекте туннеля или рестарте - роутера маршрут теряется. Как нибудь можно это побороть?


192.168.10.2 0.0.0.0 255.255.255.255 UH 0 0 0 ppp10
10.90.41.254 0.0.0.0 255.255.255.255 UH 0 0 0 eth0
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br0
192.168.0.0 192.168.10.2 255.255.255.0 UG 0 0 0 ppp10
10.90.41.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
127.0.0.0 0.0.0.0 255.0.0.0 U 0 0 0 lo
0.0.0.0 10.90.41.254 0.0.0.0 UG 0 0 0 eth0
alex_mz
13-07-2014, 22:54
Коллеги, подскажите
сделал себе туннель PPTP
Сервер n66, клиент N16. (прошивка Мерлина)
2 вопроса:

1. как мне заставить клиента (если произошло пропадание питания) сделать реконнект тунеля.
Сейчас после перезагрузки соединение нужно производить вручную с помощью веб интерефейса (кнопкой коннект).

2. после установления соединения, связь с соседней локальной сетью идет односторонняя: т.е со стороны клиента сеть ок, а со стороны сервера сеть не видна. Начал разбираться - увидел, что на сервере не хватает маршрута:
мой вариант (route add -net 192.168.0.0/24 gw 192.168.10.2) это спасает. Но проблема, что маршрут не сохраняется. При реконнекте туннеля или рестарте - роутера маршрут теряется. Как нибудь можно это побороть?
Победили проблему с реконектом ?
Спасибо
Dr.Norfolk
02-04-2016, 07:43
Уважаемые форумчане! Помогите, пожалуйста решить задачку:

Имеется два WL500gpV2 с прошивками 1.9.2.7-rtn-r5450
На одном установлен OpenVpn-сервер (10.8.0.1) на втором,соответственно, OpenVpn-клиент.
Сеть за сервером - 192.168.1.0/24
Сеть за клиентом 192.168.4.0/24
Клиенты из этих двух сетей видят друг друга, пакеты ходят - все нормально.
Никак не получается разрешить подключение по ssh (и прочих соединений, например snmp) к самим роутерам. Например, хочу подключится с хоста 192.168.4.30 к роутеру на котором стоит OpenVPN-сервер (192.168.1.1). Судя по tcpdump запрос уходит, но ответа нет.

Спасибо всем, кто откликнулся!
mapkyl
02-05-2016, 18:10
Клиенты из этих двух сетей видят друг друга, пакеты ходят - все нормально.
Никак не получается разрешить подключение по ssh (и прочих соединений, например snmp) к самим роутерам. Например, хочу подключится с хоста 192.168.4.30 к роутеру на котором стоит OpenVPN-сервер (192.168.1.1). Судя по tcpdump запрос уходит, но ответа нет.


репортил такую проблему https://github.com/wl500g/wl500g/issues/451
Решения так и нет.
Приходится лазить между роутерами не через OpenVPN, а через интернет используя dynamic dns. OpenVPN - только для сети за роутерами.