OpenVPN— LinuxForum.Fans

28.02.2011 19:18 #134751

Доброго времени суток, разбираюсь с openVPN.
Залил конфиг на сервер

text

root@Linux:/etc/openvpn# cat /etc/openvpn/server.conf
port 1194
proto udp
dev tun
;dev-node tap0
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key # This file should be kept secret
dh /etc/openvpn/dh1024.pem
server 10.10.10.0 255.255.255.0 # vpn subnet
ifconfig-pool-persist ipp.txt
push "route 192.168.7.0 255.255.255.0" # home subnet
;duplicate-cn
keepalive 10 120
;cipher BF-CBC # Blowfish (default)
;cipher AES-128-CBC # AES
;cipher DES-EDE3-CBC # Triple-DES
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
;status openvpn-status.log
;log-append openvpn.log
verb 4
mute 20
client-to-client
client-config-dir /etc/openvpn/ccd
root@Linux:/etc/openvpn#

Клиент цепляется.
Только вот одна непонятная вещь.
Со стороны сервера видна только одна p2p сеть 10.10.10.0/30
а со стороны клиента другая 10.10.10.4/30, соответственно на клиенте все сети видны за шлюзом 10.10.10.5.....а этого адреса на серваке нет.....это что баг софта?

При чем сервак прекрасно понимает что отдал "левую" сеть.

text


root@Linux:/etc/openvpn# cat /etc/openvpn/ipp.txt
fuck-VirtualBox,10.10.10.4
root@Linux:/etc/openvpn#
root@Linux:/etc/openvpn# ifconfig
eth0 Link encap:Ethernet HWaddr 00:24:1d:df:bf:5e
                    inet addr:192.168.1.24 Bcast:192.168.1.255 Mask:255.255.255.0
                    inet6 addr: fe80::224:1dff:fedf:bf5e/64 Scope:Link
                    UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
                    RX packets:21388 errors:0 dropped:0 overruns:0 frame:0
                    TX packets:22073 errors:0 dropped:0 overruns:0 carrier:0
                    collisions:0 txqueuelen:1000
                    RX bytes:18281661 (18.2 MB) TX bytes:2736217 (2.7 MB)
                    Interrupt:44 Base address:0x6000
lo Link encap:Local Loopback
                    inet addr:127.0.0.1 Mask:255.0.0.0
                    inet6 addr: ::1/128 Scope:Host
                    UP LOOPBACK RUNNING MTU:16436 Metric:1
                    RX packets:21 errors:0 dropped:0 overruns:0 frame:0
                    TX packets:21 errors:0 dropped:0 overruns:0 carrier:0
                    collisions:0 txqueuelen:0
                    RX bytes:1776 (1.7 KB) TX bytes:1776 (1.7 KB)
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
                    inet addr:10.10.10.1 P-t-P:10.10.10.2 Mask:255.255.255.255
                    UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
                    RX packets:48 errors:0 dropped:0 overruns:0 frame:0
                    TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
                    collisions:0 txqueuelen:100
                    RX bytes:2880 (2.8 KB) TX bytes:0 (0.0 B)
root@Linux:/etc/openvpn#

29.03.2011 09:15 #145513

Привет:) а у меня вообще не стартует openvpn, вот думаю в чем дело..
[console]ls -l /etc/openvpn
drwxr-xr-x 3 root root 4096 Мар 28 23:53 2.0
-rw-r--r-- 1 root root 1188 Мар 29 01:35 ca.crt
-rw------- 1 root root 887 Мар 29 01:35 ca.key
-rw-r--r-- 1 root root 245 Мар 29 01:35 dh1024.pem
drwxr-xr-x 4 root root 4096 Мар 29 01:37 easy-rsa
-rw------- 1 root root 0 Мар 28 18:52 ipp.txt
-rw-r--r-- 1 root root 3834 Мар 29 01:35 mailserver.test.crt
-rw------- 1 root root 887 Мар 29 01:35 mailserver.test.key
-rw-r--r-- 1 root root 446 Мар 29 17:46 openvpn.conf
-rw------- 1 root root 0 Мар 29 17:45 openvpn-status.log
-rwxr-xr-x 1 root root 1352 Окт 22 22:02 update-resolv-conf[/console] ты по какой интструкции делал?
я из /usr/share/doc/openvpn/examples/easy-rsa/2.0/
скопировал пример, сделал
./build-ca
./build-key-server server
./build-dh
less /etc/openvpn/openvpn.conf

Показать

local 192.168.2.254
port 1194
proto tcp
dev tun0
ca ca.crt
cert mailserver.test.crt
key mailserver.test.key
dh dh1024.pem
server 10.10.10.0 255.255.255.0
#ifconﬁg-pool-persist ipp.txt
push «route 0.0.0.0 255.255.255.0»
push «dhcp-option DNS 192.168.1.254»
push «redirect-gateway»
client-to-client
keepalive 10 120
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
log /var/log/openvpn.log
verb 3
mute 10

вот лог запуска

Показать

Mar 28 18:12:00 mailserver kernel: [ 19.475050] ADDRCONF(NETDEV_UP): eth2: link is not ready
Mar 28 18:12:02 mailserver kernel: [ 21.321416] lp: driver loaded but no devices found
Mar 28 18:12:02 mailserver kernel: [ 21.547158] ppdev: user-space parallel port driver
Mar 28 18:22:00 mailserver kernel: [ 619.844924] CPUFREQ: Per core ondemand sysfs interface is deprecated - up_threshold
Mar 29 01:54:42 mailserver kernel: [27781.417954] ip_tables: (C) 2000-2006 Netfilter Core Team
Mar 29 01:54:42 mailserver kernel: [27781.440551] nf_conntrack version 0.5.0 (16384 buckets, 65536 max)
Mar 29 01:54:42 mailserver kernel: [27781.440806] CONFIG_NF_CT_ACCT is deprecated and will be removed soon. Please use
Mar 29 01:54:42 mailserver kernel: [27781.440808] nf_conntrack.acct=1 kernel parameter, acct=1 nf_conntrack module option or
Mar 29 01:54:42 mailserver kernel: [27781.440809] sysctl net.netfilter.nf_conntrack_acct=1 to enable it.
Mar 29 07:54:34 mailserver rsyslogd: [origin software="rsyslogd" swVersion="4.6.4" x-pid="1619" x-info="http://www.rsyslog.com"] rsyslogd was HUPed, type 'lightweight'.
Mar 29 07:54:34 mailserver rsyslogd: [origin software="rsyslogd" swVersion="4.6.4" x-pid="1619" x-info="http://www.rsyslog.com"] rsyslogd was HUPed, type 'lightweight'.
Mar 29 16:55:53 mailserver kernel: [81852.400969] r8169: eth0: link up
Mar 29 16:55:53 mailserver kernel: [81852.402415] ADDRCONF(NETDEV_CHANGE): eth0: link becomes ready
Mar 29 17:18:51 mailserver kernel: [83230.393292] r8169: eth0: link down
Mar 29 17:18:52 mailserver kernel: [83232.040408] r8169: eth0: link up
Mar 29 17:43:06 mailserver kernel: [84685.680644] tun: Universal TUN/TAP device driver, 1.6
Mar 29 17:43:06 mailserver kernel: [84685.680651] tun: (C) 1999-2004 Max Krasnyansky <maxk@qualcomm.com>

