[Comm] Alterator, openvpn

[Comm] Alterator, openvpn

[Константин Нестеров]

Здравствуйте всем!
Столкнулся с проблемой поднятия VPN - туннеля средствами Alterator.
Пользовался инструкциями: http://salomatin.ru/index.php?option=com_content&view=category&id=60:altlinux-61&layout=blog&Itemid=44&layout=default

Проблема на заключительном этапе: Импортирую сертификат УЦ на клиента через Alterator,
получаю сообщение: "Недопустимый сертификат клиента или сервера".

Сервер (Centaurus 6.0.0) и клиент (Simply Linux 6.0.1) настраивал точно по инструкциям. 
На клиент доустанавливал пакет alterator-net-openvpn, т.к. модуля "openvpn-соединения" 
по умолчанию не было.

В чём может быть проблема?

Re: [Comm] Alterator, openvpn

[Константин Нестеров]

Вопрос решился, после того, как было произведен перебор ключей пользователей
Сначала выбрал ключ одного пользователя, попробовал применить настройки,
затем выбрал ключ второго пользователя и настройки применились. По такой же
схеме применил настройки для другого ключа... (баг альтератора?)


Tue, 08 May 2012 10:29:37 +0400 от Константин Нестеров<es_ed@mail.ru>:
> Здравствуйте всем!
> Столкнулся с проблемой поднятия VPN - туннеля средствами Alterator.
> Пользовался инструкциями: http://salomatin.ru/index.php?option=com_content&view=category&id=60:altlinux-61&layout=blog&Itemid=44&layout=default
> 
> Проблема на заключительном этапе: Импортирую сертификат УЦ на клиента через Alterator,
> получаю сообщение: "Недопустимый сертификат клиента или сервера".
> 
> Сервер (Centaurus 6.0.0) и клиент (Simply Linux 6.0.1) настраивал точно по инструкциям. 
> На клиент доустанавливал пакет alterator-net-openvpn, т.к. модуля "openvpn-соединения" 
> по умолчанию не было.
> 
> В чём может быть проблема?
> _______________________________________________
> community mailing list
> community@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/community

Re: [Comm] Alterator, openvpn

[Michael Shigorin]

On Tue, May 08, 2012 at 10:50:44AM +0400, Константин Нестеров wrote:
> Вопрос решился, после того, как было произведен перебор ключей пользователей
> Сначала выбрал ключ одного пользователя, попробовал применить настройки,
> затем выбрал ключ второго пользователя и настройки применились. По такой же
> схеме применил настройки для другого ключа... (баг альтератора?)

По крайней мере стоит повесить на него свои соображения
насчёт более понятного поведения.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] Alterator, openvpn

[Константин Нестеров]

На другом ПК такое поведение не воспроизвелось.
Снова застрял на "Несоответствии сертификатов".


Tue, 8 May 2012 10:34:00 +0300 от Michael Shigorin <mike@osdn.org.ua>:
> On Tue, May 08, 2012 at 10:50:44AM +0400, Константин Нестеров wrote:
> > Вопрос решился, после того, как было произведен перебор ключей пользователей
> > Сначала выбрал ключ одного пользователя, попробовал применить настройки,
> > затем выбрал ключ второго пользователя и настройки применились. По такой же
> > схеме применил настройки для другого ключа... (баг альтератора?)
> 
> По крайней мере стоит повесить на него свои соображения
> насчёт более понятного поведения.
> 
> -- 
>  ---- WBR, Michael Shigorin <mike@altlinux.ru>
>   ------ Linux.Kiev http://www.linux.kiev.ua/
> _______________________________________________
> community mailing list
> community@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/community

Re: [Comm] Alterator, openvpn

[Константин Нестеров]

Разбор продолжается. Что может значить 
"Несоответствие сертификата сервера или клиента"?

/var/log/messages и alteratord.log молчат.

alterator-net-openvpn на сервере спокойно 
принимает сертификаты УЦ и пользователей
и устанавливает соединение сам с собой.

