Junior Member
SOLVED http://habrahabr.ru/blogs/linux/56652/
Всем привет!
Я пытаюсь объединить две локальные сети с помощью соединения по тунелю openvpn. Схема соединения выглядит следующим образом:
routrer1 выступает в качестве сервера, а router2 в качестве клиента openvpn. Они друг друга пингуют, то есть тунель работает отлично.Code:=============== =============== router1 | | router2 | 192.168.1.1 | | 192.168.2.1 | openvpn(tun0) |===============|openvpn(tun0)| 192.168.255.1 | |192.168.255.5| 192.168.255.2 | |192.168.255.6| ============== =============== | | server1 server2 192.168.1.5 192.168.2.5
Я прописал маршруты рутинга на обоих роутерах:
router1
Code:192.168.255.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0 192.168.2.0 192.168.255.2 255.255.255.0 UG 0 0 0 tun0 192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br0 192.168.255.0 192.168.255.2 255.255.255.0 UG 0 0 0 tun0
router2
После этого служилась интересая ситуация, router2 может пинговать 192.168.1.1 и 192.168.1.5. Router1 не может пингвать 192.168.2.1 и сеть за ним. Машины server1 и server2 не могут пинговать друг друга в обе стороны.Code:192.168.255.6 0.0.0.0 255.255.255.255 UH 0 0 0 tun0 192.168.255.1 192.168.255.6 255.255.255.255 UGH 0 0 0 tun0 192.168.2.0 0.0.0.0 255.255.255.0 U 0 0 0 br0 192.168.1.0 192.168.255.6 255.255.255.0 UG 0 0 0 tun0
Например, при пинге от server2 на router2:
Однако на router1 полная тишина на tun0.Code:tcpdump -nnni tun0 proto \\icmp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on tun0, link-type LINUX_SLL (Linux cooked), capture size 68 bytes 11:30:34.416272 IP 192.168.2.5 > 192.168.1.5: icmp 64: echo request seq 5 11:30:35.418467 IP 192.168.2.5 > 192.168.1.5: icmp 64: echo request seq 6 11:30:36.415630 IP 192.168.2.5 > 192.168.1.5: icmp 64: echo request seq 7
Я всё напстраивыал по многчисленным мануалам, например этому:
http://www.opennet.ru/base/net/openvpn_setup.txt.html с той лишь разницей, что ip у vpn сервера и клиента разные.
У меня есть подозрения, что виновата таблица маршоризации, которую вбивает корбина, но ничего подозрительно я найти не могу:
Code:route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 85.21.88.130 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 85.21.192.3 10.149.64.1 255.255.255.255 UGH 1 0 0 vlan1 195.14.50.16 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 217.118.84.213 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 85.21.52.254 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 195.14.50.21 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 195.14.50.26 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 89.179.135.67 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 213.234.192.8 10.149.64.1 255.255.255.255 UGH 1 0 0 vlan1 85.21.0.253 10.149.64.1 255.255.255.255 UGH 2 0 0 vlan1 192.168.255.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0 195.14.50.93 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 78.107.69.98 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 217.118.84.249 10.149.64.1 255.255.255.255 UGH 0 0 0 vlan1 78.107.235.4 10.149.64.1 255.255.255.252 UG 0 0 0 vlan1 85.21.72.80 10.149.64.1 255.255.255.240 UG 0 0 0 vlan1 78.107.51.0 10.149.64.1 255.255.255.240 UG 0 0 0 vlan1 85.21.108.16 10.149.64.1 255.255.255.240 UG 0 0 0 vlan1 83.102.231.32 10.149.64.1 255.255.255.240 UG 0 0 0 vlan1 85.21.138.208 10.149.64.1 255.255.255.240 UG 0 0 0 vlan1 83.102.146.96 10.149.64.1 255.255.255.224 UG 0 0 0 vlan1 233.32.240.0 10.149.70.201 255.255.255.0 UG 0 0 0 vlan1 192.168.2.0 192.168.255.1 255.255.255.0 UG 0 0 0 tun0 192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br0 172.16.16.0 10.149.64.1 255.255.255.0 UG 0 0 0 vlan1 85.21.90.0 10.149.64.1 255.255.255.0 UG 0 0 0 vlan1 78.107.23.0 10.149.64.1 255.255.255.0 UG 0 0 0 vlan1 85.21.79.0 10.149.64.1 255.255.255.0 UG 0 0 0 vlan1 192.168.255.0 192.168.255.2 255.255.255.0 UG 0 0 0 tun0 10.149.64.0 0.0.0.0 255.255.248.0 U 0 0 0 vlan1 10.0.0.0 10.149.64.1 255.0.0.0 UG 0 0 0 vlan1 127.0.0.0 0.0.0.0 255.0.0.0 U 0 0 0 lo 0.0.0.0 85.21.0.252 0.0.0.0 UG 0 0 0 ppp0 0.0.0.0 10.149.64.1 0.0.0.0 UG 1 0 0 vlan1
Уважаемые гуру, помогите разрулить ситуацию. Что-то тут видимо специфичное для роутеров, до этого я настраивал openvpn только на обычных компах, всё было шикарно.