виртуальный интерфейс самому создовать? tun0

29.03.2011 11:02 #145535

Alexy,
Все верно. в режиме tun подымается тунель в котором оба конца входят в сеть /30, т.е имея конфиг
[console]dev tun1
server 10.0.0.0 255.255.255.0
route 10.0.0.0 255.255.255.252[/console]
клиент при подключении будет получать (к примеру) ип 10.0.0.6 netmask 255.255.255.252 gateway 10.0.0.5
физически гейта 10.0.0.5 выданного клиенту на вашем сервере не будет. тут по принципу "видишь суслика? нет? а он есть!" :)
почему не видно сети ЗА сервером, это наверняка роуты на стороне клиента, тут либо править клиентский конфиг, либо передавать параметры через директиву push со стороны сервера

sagvir,
насколько я понял это лог не openvpn а чтото вроде /var/log/messages?
не могли бы сделать verb 4 в конфиге и дать нативный лог именно openvpn? так будет проще разобраться. так же советую не делать рабочими конфиги из семплов. они весьма приблизительные и не всегда секьюрные. обязательно поменяйте сертификаты, даже самоподписанные подойдут...

29.03.2011 14:37 · отредактировано #145588

логи были /var/log/messages чуть ниже приведу их еще раз.
/etc/init.d/openvpn restart
Stopping virtual private network daemon:.
Starting virtual private network daemon: openvpn failed!
less /var/log/syslog
тут ппц)

Показать

Mar 29 20:17:01 mailserver /USR/SBIN/CRON[6105]: (root) CMD ( cd / && run-parts --report /etc/cron.hourly)
Mar 29 20:33:01 mailserver /USR/SBIN/CRON[6109]: (nobody) CMD ([ -x /usr/share/sa-exim/greylistclean ] && /usr/share/sa-exim/greylistclean)
Mar 29 20:33:01 mailserver sa-exim[6110]: Removed 0 of 0 greylist tuplets in 0 seconds
Mar 29 20:33:01 mailserver sa-exim[6110]: Removed 0 of 0 greylist directories in 0 seconds
Mar 29 20:39:01 mailserver /USR/SBIN/CRON[6113]: (root) CMD ( [ -x /usr/lib/php5/maxlifetime ] && [ -d /var/lib/php5 ] && find /var/lib/php5/ -type f -cmin +$(/usr/lib/php5/maxlifetime) -print0 | xargs -n 200 -r -0 rm)
Mar 29 21:09:01 mailserver /USR/SBIN/CRON[6122]: (root) CMD ( [ -x /usr/lib/php5/maxlifetime ] && [ -d /var/lib/php5 ] && find /var/lib/php5/ -type f -cmin +$(/usr/lib/php5/maxlifetime) -print0 | xargs -n 200 -r -0 rm)
Mar 29 21:17:01 mailserver /USR/SBIN/CRON[6131]: (root) CMD ( cd / && run-parts --report /etc/cron.hourly)
Mar 29 21:33:01 mailserver /USR/SBIN/CRON[6135]: (nobody) CMD ([ -x /usr/share/sa-exim/greylistclean ] && /usr/share/sa-exim/greylistclean)
Mar 29 21:33:01 mailserver sa-exim[6136]: Removed 0 of 0 greylist tuplets in 0 seconds
Mar 29 21:33:01 mailserver sa-exim[6136]: Removed 0 of 0 greylist directories in 0 seconds
Mar 29 21:39:01 mailserver /USR/SBIN/CRON[6139]: (root) CMD ( [ -x /usr/lib/php5/maxlifetime ] && [ -d /var/lib/php5 ] && find /var/lib/php5/ -type f -cmin +$(/usr/lib/php5/maxlifetime) -print0 | xargs -n 200 -r -0 rm)
Mar 29 22:09:01 mailserver /USR/SBIN/CRON[6148]: (root) CMD ( [ -x /usr/lib/php5/maxlifetime ] && [ -d /var/lib/php5 ] && find /var/lib/php5/ -type f -cmin +$(/usr/lib/php5/maxlifetime) -print0 | xargs -n 200 -r -0 rm)
Mar 29 22:17:01 mailserver /USR/SBIN/CRON[6157]: (root) CMD ( cd / && run-parts --report /etc/cron.hourly)
Mar 29 22:33:01 mailserver /USR/SBIN/CRON[6161]: (nobody) CMD ([ -x /usr/share/sa-exim/greylistclean ] && /usr/share/sa-exim/greylistclean)
Mar 29 22:33:01 mailserver sa-exim[6162]: Removed 0 of 0 greylist tuplets in 0 seconds
Mar 29 22:33:01 mailserver sa-exim[6162]: Removed 0 of 0 greylist directories in 0 seconds
Mar 29 22:39:01 mailserver /USR/SBIN/CRON[6165]: (root) CMD ( [ -x /usr/lib/php5/maxlifetime ] && [ -d /var/lib/php5 ] && find /var/lib/php5/ -type f -cmin +$(/usr/lib/php5/maxlifetime) -print0 | xargs -n 200 -r -0 rm)
Mar 29 23:08:16 mailserver kernel: [104195.748845] device eth0 entered promiscuous mode
Mar 29 23:09:01 mailserver /USR/SBIN/CRON[6346]: (root) CMD ( [ -x /usr/lib/php5/maxlifetime ] && [ -d /var/lib/php5 ] && find /var/lib/php5/ -type f -cmin +$(/usr/lib/php5/maxlifetime) -print0 | xargs -n 200 -r -0 rm)
Mar 29 23:10:14 mailserver kernel: [104313.264081] device eth0 left promiscuous mode
Mar 29 23:17:01 mailserver /USR/SBIN/CRON[6356]: (root) CMD ( cd / && run-parts --report /etc/cron.hourly)
Mar 29 23:33:01 mailserver /USR/SBIN/CRON[6412]: (nobody) CMD ([ -x /usr/share/sa-exim/greylistclean ] && /usr/share/sa-exim/greylistclean)
Mar 29 23:33:01 mailserver sa-exim[6413]: Removed 0 of 0 greylist tuplets in 0 seconds
Mar 29 23:33:01 mailserver sa-exim[6413]: Removed 0 of 0 greylist directories in 0 seconds
Mar 29 23:39:01 mailserver /USR/SBIN/CRON[6418]: (root) CMD ( [ -x /usr/lib/php5/maxlifetime ] && [ -d /var/lib/php5 ] && find /var/lib/php5/ -type f -cmin +$(/usr/lib/php5/maxlifetime) -print0 | xargs -n 200 -r -0 rm)
Mar 30 00:03:54 mailserver kernel: [107533.892362] device eth0 entered promiscuous mode
Mar 30 00:03:54 mailserver kernel: [107533.956304] device eth0 left promiscuous mode
Mar 30 00:04:11 mailserver kernel: [107551.016327] device eth0 entered promiscuous mode
Mar 30 00:04:14 mailserver kernel: [107553.280330] device eth0 left promiscuous mode
Mar 30 00:09:01 mailserver /USR/SBIN/CRON[6455]: (root) CMD ( [ -x /usr/lib/php5/maxlifetime ] && [ -d /var/lib/php5 ] && find /var/lib/php5/ -type f -cmin +$(/usr/lib/php5/maxlifetime) -print0 | xargs -n 200 -r -0 rm)
Mar 30 00:17:01 mailserver /USR/SBIN/CRON[6466]: (root) CMD ( cd / && run-parts --report /etc/cron.hourly)
Mar 30 00:30:46 mailserver modem-manager: (net/tun0): could not get port's parent device
Mar 30 00:30:46 mailserver NetworkManager[1863]: SCPlugin-Ifupdown: devices added (path: /sys/devices/virtual/net/tun0, iface: tun0)
Mar 30 00:30:46 mailserver NetworkManager[1863]: SCPlugin-Ifupdown: device added (path: /sys/devices/virtual/net/tun0, iface: tun0): no ifupdown configuration found.
Mar 30 00:30:46 mailserver avahi-daemon[1955]: Withdrawing workstation service for tun0.
Mar 30 00:30:46 mailserver NetworkManager[1863]: SCPlugin-Ifupdown: devices removed (path: /sys/devices/virtual/net/tun0, iface: tun0)

