не пингуется клиентская машина с сервера OpenVPN на CentOS 5.8

Добрый день.

Не пингуется ни одна клиентская машина с сервера OpenVPN. На сервере внутренняя сеть 192.168.10.0/24, ip openvpn сервера 10.8.10.1. На клиенте внутренняя сеть 192.168.168.0/24, ip openvpn клиента 10.8.10.2. C 192.168.168.0 пингуются все ip 192.168.10.0 - обратно нет. Настраивал всё по статейке http://vds-admin.ru/unix-linux/nastroika-openvpn-servera-centos

конфиг сервака

port 1194
proto udp
dev tun
server 10.8.10.0 255.255.255.0
client-to-client
client-config-dir /etc/openvpn/ccd
push "redirect-gateway def1"

ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key
dh /etc/openvpn/keys/dh1024.pem
tls-auth /etc/openvpn/keys/tls.key 0

verb 3
keepalive 10 120
tls-server
comp-lzo
log log.txt

в файле ccd

ifconfig-push 10.8.10.2 10.8.10.1
iroute 192.168.168.0 255.255.255.0

таблица маршрутов

# netstat -rn
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
10.8.10.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
10.8.10.0 10.8.10.2 255.255.255.0 UG 0 0 0 tun0
192.168.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth0
0.0.0.0 192.168.10.1 0.0.0.0 UG 0 0 0 eth0

что-то подсказывает, что маршрута нет до 192.168.168.0, но почему его не добавляет openvpn сервер? или что я не допонял?
если добавить маршрут ручками route add -net 192.168.168.0/24 gw 10.8.10.2 tun0, ответов от 192.168.168.0 всё равно нет.
помогите пожалуйста понять, в чем проблема? спасибо.

pavleg.parshin написал:

Добрый день.
iroute 192.168.168.0 255.255.255.0

уверены что должно быть iroute вместо route?

Kettler написал:

[quote=pavleg.parshin]Добрый день.
iroute 192.168.168.0 255.255.255.0

уверены что должно быть iroute вместо route?[/quote]

разобрался с маршрутом. нужно было в конфиг сервера добавить route 192.168.168.0 255.255.255.0

netstat -rn
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
10.8.10.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
192.168.168.0 10.8.10.2 255.255.255.0 UG 0 0 0 tun0
10.8.10.0 10.8.10.2 255.255.255.0 UG 0 0 0 tun0
192.168.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
0.0.0.0 192.168.10.1 0.0.0.0 UG 0 0 0 eth0

но пинга всё равно нет :(

теперь грешу на iptables, с ним очень плохо знаком. вот какие правила показывает

iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
fail2ban-BadBots tcp -- anywhere anywhere multiport dports http ,https
fail2ban-FTP tcp -- anywhere anywhere tcp dpt:ftp
fail2ban-SIP all -- anywhere anywhere

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain fail2ban-BadBots (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Chain fail2ban-FTP (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Chain fail2ban-PBX-GUI (0 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Chain fail2ban-SIP (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Chain fail2ban-SSH (0 references)
target prot opt source destination
RETURN all -- anywhere anywhere

может здесь не выпускает? как правильно добавить правило, чтобы пропускал iptables трафик в 192.168.168.0 через туннель?

буду очень признателен за помощь.

Хз но пробни

iptables -I FORWARD -s 192.168.10.0/24 -d 192.168.168.0/24 -j ACCEPT
iptables -I FORWARD -s 192.168.168.0/24 -d 192.168.10.0/24 -j ACCEPT

И покажи вывод

cat /proc/sys/net/ipv4/ip_forward

Kettler написал:

Хз но пробни

text

iptables -I FORWARD -s 192.168.10.0/24 -d 192.168.168.0/24 -j ACCEPT
iptables -I FORWARD -s 192.168.168.0/24 -d 192.168.10.0/24 -j ACCEPT

И покажи вывод

text

cat /proc/sys/net/ipv4/ip_forward

айпифорвард 1

сейчас в iptables


iptables -L -t filter
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT all -- anywhere anywhere

Chain OUTPUT (policy ACCEPT)

а tcpdump на серваке

04:45:17.696038 IP 10.8.10.1 > 192.168.168.2: ICMP echo request, id 48661, seq 4 6, length 64
04:45:18.695982 IP 10.8.10.1 > 192.168.168.2: ICMP echo request, id 48661, seq 4 7, length 64

бррр...

маршруты покажи с клиента для начала

Kettler написал:

маршруты покажи с клиента для начала

я разобрался в собственной глупости :D но всё равно, спасибо за отклик. 192.168.168.0 - это подсеть совершенно другого интерфейса на клиенте :D всё прекрасно работает, как нужно :)