Если это важно, то router1 wl500gP. router2 wl500W
Спасибо заранее.
Last edited by ivlis; 07-04-2009 at 16:09.
wl-500gp user
Я, конечно, не очень много понимаю в (open)vpn, но мне кажется, что в point-to-point участвуют два адреса - на одном конце и на другом. А у вас их целых четыре (192.168.255.1, 192.168.255.2, 192.168.255.5, 192.168.255.6). Вы уверены, что это правильно?
Everybody stand back. I know iptables.
Мой вариант правильного выключения роутера.
Member
Ну не ругайся, пожалуйста. За ссылку СПАСИБО, просто вдруг я не с того конца за дело берусь вдруг есть что-то лучше VPN, вот и уточнил лишний раз. А так и на форуме много чего почерпнул и гуглил и на WD винт в wiki нашел как OpenVPN поставить очень подробно, так что буду пробовать. Подскажи еще, пожалуйста, у меня сейчас стоит прошивка Олега 10а, а ты рекомендуешь ставиль от lly ?Originally Posted by Wolfgun
А Вы читать внимательно умеете ?????
Я помойму уже и ссылку дал
Только надо голову включить и мнимательно прочитать, а вопросы задавать в теме которую Вы выберете.
А еще google есть!!!
P.S. Что то я злой стал, теперь понимаю старожилов когда задавал глупые вопросы
Сейчас 211 последняя. С iptables действительно проблемы на 10а, половины ключей не понимает.
PopTop ломатель
На 10а не ставил и думаю работать не будет pppd и iptables не меняли.
R-221 не пробовал ну думаю работать будет
Тебе придется правила POSTROUTING писать на твой WAN порт и разбиратся с DNS.
Поищи темы с OPenVPN Была тема как у тебя
Там товарищ что делал localDNS и tun
там что то не определялось автоматом.
Last edited by Omega; 13-03-2011 at 19:14. Reason: fixed
Member
Мне тоже бы хотелось настроить с использованием опенвпн туннель сайт ту сайт я думаю что на каждом интерфейсе tun0 нужно по 1 айпишнику , туннель поинт ту поинт
В семпл конфиге написано
This file is for the server side #
# of a many-clients <-> one-server #
# OpenVPN configuration. #
# #
# OpenVPN also supports #
# single-machine <-> single-machine #
# configurations (See the Examples page #
# on the web site for more info). #
# #
# This config should work on Windows #
# or Linux/BSD systems. Remember on #
# Windows to quote pathnames and use #
# double backslashes, e.g.: #
# "C:\\Program Files\\OpenVPN\\config\\foo.key"
соответственно нам нужен режим работы опенвпн single-machine <-> single-machine
В общем нужно крутить конфиг и пробывать , если у кого получтися выложите конфиг
Тут по инету посерчил нашел несколько мануалов может поможет
http://www.dd-wrt.com/wiki/index.php...en_two_routers
http://www.dd-wrt.com/wiki/index.php...en_Two_Routers
Last edited by oxygen121; 04-04-2009 at 09:34.
Junior Member
oxygen121, спасибо огромное за ссылки. Видимо с tun это действительно не возможно и надо делать tap. Как всё сделаю (а там ещё несколько проблем возникает, но решение я вроде вижу), обязательно отпишусь, думаю многим будет полезно.
Я всё настроил, на коленке работает. Отпишусь подробно как всё оттестирую.
Ни один мануал небыл 100% корректным.
Подробное описание настроек http://habrahabr.ru/blogs/linux/56652/
Если нужно могу перепостить тут в отдельном топике
Last edited by Omega; 13-03-2011 at 19:08. Reason: fixed
Member
Спасибо, поставил последнюю прошивку от lly. Роутер работает. Поднял OpenVPN пользуюясь сборным маном (форум+гугл+вики).