less /var/log/messages

Показать

ightweight'.
Mar 29 07:54:34 mailserver rsyslogd: [origin software="rsyslogd" swVersion="4.6.4" x-pid="1619" x-info="http://www.rsyslog.com"] rsyslogd was HUPed, type 'lightweight'.
Mar 29 16:55:53 mailserver kernel: [81852.400969] r8169: eth0: link up
Mar 29 16:55:53 mailserver kernel: [81852.402415] ADDRCONF(NETDEV_CHANGE): eth0: link becomes ready
Mar 29 17:18:51 mailserver kernel: [83230.393292] r8169: eth0: link down
Mar 29 17:18:52 mailserver kernel: [83232.040408] r8169: eth0: link up
Mar 29 17:43:06 mailserver kernel: [84685.680644] tun: Universal TUN/TAP device driver, 1.6
Mar 29 17:43:06 mailserver kernel: [84685.680651] tun: (C) 1999-2004 Max Krasnyansky <maxk@qualcomm.com>
Mar 29 23:08:16 mailserver kernel: [104195.748845] device eth0 entered promiscuous mode
Mar 29 23:10:14 mailserver kernel: [104313.264081] device eth0 left promiscuous mode
Mar 30 00:03:54 mailserver kernel: [107533.892362] device eth0 entered promiscuous mode
Mar 30 00:03:54 mailserver kernel: [107533.956304] device eth0 left promiscuous mode
Mar 30 00:04:11 mailserver kernel: [107551.016327] device eth0 entered promiscuous mode
Mar 30 00:04:14 mailserver kernel: [107553.280330] device eth0 left promiscuous mode

О погодите) кажись заработало)) видимо конфиг был корявый

29.03.2011 15:40 #145611

openvpn стартанул без ошибок

Показать

Mar 29 01:54:42 mailserver kernel: [27781.417954] ip_tables: (C) 2000-2006 Netfilter Core Team
Mar 29 01:54:42 mailserver kernel: [27781.440551] nf_conntrack version 0.5.0 (16384 buckets, 65536 max)
Mar 29 01:54:42 mailserver kernel: [27781.440806] CONFIG_NF_CT_ACCT is deprecated and will be removed soon. Please use
Mar 29 01:54:42 mailserver kernel: [27781.440808] nf_conntrack.acct=1 kernel parameter, acct=1 nf_conntrack module option or
Mar 29 01:54:42 mailserver kernel: [27781.440809] sysctl net.netfilter.nf_conntrack_acct=1 to enable it.
Mar 29 07:54:34 mailserver rsyslogd: [origin software="rsyslogd" swVersion="4.6.4" x-pid="1619" x-info="http://www.rsyslog.com"] rsyslogd was HUPed, type 'lightweight'.
Mar 29 07:54:34 mailserver rsyslogd: [origin software="rsyslogd" swVersion="4.6.4" x-pid="1619" x-info="http://www.rsyslog.com"] rsyslogd was HUPed, type 'lightweight'.
Mar 29 16:55:53 mailserver kernel: [81852.400969] r8169: eth0: link up
Mar 29 16:55:53 mailserver kernel: [81852.402415] ADDRCONF(NETDEV_CHANGE): eth0: link becomes ready
Mar 29 17:18:51 mailserver kernel: [83230.393292] r8169: eth0: link down
Mar 29 17:18:52 mailserver kernel: [83232.040408] r8169: eth0: link up
Mar 29 17:43:06 mailserver kernel: [84685.680644] tun: Universal TUN/TAP device driver, 1.6
Mar 29 17:43:06 mailserver kernel: [84685.680651] tun: (C) 1999-2004 Max Krasnyansky <maxk@qualcomm.com>
Mar 29 23:08:16 mailserver kernel: [104195.748845] device eth0 entered promiscuous mode
Mar 29 23:10:14 mailserver kernel: [104313.264081] device eth0 left promiscuous mode
Mar 30 00:03:54 mailserver kernel: [107533.892362] device eth0 entered promiscuous mode
Mar 30 00:03:54 mailserver kernel: [107533.956304] device eth0 left promiscuous mode
Mar 30 00:04:11 mailserver kernel: [107551.016327] device eth0 entered promiscuous mode
Mar 30 00:04:14 mailserver kernel: [107553.280330] device eth0 left promiscuous mode