На клиенте (Simply 6.0.1) производилась (повторюсь)
дополнительная установка alterator-net-openvpn.

Может что-то не поставил? В какую сторону копать?

Есть потребность проделать всё с помощью Alterator,
а не через консоль.

Tue, 08 May 2012 11:54:04 +0400 от Константин Нестеров<es_ed@mail.ru>:
> На другом ПК такое поведение не воспроизвелось.
> Снова застрял на "Несоответствии сертификатов".
> 
> 
> Tue, 8 May 2012 10:34:00 +0300 от Michael Shigorin <mike@osdn.org.ua>:
> > On Tue, May 08, 2012 at 10:50:44AM +0400, Константин Нестеров wrote:
> > > Вопрос решился, после того, как было произведен перебор ключей пользователей
> > > Сначала выбрал ключ одного пользователя, попробовал применить настройки,
> > > затем выбрал ключ второго пользователя и настройки применились. По такой же
> > > схеме применил настройки для другого ключа... (баг альтератора?)
> > 
> > По крайней мере стоит повесить на него свои соображения
> > насчёт более понятного поведения.
> > 
> > -- 
> > ---- WBR, Michael Shigorin <mike@altlinux.ru>
> > ------ Linux.Kiev http://www.linux.kiev.ua/
> > _______________________________________________
> > community mailing list
> > community@lists.altlinux.org
> > https://lists.altlinux.org/mailman/listinfo/community
> _______________________________________________
> community mailing list
> community@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/community

Re: [Comm] Alterator, openvpn

[Mikhail Efremov]

On Tue, 08 May 2012 13:42:19 +0400 Константин Нестеров wrote:
> Разбор продолжается. Что может значить 
> "Несоответствие сертификата сервера или клиента"?

Я не вижу там нет таких сообщений. Вы уверены, что цитируете сообщение
об ошибке правильно?

> /var/log/messages и alteratord.log молчат.
> 
> alterator-net-openvpn на сервере спокойно 
> принимает сертификаты УЦ и пользователей
> и устанавливает соединение сам с собой.
> 
> На клиенте (Simply 6.0.1) производилась (повторюсь)
> дополнительная установка alterator-net-openvpn.
> 
> Может что-то не поставил? В какую сторону копать?

Приведите точное сообщение об ошибке, тогда станет ясно.
Могу предположить, что на самом деле сообщение было
"Недопустимый сертификат клиента или удостоверяющего центра".
Тогда это означает, что сертификат клиента не подписан тем УЦ,
сертификат которого импортирован.

-- 
WBR, Mikhail Efremov

Re: [Comm] Alterator, openvpn

[Mikhail Efremov]

On Tue, 8 May 2012 14:11:31 +0400 Mikhail Efremov wrote:
> Я не вижу там нет таких сообщений.

Следует читать как "Я не вижу там таких сообщений" :).

-- 
WBR, Mikhail Efremov

Re: [Comm] Alterator, openvpn

[Mikhail Efremov]

On Tue, 08 May 2012 19:22:50 +0700 Константин wrote:
> 08.05.2012 17:11, Mikhail Efremov пишет:
> > On Tue, 08 May 2012 13:42:19 +0400 Константин Нестеров wrote:
> >> Может что-то не поставил? В какую сторону копать?
> > Приведите точное сообщение об ошибке, тогда станет ясно.
> > Могу предположить, что на самом деле сообщение было
> > "Недопустимый сертификат клиента или удостоверяющего центра".
> > Тогда это означает, что сертификат клиента не подписан тем УЦ,
> > сертификат которого импортирован.
> >
> Да! Именно "Недопустимый сертификат клиента или удостоверяющего
> центра", извиняюсь за вольную трактовку.
> Подписывал в том же УЦ, чей сертификат импортировал.