В результате есть ряд проблем:
1) dev tun0 + secret static.key + ifconfig = работает, т.е. пускает на роутер и дальше в и-нет.
При этом получается так:
НО при этом у меня это получается руками, а хочется через nm-applet (у меня Ubuntu). Через GUI он не конектится - это описаный баг.Code:client 10.8.0.1 * 255.255.255.255 UH 0 0 0 tun0 <-- Right rule ! 192.168.1.0 * 255.255.255.0 U 0 0 0 wlan0 default dsl-500t 0.0.0.0 UG 0 0 0 wlan0
2) dev tun0 + ключ+серт. + server = не работает:
и всеCode:client внеш.ip.роутера dsl-500t 255.255.255.255 UGH 0 0 0 wlan0 192.168.73.0 * 255.255.255.0 U 0 0 0 wlan0 default * 0.0.0.0 U 0 0 0 tun0
что я только не делал:
push "route-gateway 10.8.0.1"
push "dhcp-option DNS 10.8.0.1"
push "dhcp-option WINS 10.8.0.1"
push "redirect-gateway"
push "redirect-gateway def1"
push "redirect-gateway local def1"
системе пофиг ! выдает левый роут с внешним ip и не на tun0 а в wan0.
Прошу совета. Если необходимо могу выложить все конфиги.
p.s.
Может стоит попробовать с tap а не tun и поставить server-bridge ?
p.s2.
Только что заметил что в первом варианте, если руками то вроде нормально, но внешний ip адрес у клиента остается прежним, т.е. он не через роутер во вне идетПомогите, пожалуйста с этими роутами вообще запутался ! Можно хотя бы просто рабочий пример команды route на клиенте и сервере.
Last edited by JipJip; 06-04-2009 at 10:14.
Member
p.s3.
Если на клиенте пишу при включении VPN
а при выключении возвращаюCode:sudo route del default wlan0 sudo route add -net внеш.ip.адрес netmask 255.255.255.255 gw dsl-500t metric 1 route add 0.0.0.0 MASK 0.0.0.0 10.8.0.1 METRIC 1
То пингуется руотер по адресу локалки 192.168.1.100 а не только по 10.8.0.1, ну и соответственно можно напр по ssh зайти на роутер по 192.168.1.100.Code:sudo route del внеш.ip.адрес wlan0 sudo route add default gw dsl-500t
Куда рыть дальше пока не понимаю
PopTop ломатель
Пробуй Tap
OpenVPN не ставил .... С tap вроде все должно работать. Да где-то в аглиской ветки есть сылка на WiKi по установки на роутер
Junior Member
Конфиг сервера и клиента openvpn в студию. У меня всё работает на 10ой прошивке.
Рулов iptables всего 4:
ip нужен только внутренний роутера чтобы туда DNAT отправить, каким он параметром передаётся не стал разбираться, вбил ручками, изменить по вкусуCode:iptables -t nat -I PREROUTING -i eth1 -p tcp --dport 1194 -j DNAT --to-destination 192.168.1.1:1194 iptables -I INPUT -p udp --dport 1194 -j ACCEPT iptables -I FORWARD -i br0 -o tun0 -j ACCEPT iptables -I FORWARD -i tun0 -o br0 -j ACCEPTДва последних рула дают возможность ходить пакетам между основным мостом локалки и vpn. Всё работает.
Member
Про TAP глянул, но хочется "красивого", ч.б. через GUI одной кнопкой и видеть по индикатору что сеть через vpn :-)
Спасибо, попробую !