установил прогу на windows машину /openvpn-2.0.9-gui-1.0.3-install.exe новее пока не нашел)
настроил на wind машине следующее в директории C:\Program Files\OpenVPN\config\ создал конф файл vpn с таким содержанием:

Показать

client
dev tun
proto tcp
remote 192.168.2.254 1194
resolv-retry inﬁnite
persist-key
persist-tun
ca c:\\vpn\\ca.crt
cert c:\\vpn\\client2.crt
key c:\\vpn\\client2.key
comp-lzo
verb 4

в логах на клиент машине пишет конект фалед.. да зарнанее сгенерированные сертификаты скопировал в созданную папку с:\\vpn

29.03.2011 16:19 · отредактировано #145636

1. дайте полный серверный конфиг
2. ваши логи совершенно не информативны
добавьте в конфиг строки
[console]verb 2
log-append /var/log/openvpn.log
status /var/log/openvpn.status #подключенные пользователи в режиме реального времени
[/console]
затем
[console]/etc/init.d/openvpn restart[/console]
ну и смотреть что в логах.
возможно порты необходимые для подключения клиентов (1194 помоему) блокирует фаервол/шлюз перед сервером либо иное оборудование, возможно провайдер, всяко бывает.

Mar 29 23:08:16 mailserver kernel: [104195.748845] device eth0 entered promiscuous mode
Mar 29 23:10:14 mailserver kernel: [104313.264081] device eth0 left promiscuous mode
Mar 30 00:03:54 mailserver kernel: [107533.892362] device eth0 entered promiscuous mode
Mar 30 00:03:54 mailserver kernel: [107533.956304] device eth0 left promiscuous mode
Mar 30 00:04:11 mailserver kernel: [107551.016327] device eth0 entered promiscuous mode
Mar 30 00:04:14 mailserver kernel: [107553.280330] device eth0 left promiscuous mode

запускали tcpdump ?

в логах на клиент машине пишет конект фалед

перед этим вот "конект фалед" есть много интерестного почитать.

30.03.2011 07:39 #145881

Извеняюсь за безобразный лог выше verb 4 был закоментирован
вот конфиг openvpn.conf

Показать

local 192.168.2.254
port 1194
proto udp
dev tun
;dev-node tap0
ca /etc/openvpn/ca.crt
cert /etc/openvpn/mailserver.test.crt
key /etc/openvpn/mailserver.test.key # This file should be kept secret
dh /etc/openvpn/dh1024.pem
server 10.10.10.0 255.255.255.0 # vpn subnet
ifconfig-pool-persist ipp.txt
push "route 0.0.0.0 255.255.255.0" # home subnet
push "dhcp-option DNS 192.168.2.254"
push "redirect-gateway"
;duplicate-cn
keepalive 10 120
#;cipher BF-CBC # Blowfish (default)
#;cipher AES-128-CBC # AES
#;cipher DES-EDE3-CBC # Triple-DES
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
log-append /var/log/openvpn.log # append log файл будет дополняться
status /var/log/openvpn-status.log #обновляеться каждую минуту о подкл пользователей
verb 4
mute 20
client-to-client
client-config-dir /etc/openvpn/ccd в этот созданный каталог только 2 клиент-файла помешать (client.crt , client.key?)

вот логи less /var/log/openvpn.log

Показать

Wed Mar 30 17:14:45 2011 us=591468 event_wait : Interrupted system call (code=4)
Wed Mar 30 17:14:45 2011 us=591962 TCP/UDP: Closing socket
Wed Mar 30 17:14:45 2011 us=592068 /sbin/route del -net 10.10.10.0 netmask 255.255.255.0
SIOCDELRT: Operation not permitted
Wed Mar 30 17:14:45 2011 us=594206 ERROR: Linux route delete command failed: external program exited with error status: 7
Wed Mar 30 17:14:45 2011 us=594323 Closing TUN/TAP interface
Wed Mar 30 17:14:45 2011 us=594376 /sbin/ifconfig tun0 0.0.0.0
SIOCSIFADDR: Permission denied
SIOCSIFFLAGS: Permission denied
Wed Mar 30 17:14:45 2011 us=596654 Linux ip addr del failed: external program exited with error status: 255
Wed Mar 30 17:14:45 2011 us=640579 SIGTERM[hard,] received, process exiting
Wed Mar 30 17:14:46 2011 us=625996 Current Parameter Settings:
Wed Mar 30 17:14:46 2011 us=626146 config = '/etc/openvpn/openvpn.conf'
Wed Mar 30 17:14:46 2011 us=627230 mode = 1
Wed Mar 30 17:14:46 2011 us=627283 persist_config = DISABLED
Wed Mar 30 17:14:46 2011 us=627306 persist_mode = 1
Wed Mar 30 17:14:46 2011 us=627328 show_ciphers = DISABLED
Wed Mar 30 17:14:46 2011 us=627352 show_digests = DISABLED
Wed Mar 30 17:14:46 2011 us=627374 show_engines = DISABLED
Wed Mar 30 17:14:46 2011 us=627394 genkey = DISABLED
Wed Mar 30 17:14:46 2011 us=627415 key_pass_file = '[UNDEF]'
Wed Mar 30 17:14:46 2011 us=627436 show_tls_ciphers = DISABLED
Wed Mar 30 17:14:46 2011 us=627457 Connection profiles [default]:
Wed Mar 30 17:14:46 2011 us=627479 proto = udp
Wed Mar 30 17:14:46 2011 us=627500 local = '192.168.2.254'
Wed Mar 30 17:14:46 2011 us=627521 local_port = 1194
Wed Mar 30 17:14:46 2011 us=627541 remote = '[UNDEF]'
Wed Mar 30 17:14:46 2011 us=627561 remote_port = 1194
Wed Mar 30 17:14:46 2011 us=627581 remote_float = DISABLED
Wed Mar 30 17:14:46 2011 us=627601 bind_defined = DISABLED
Wed Mar 30 17:14:46 2011 us=627621 bind_local = ENABLED
Wed Mar 30 17:14:46 2011 us=627641 NOTE: --mute triggered...
Wed Mar 30 17:14:46 2011 us=627684 249 variation(s) on previous 20 message(s) suppressed by --mute
Wed Mar 30 17:14:46 2011 us=627710 OpenVPN 2.1.3 x86_64-pc-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [MH] [PF_INET6] [eurephia] built on Oct 22 2010
Wed Mar 30 17:14:46 2011 us=628097 NOTE: your local LAN uses the extremely common subnet address 192.168.0.x or 192.168.1.x. Be aware that this might create routing conflicts if you connect to the VPN server from public locations such as internet cafes that use the same subnet.
Wed Mar 30 17:14:46 2011 us=628128 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Wed Mar 30 17:14:46 2011 us=633785 Diffie-Hellman initialized with 1024 bit key
Wed Mar 30 17:14:46 2011 us=635158 /usr/bin/openssl-vulnkey -q -b 1024 -m <modulus omitted>
Wed Mar 30 17:14:46 2011 us=722637 TLS-Auth MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Wed Mar 30 17:14:46 2011 us=722787 Socket Buffers: R=[124928->131072] S=[124928->131072]
Wed Mar 30 17:14:46 2011 us=723164 ROUTE default_gateway=192.168.1.254
Wed Mar 30 17:14:46 2011 us=725280 TUN/TAP device tun0 opened
Wed Mar 30 17:14:46 2011 us=725338 TUN/TAP TX queue length set to 100
Wed Mar 30 17:14:46 2011 us=725407 /sbin/ifconfig tun0 10.10.10.1 pointopoint 10.10.10.2 mtu 1500
Wed Mar 30 17:14:46 2011 us=731559 /sbin/route add -net 10.10.10.0 netmask 255.255.255.0 gw 10.10.10.2
Wed Mar 30 17:14:46 2011 us=732456 Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Wed Mar 30 17:14:46 2011 us=734578 GID set to nogroup
Wed Mar 30 17:14:46 2011 us=734734 UID set to nobody
Wed Mar 30 17:14:46 2011 us=734826 UDPv4 link local (bound): [AF_INET]192.168.2.254:1194
Wed Mar 30 17:14:46 2011 us=734858 UDPv4 link remote: [undef]
Wed Mar 30 17:14:46 2011 us=734903 MULTI: multi_init called, r=256 v=256
Wed Mar 30 17:14:46 2011 us=735111 IFCONFIG POOL: base=10.10.10.4 size=62
Wed Mar 30 17:14:46 2011 us=735171 IFCONFIG POOL LIST
Wed Mar 30 17:14:46 2011 us=735245 Initialization Sequence Completed

less /var/log/openvpn-status.log

Показать

OpenVPN CLIENT LIST
Updated,Wed Mar 30 17:22:38 2011
Common Name,Real Address,Bytes Received,Bytes Sent,Connected Since
ROUTING TABLE
Virtual Address,Common Name,Real Address,Last Ref
GLOBAL STATS
Max bcast/mcast queue length,0
END

во время конекта на виндус машине openvpn включаю tcpdump

Показать

tcpdump -nn host 192.168.2.171 and port 1194
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
17:24:09.469552 IP 192.168.2.171.1137 > 192.168.2.254.1194: Flags [], seq 4048546961, win 65535, options [mss 1460,nop,nop,sackOK], length 0
17:24:09.469607 IP 192.168.2.254.1194 > 192.168.2.171.1137: Flags [.], seq 0, ack 4048546962, win 0, length 0
17:24:09.891335 IP 192.168.2.171.1137 > 192.168.2.254.1194: Flags [], seq 4048546961, win 65535, options [mss 1460,nop,nop,sackOK], length 0
17:24:09.891386 IP 192.168.2.254.1194 > 192.168.2.171.1137: Flags [.], seq 0, ack 1, win 0, length 0
17:24:10.394120 IP 192.168.2.171.1137 > 192.168.2.254.1194: Flags [, seq 4048546961, win 65535, options [mss 1460,nop,nop,sackOK], length 0
17:24:10.394169 IP 192.168.2.254.1194 > 192.168.2.171.1137: Flags [], seq 0, ack 1, win 0, length 0
17:24:15.393532 IP 192.168.2.171.1138 > 192.168.2.254.1194: Flags [], seq 3002772170, win 65535, options [mss 1460,nop,nop,sackOK], length 0
17:24:15.393584 IP 192.168.2.254.1194 > 192.168.2.171.1138: Flags [.], seq 0, ack 3002772171, win 0, length 0
17:24:15.824778 IP 192.168.2.171.1138 > 192.168.2.254.1194: Flags [], seq 3002772170, win 65535, options [mss 1460,nop,nop,sackOK], length 0
17:24:15.824829 IP 192.168.2.254.1194 > 192.168.2.171.1138: Flags [.], seq 0, ack 1, win 0, length 0
17:24:16.327614 IP 192.168.2.171.1138 > 192.168.2.254.1194: Flags [], seq 3002772170, win 65535, options [mss 1460,nop,nop,sackOK], length 0
17:24:16.327667 IP 192.168.2.254.1194 > 192.168.2.171.1138: Flags [], seq 0, ack 1, win 0, length 0
17:24:21.327053 IP 192.168.2.171.1139 > 192.168.2.254.1194: Flags [], seq 2295388628, win 65535, options [mss 1460,nop,nop,sackOK], length 0
17:24:21.327103 IP 192.168.2.254.1194 > 192.168.2.171.1139: Flags [.], seq 0, ack 2295388629, win 0, length 0
17:24:21.758218 IP 192.168.2.171.1139 > 192.168.2.254.1194: Flags [], seq 2295388628, win 65535, options [mss 1460,nop,nop,sackOK], length 0
17:24:21.758268 IP 192.168.2.254.1194 > 192.168.2.171.1139: Flags [.], seq 0, ack 1, win 0, length 0
17:24:22.261004 IP 192.168.2.171.1139 > 192.168.2.254.1194: Flags [], seq 2295388628, win 65535, options [mss 1460,nop,nop,sackOK], length 0
17:24:22.261052 IP 192.168.2.254.1194 > 192.168.2.171.1139: Flags [R], seq 0, ack 1, win 0, length 0
^C
18 packets captured
18 packets received by filter
0 packets dropped by kernel

30.03.2011 08:17 · отредактировано #145885

О все хорошо подрубилось)) я на windows машине в конфиге соединение tcp прописывал, а в openvpn.conf udp, везде сделал одинаково и заработало)
Машина пингуется по виртуальной сети, но в браузер захожу инета нет..
приведу логи на wind-машине сори за кадабру сохранял в юникоде на кодировка другая не помогла)