Проблему я решил, но увы с помощью костылей:
1) При упрощенном конфиге (secret static.key):
Конфиг сервераВ server.upCode:port 5190 proto udp dev tun0 secret static.key ifconfig 10.8.0.1 10.8.0.2 push "dhcp-option DOMAIN router.name" push "dhcp-option DNS prov.dns.ip.1" push "dhcp-option DNS prov.dns.ip.1" push "route 10.8.0.1" script-security 2 up ./server.up chroot /tmp
Конфиг клиентаCode:#!/bin/sh route add -net 10.8.0.0 netmask 255.255.255.0 gw $5После запуска получается неверная таблица роутов:Code:dev tun0 port 5190 proto udp remote dyn.dns.subdomain ifconfig 10.8.0.2 10.8.0.1 secret static.key
Приходится ее править ручками:Code:10.8.0.1 * 255.255.255.255 UH 0 0 0 tun0 192.168.1.0 * 255.255.255.0 U 0 0 0 wlan0 link-local * 255.255.0.0 U 1000 0 0 wlan0 default router.name 0.0.0.0 UG 0 0 0 wlan0
Тогда получается более нормально и все работает ( пинг внутреннего ip роутера, выход в интернет с внешним ip адресом роутера "white.ext.ip" )Code:sudo route del default wlan0 sudo route add -net white.ext.ip netmask 255.255.255.255 gw router.name metric 1 sudo route add -net 0.0.0.0 netmask 0.0.0.0 gw 10.8.0.1 metric 1
Соответственно при отключении надо снова ручками править роуты, ч.б. вернуть все в зад.Code:10.8.0.1 * 255.255.255.255 UH 0 0 0 tun0 white.ext.ip router.name 255.255.255.255 UGH 1 0 0 wlan0 192.168.1.0 * 255.255.255.0 U 0 0 0 wlan0 link-local * 255.255.0.0 U 1000 0 0 wlan0 default 10.8.0.1 0.0.0.0 UG 1 0 0 tun0
2) При использовании конфигов клиент / сервер что даны как образец (подходит больше, т.к. можно разруливать ip клиентов и т.д. и т.п.) ситуация почти та же только роут добавляется вообще страшный:
Хотя в конфигах все та же строка push route 10.8.0.1, короче барабашка.Code:10.8.0.5 * 255.255.255.255 UH 0 0 0 tun0 10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0
Вот мой post-firewall
В результате вопрос, неужели это единственный вариан прыганья с бубном ? В принципе можно легко справиться двумя скриптами ( старт / стоп vpn ) но хочется изящества что ли.Code:#!/bin/sh # set default policy iptables -P INPUT DROP # remove last default rule iptables -D INPUT -j DROP #fix defaults #iptables -t filter -A INPUT -m state --state INVALID -j DROP #iptables -t filter -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # this is for dropbear iptables -A INPUT -p tcp --syn --dport SSH_PORT -j ACCEPT # this is for transmission + daemon iptables -A INPUT -p tcp --dport 51413 -j ACCEPT iptables -A INPUT -p tcp --dport DAEMON_PORT -j ACCEPT # this is for openvpn iptables -I INPUT -p udp --dport 5190 -j ACCEPT iptables -t nat -I PREROUTING -i eth1 -p udp --dport 5190 -j DNAT --to-destination $4:5190 iptables -A INPUT -j DROP # Allow TUN interface connections to OpenVPN server iptables -I INPUT -i tun0 -j ACCEPT # Allow TUN interface connections to be forwarded through other interfaces iptables -I FORWARD -i tun0 -j ACCEPT iptables -I FORWARD -o tun0 -j ACCEPT #iptables -A INPUT -j DROP iptables -I OUTPUT -o tun0 -j ACCEPT #postrouting iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o ppp0 -j MASQUERADE
Last edited by JipJip; 06-04-2009 at 16:58.
Member
Плюс ко всему этому, периодически выскакивает другой глюк: при повторном подключении ничего не работает пока не перезапускаю openvpn демона на роутере.
И всетаки я его добил !
Единственное, что не работает Убунтовская примочка VPN,
а запускаю как в манах (с коммандной строки), но ничего не надо руками дописывать. Если я разговариваю не сам с собой и хоть кому - то это интересно могу выложить конфиги клиента сервера, скриты старта и настройки фаера.
Last edited by Omega; 13-03-2011 at 18:35. Reason: fixed
Senior Member
в каком режиме работает?))
Кстати netbios over IP тоже прекрасно работает в режиме tap)))
у меня даже через gprs)))
Last edited by Omega; 13-03-2011 at 18:36.
Forum Guru
конечно выкладывай. Такие вещи не всегда мгновенно востребованы, но когда приходится подобные задачи решать опыт уже прошедших путь бесценен.
Senior Member
для работы через GPRS и даже прокси работает:
Code:client #remote 192.168.1.1 443 lport 23533 dev tap proto tcp resolv-retry infinite persist-key persist-tun float dhcp-option DNS 192.168.1.1 #dhcp-option WINS 10.198.16.21 #http-proxy proxy.ru 8080 account ntlm #http-proxy-option AGENT Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727) ca cacert33.pem cert cert23.pem key 31key.pem # tls-timeout 15 tls-client tls-auth ta.key 1 auth SHA1 cipher AES-128-CBC #added 05.02.2009######### tun-mtu 1500 tun-mtu-extra 32 mssfix 1450 ping-restart 60 ping 10 ###################### comp-lzo # Set log file verbosity. verb 3 # Silence repeating messages mute 20
Posting Permissions
Reply With Quote