Показать

�� www.ru [194.87.0.50]
� �� 30:

1 <1 �� <1 �� <1 �� 192.168.2.254
2 * * * �� .
3 * * * �� .
4 * * ^C

�� www.ru [194.87.0.50]
� �� 30:

1 <1 �� <1 �� <1 �� 192.168.2.254
2 * * * �� .
3 * * ^C

route print
===========================================================================
��
0x1 ........................... MS TCP Loopback interface
0x2 ...00 16 eb 0d f8 76 ...... Intel(R) WiFi Link 5150 - ��
��
0x3 ...00 23 8b ee e6 16 ...... Atheros AR8121/AR8113/AR8114 PCI-E Ethernet Cont
roller - ��
0x4 ...00 ff 49 9b 44 a4 ...... TAP-Win32 Adapter V8 - ��
��
0x10006 ...00 1d e1 05 b0 d3 ...... Intel(R) WiMAX Link 5150 - ��
��
===========================================================================
===========================================================================
�� :
��
0.0.0.0 255.255.255.0 10.10.10.5 10.10.10.6 1
0.0.0.0 0.0.0.0 192.168.2.254 192.168.2.171 20
10.10.10.0 255.255.255.0 10.10.10.5 10.10.10.6 1
10.10.10.4 255.255.255.252 10.10.10.6 10.10.10.6 30
10.10.10.6 255.255.255.255 127.0.0.1 127.0.0.1 30
10.255.255.255 255.255.255.255 10.10.10.6 10.10.10.6 30
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.2.0 255.255.255.0 192.168.2.171 192.168.2.171 20
192.168.2.171 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.2.255 255.255.255.255 192.168.2.171 192.168.2.171 20
224.0.0.0 240.0.0.0 10.10.10.6 10.10.10.6 30
224.0.0.0 240.0.0.0 192.168.2.171 192.168.2.171 20
255.255.255.255 255.255.255.255 10.10.10.6 2 1
255.255.255.255 255.255.255.255 10.10.10.6 10006 1
255.255.255.255 255.255.255.255 10.10.10.6 10.10.10.6 1
255.255.255.255 255.255.255.255 192.168.2.171 192.168.2.171 1
�� : 10.10.10.5
===========================================================================
�� :
��

наверно надо правила на шлюзе iptables прописать? ведь на моем шлюзе
traceroute www.ru
traceroute to www.ru (194.87.0.50), 30 hops max, 60 byte packets
1 gate.domain(192.168.1.254) 0.208 ms 0.176 ms 0.160 ms
2 * * *
3 * * *
4 * * *
5 * * *
6 * * *
7 *^C
на винд машине трафик ведь должен через виртуальную сеть ходить, 10.10.10.1
1.10.10.10.1
2 мой шлюз
3 еще шлюзы
4 www.ru
а в итоге чисто на мой шлюз идет без учета виртульной сети, как его от туда пропустить?)
iptables-save

Показать

# Generated by iptables-save v1.4.8 on Wed Mar 30 18:12:28 2011
*nat
:PREROUTING ACCEPT [516:66523]
:POSTROUTING ACCEPT [110:8059]
:OUTPUT ACCEPT [112:9053]
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.155
COMMIT
# Completed on Wed Mar 30 18:12:28 2011

ip_forwarding включил

30.03.2011 11:17 · отредактировано #145967

навскидку
[console]iptable -A FORWARD -s $vpn-pool -d $internet (или -o $internet-device) -j ACCEPT[/console]
подробнее надо вникать. если не получится то чуть позже вникну.

30.03.2011 12:25 · отредактировано #145993

Фигня какаято, сервак перегрузил теперь виндус клиент не может рубануться по openvpn:( заново все перебивал конфиг проверял, openvpn переставлял все тоже самое
вот логи

Показать

Wed Mar 30 14:23:02 2011 us=235635 Current Parameter Settings:
Wed Mar 30 14:23:02 2011 us=235785 config = '/etc/openvpn/openvpn.conf'
Wed Mar 30 14:23:02 2011 us=235814 mode = 1
Wed Mar 30 14:23:02 2011 us=235839 persist_config = DISABLED
Wed Mar 30 14:23:02 2011 us=235861 persist_mode = 1
Wed Mar 30 14:23:02 2011 us=235883 show_ciphers = DISABLED
Wed Mar 30 14:23:02 2011 us=235904 show_digests = DISABLED
Wed Mar 30 14:23:02 2011 us=235926 show_engines = DISABLED
Wed Mar 30 14:23:02 2011 us=235947 genkey = DISABLED
Wed Mar 30 14:23:02 2011 us=235969 key_pass_file = '[UNDEF]'
Wed Mar 30 14:23:02 2011 us=235992 show_tls_ciphers = DISABLED
Wed Mar 30 14:23:02 2011 us=236014 Connection profiles [default]:
Wed Mar 30 14:23:02 2011 us=236037 proto = udp
Wed Mar 30 14:23:02 2011 us=236059 local = '192.168.2.254'
Wed Mar 30 14:23:02 2011 us=236080 local_port = 1194
Wed Mar 30 14:23:02 2011 us=236102 remote = '[UNDEF]'
Wed Mar 30 14:23:02 2011 us=236123 remote_port = 1194
Wed Mar 30 14:23:02 2011 us=236144 remote_float = DISABLED
Wed Mar 30 14:23:02 2011 us=236166 bind_defined = DISABLED
Wed Mar 30 14:23:02 2011 us=236187 bind_local = ENABLED
Wed Mar 30 14:23:02 2011 us=236208 NOTE: --mute triggered...
Wed Mar 30 14:23:02 2011 us=236249 249 variation(s) on previous 20 message(s) suppressed by --mute
Wed Mar 30 14:23:02 2011 us=236276 OpenVPN 2.1.3 x86_64-pc-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [MH] [PF_INET6] [eurephia] built on Oct 22 2010
Wed Mar 30 14:23:02 2011 us=236615 NOTE: your local LAN uses the extremely common subnet address 192.168.0.x or 192.168.1.x. Be aware that this might create routing conflicts if you
connect to the VPN server from public locations such as internet cafes that use the same subnet.
Wed Mar 30 14:23:02 2011 us=236647 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Wed Mar 30 14:23:02 2011 us=242336 Diffie-Hellman initialized with 1024 bit key
Wed Mar 30 14:23:02 2011 us=242729 /usr/bin/openssl-vulnkey -q -b 1024 -m <modulus omitted>
Wed Mar 30 14:23:02 2011 us=328856 TLS-Auth MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Wed Mar 30 14:23:02 2011 us=329010 Socket Buffers: R=[124928->131072] S=[124928->131072]
Wed Mar 30 14:23:02 2011 us=329387 ROUTE default_gateway=192.168.1.254
Wed Mar 30 14:23:02 2011 us=331313 TUN/TAP device tun0 opened
Wed Mar 30 14:23:02 2011 us=331374 TUN/TAP TX queue length set to 100
Wed Mar 30 14:23:02 2011 us=331444 /sbin/ifconfig tun0 10.10.10.1 pointopoint 10.10.10.2 mtu 1500
Wed Mar 30 14:23:02 2011 us=334198 /sbin/route add -net 10.10.10.0 netmask 255.255.255.0 gw 10.10.10.2
Wed Mar 30 14:23:02 2011 us=337923 Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Wed Mar 30 14:23:02 2011 us=341214 GID set to nogroup
Wed Mar 30 14:23:02 2011 us=341364 UID set to nobody
Wed Mar 30 14:23:02 2011 us=341392 UDPv4 link local (bound): [AF_INET]192.168.2.254:1194
Wed Mar 30 14:23:02 2011 us=341401 UDPv4 link remote: [undef]
Wed Mar 30 14:23:02 2011 us=341411 MULTI: multi_init called, r=256 v=256
Wed Mar 30 14:23:02 2011 us=341475 IFCONFIG POOL: base=10.10.10.4 size=62
Wed Mar 30 14:23:02 2011 us=341502 IFCONFIG POOL LIST
Wed Mar 30 14:23:02 2011 us=341509 client1.mailserver.test,10.10.10.4
Wed Mar 30 14:23:02 2011 us=341516 client2.mailserver.test,10.10.10.8
Wed Mar 30 14:23:02 2011 us=341538 Initialization Sequence Completed
Wed Mar 30 14:23:09 2011 us=407937 MULTI: multi_create_instance called
Wed Mar 30 14:23:09 2011 us=408040 192.168.2.171:1194 Re-using SSL/TLS context
Wed Mar 30 14:23:09 2011 us=408118 192.168.2.171:1194 LZO compression initialized
Wed Mar 30 14:23:09 2011 us=408511 192.168.2.171:1194 Control Channel MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Wed Mar 30 14:23:09 2011 us=408554 192.168.2.171:1194 Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Wed Mar 30 14:23:09 2011 us=408643 192.168.2.171:1194 Local Options String: 'V4,dev-type tun,link-mtu 1542,tun-mtu 1500,proto UDPv4,comp-lzo,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-server'
Wed Mar 30 14:23:09 2011 us=408691 192.168.2.171:1194 Expected Remote Options String: 'V4,dev-type tun,link-mtu 1542,tun-mtu 1500,proto UDPv4,comp-lzo,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-client'
Wed Mar 30 14:23:09 2011 us=408780 192.168.2.171:1194 Local Options hash (VER=V4): '530fdded'
Wed Mar 30 14:23:09 2011 us=408827 192.168.2.171:1194 Expected Remote Options hash (VER=V4): '41690919'
Wed Mar 30 14:23:09 2011 us=408956 192.168.2.171:1194 TLS: Initial packet from [AF_INET]192.168.2.171:1194, sid=88129559 2688f0c5
Wed Mar 30 14:23:09 2011 us=615783 192.168.2.171:1194 VERIFY OK: depth=1, /C=RU/ST=RU/L=Ufa/O=imsp/CN=mailserver.test/emailAddress=me@myhost.mydomain
Wed Mar 30 14:23:09 2011 us=616170 192.168.2.171:1194 VERIFY OK: depth=0, /C=RU/ST=RU/L=Ufa/O=imsp/CN=client2.mailserver.test/emailAddress=me@myhost.mydomain
Wed Mar 30 14:23:09 2011 us=622502 192.168.2.171:1194 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Wed Mar 30 14:23:09 2011 us=622516 192.168.2.171:1194 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Mar 30 14:23:09 2011 us=622556 192.168.2.171:1194 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Wed Mar 30 14:23:09 2011 us=622564 192.168.2.171:1194 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Mar 30 14:23:09 2011 us=623869 192.168.2.171:1194 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Wed Mar 30 14:23:09 2011 us=623893 192.168.2.171:1194 [client2.mailserver.test] Peer Connection Initiated with [AF_INET]192.168.2.171:1194
Wed Mar 30 14:23:09 2011 us=623947 client2.mailserver.test192.168.2.171:1194 MULTI: Learn: 10.10.10.10 -> client2.mailserver.test/192.168.2.171:1194
Wed Mar 30 14:23:09 2011 us=623956 client2.mailserver.test/192.168.2.171:1194 MULTI: primary virtual IP for client2.mailserver.test/192.168.2.171:1194: 10.10.10.10
Wed Mar 30 14:23:10 2011 us=669549 client2.mailserver.test/192.168.2.171:1194 PUSH: Received control message: 'PUSH_REQUEST'
Wed Mar 30 14:23:10 2011 us=669655 client2.mailserver.test/192.168.2.171:1194 SENT CONTROL [client2.mailserver.itest]: 'PUSH_REPLY,route 0.0.0.0 255.255.255.0,dhcp-option DNS 192.168.2.254,redirect-gateway,route 10.10.10.0 255.255.255.0,topology net30,ping 10,ping-restart 120,ifconfig 10.10.10.10 10.10.10.9' (status=1)
Wed Mar 30 14:23:14 2011 us=780817 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Wed Mar 30 14:23:18 2011 us=838349 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Wed Mar 30 14:23:27 2011 us=92224 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)

/var/log/openvpn-status.log

Показать

OpenVPN CLIENT LIST
Updated,Wed Mar 30 14:26:20 2011
Common Name,Real Address,Bytes Received,Bytes Sent,Connected Since
client2.mailserver.imsp,192.168.2.171:1194,3667,5290,Wed Mar 30 14:23:09 2011
ROUTING TABLE
Virtual Address,Common Name,Real Address,Last Ref
10.10.10.10,client2.mailserver.test,192.168.2.171:1194,Wed Mar 30 14:23:09 2011
GLOBAL STATS
Max bcast/mcast queue length,0
END

30.03.2011 12:41 #146000

решилась проблема переустановкой проги на windows машине..и установка времени как на сервере,
tracert www.ru
1. 10.10.10.1
2. * * * а должнен быть мой шлюз..

30.03.2011 14:35 #146078

Wed Mar 30 14:23:14 2011 us=780817 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Wed Mar 30 14:23:18 2011 us=838349 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Wed Mar 30 14:23:27 2011 us=92224 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)

в iptables закрыты порты для udp
да и вообще не мешало бы добавить правила в iptables для клиентов vpn

06.04.2011 15:47 #148653

Всех приветствую, давно не писал, был занят)
я пока временно очистил все правила и вписал вот эти
echo "1" > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE и да действительно!) виндовая машина по openvpn выходит в нет))

06.04.2011 16:03 #148662

Блин это не то( это лишь маршрут к выше стоящему шлюзу, openvpn то вообще не причем, подскажите плиз какое правило кинуть чтобы весь трафик шел через виртуальную сеть созданную openvpn,тоесьт tracer www.ru на виндовой машине выглядел так :
1. <1 mc < 1 mc < 1 mc 10.10.10.1
2 <1 mc < 1 mc < 1 mc 192.168.2.254 мой шлюз
когда я прописал выше стоящее правило где eth0 - выхожу в нет на шлюзе то картина tracer слудующая
1. <1 mc < 1 mc < 1 mc 10.10.10.1
2 <1 mc < 1 mc < 1 mc 192.168.1.254 выше стоящий шлюз

06.04.2011 16:46 #148679

Нарисуй как должен идти а то фиг поймёшь
что такое 192.168.1.254
что такое 192.168.2.254

06.04.2011 18:58 #148765

насколько я понял комраду необходимо что бы vpn клиенты выходили в инет через собственно vpn канал, т.е через сервер с которым устанавливается vpn соединение.
для этого необходимо 1 из 2:
прокси на Сервере (соотв. прописать его на стороне клиента либо iptables'ом завернуть порты на прокси, т.н "прозрачное проксирование")
или
Сервер как шлюза по умолчанию на стороне клиента.
определяйтесь как вам проще/нужнее/выгоднее/удобнее/[подставить свое]

06.04.2011 20:32 #148796

Прокси не обязательно (да и на фиг он).
Просто надо правильно указать куда бы он шол делов на строки 3 iptables

07.04.2011 07:49 #148926

Да потом я обязательно поставлю "прозрачный прокси" с прокси множество положительных факторов)
Но пока с правилами iptables разбираюсь
ifconfig -a

Показать

eth0 Link encap:Ethernet HWaddr 1c:6f:65:81:c3:73
inet addr:192.168.2.254 Bcast:192.168.2.255 Mask:255.255.255.0
inet6 addr: fe80::1e6f:65ff:fe81:c373/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:945 errors:0 dropped:0 overruns:0 frame:0
TX packets:1111 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:191519 (187.0 KiB) TX bytes:415994 (406.2 KiB)
Interrupt:28 Base address:0x4000

eth1 Link encap:Ethernet HWaddr 00:1b:21:80:81:9b
inet addr:192.168.1.200 Bcast:192.168.1.255 Mask:255.255.255.0
inet6 addr: fe80::21b:21ff:fe80:819b/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:7460 errors:0 dropped:0 overruns:0 frame:0
TX packets:1025 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:940589 (918.5 KiB) TX bytes:204578 (199.7 KiB)

lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:168 errors:0 dropped:0 overruns:0 frame:0
TX packets:168 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:14702 (14.3 KiB) TX bytes:14702 (14.3 KiB)

tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:10.10.10.1 P-t-P:10.10.10.2 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:351 errors:0 dropped:0 overruns:0 frame:0
TX packets:344 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:93866 (91.6 KiB) TX bytes:229157 (223.7 KiB)

если я прописываю на своем шлюзе iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE где еth1 - интерфейс через который я выхожу в нет, то картина на Виндовом клиенте следующая
[console]tracert www.ru
1. <1 mc < 1 mc < 1 mc 10.10.10.1
2 <1 mc < 1 mc < 1 mc 192.168.1.254 вышестоящий сервер dns,прокси сервер, который мне выделил статический айпи.
[/console]
Для того чтобы трафик VPN-клиентов достигший моего сервера мог попадать в другие сети и успешно возвращаться я включил трансляцию сетевых адресов (NAT). вот
# iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o eth1 -j MASQUERADE
ничего не помогает картина tracert та же.. Делаю на своем шлюзе-серваке
tcpdump -nn host 10.10.10.10 - ip виндус клиента
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
^C
0 packets captured
0 packets received by filter
0 packets dropped by kernel
тоесть выходит весь трафик переадрисуется через eth1 - внешний интерфейс к выше стоящему серваку, а мне нужно чтобы все через vpn сеть шло, помогите плиз разобраться) кто там говорил 3 правила, так напишите если не сложно)

07.04.2011 10:48 · отредактировано #148955

http://linuxforum.ru/viewtopic.php?pid=165069#p165069
ток своё подставь
Блин получаеться что не через vpn интерфейс идёт а напрямую к gateway?
Если так покаж на виндовой машине вывод route print

07.04.2011 12:24 #148987

я уже и не знаю в чем дело то, толи правила неправильно iptables, толи функции в файле openvpn.conf

push "route 0.0.0.0 255.255.255.0" # home subnet
push "dhcp-option DNS 192.168.2.254"
push "redirect-gateway"
redirect-gateway старый маршрут по умолчанию удаляется и записывается новый..
tracert www.ru
1. 1mc 10.10.10.1
2 * * * *
route pint
�� :
��
0.0.0.0 255.255.255.0 10.10.10.9 10.10.10.10 1
0.0.0.0 0.0.0.0 10.10.10.9 10.10.10.10 1
10.10.10.0 255.255.255.0 10.10.10.9 10.10.10.10 1
10.10.10.8 255.255.255.252 10.10.10.10 10.10.10.10 30
10.10.10.10 255.255.255.255 127.0.0.1 127.0.0.1 30
10.255.255.255 255.255.255.255 10.10.10.10 10.10.10.10 30
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.2.0 255.255.255.0 192.168.2.171 192.168.2.171 20
192.168.2.171 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.2.255 255.255.255.255 192.168.2.171 192.168.2.171 20
224.0.0.0 240.0.0.0 10.10.10.10 10.10.10.10 30
224.0.0.0 240.0.0.0 192.168.2.171 192.168.2.171 20
255.255.255.255 255.255.255.255 10.10.10.10 10.10.10.10 1
255.255.255.255 255.255.255.255 192.168.2.171 192.168.2.171 1
�� : 10.10.10.9
===========================================================================
�� :