Эта проверка - вызов
openssl verify -CAfile "$ca" "$cert"
где ca - сертификат УЦ (скорее всего лежит тут: 
/var/lib/ssl/certs/openvpn-client-CA.crt);
cert - сертификат клиента.
Запустите эту команду и посмотрите что она выдаст.

-- 
WBR, Mikhail Efremov

Re: [Comm] Alterator, openvpn

[Mikhail Efremov]

On Wed, 09 May 2012 21:41:35 +0700 Константин wrote:
> 08.05.2012 20:56, Mikhail Efremov пишет:
> > openssl verify -CAfile "$ca" "$cert"
> 
> [root@robot ~]# openssl verify -CAfile 
> /var/lib/ssl/certs/openvpn-client-CA.crt /var/lib/ssl/certs/My.cert
> /var/lib/ssl/certs/My.cert: C = RU, O = Company, OU = Company 
> Certification Authority, CN = Company Root Certification Authority
> error 9 at 1 depth lookup:certificate is not yet valid

Покажите вывод
date
openssl x509 -noout -startdate -in /var/lib/ssl/certs/My.cert
на клиенте.

-- 
WBR, Mikhail Efremov

Re: [Comm] Alterator, openvpn

[Константин]

10.05.2012 22:37, Mikhail Efremov пишет:
> Покажите вывод date openssl x509 -noout -startdate -in 
> /var/lib/ssl/certs/My.cert на клиенте. 
Да, проблема была в датах сервера и клиента. Спасибо!

Теперь все процедуры с сертификатами проходят,
но (!) устройство tun0 не стартует.
В альтераторе после применения настроек и запуска туннеля
"Состояние -- включено",но вывод ip a s говорит, что tun отсутствует.
Более того, после повторного запуска альтератора, состояние
туннеля обозначено как "выключен".

Re: [Comm] Alterator, openvpn

[Mikhail Efremov]

On Thu, 10 May 2012 23:15:08 +0700 Константин wrote:
> 10.05.2012 22:37, Mikhail Efremov пишет:
> > Покажите вывод date openssl x509 -noout -startdate -in 
> > /var/lib/ssl/certs/My.cert на клиенте. 
> Да, проблема была в датах сервера и клиента. Спасибо!
> 
> Теперь все процедуры с сертификатами проходят,
> но (!) устройство tun0 не стартует.
> В альтераторе после применения настроек и запуска туннеля
> "Состояние -- включено",но вывод ip a s говорит, что tun отсутствует.
> Более того, после повторного запуска альтератора, состояние
> туннеля обозначено как "выключен".

Там просто делается ifup tun0, что выполняется успешно.
Смотрите в /var/log/messages что пишет сам openvpn.

-- 
WBR, Mikhail Efremov

Re: [Comm] Alterator, openvpn

[Michael Shigorin]

On Thu, May 10, 2012 at 11:15:08PM +0700, Константин wrote:
> >Покажите вывод date openssl x509 -noout -startdate -in 
> >/var/lib/ssl/certs/My.cert на клиенте. 
> Да, проблема была в датах сервера и клиента. Спасибо!

Надо бы добавить как минимум в справку модуля или ловить
"certificate is not yet valid" и давать внятную диагностику.

Повесьте на пакет в сизифе FR, пожалуйста.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] Alterator, openvpn

[Mikhail Efremov]

On Thu, 10 May 2012 20:43:52 +0300 Michael Shigorin wrote:
> On Thu, May 10, 2012 at 11:15:08PM +0700, Константин wrote:
> > >Покажите вывод date openssl x509 -noout -startdate -in 
> > >/var/lib/ssl/certs/My.cert на клиенте. 
> > Да, проблема была в датах сервера и клиента. Спасибо!
> 
> Надо бы добавить как минимум в справку модуля или ловить
> "certificate is not yet valid" и давать внятную диагностику.

openssl verify может возвращать довольно большое количество различных
ошибок. Я не уверен, что конкретно эта ошибка настолько типична, что ей
нужно уделять особое внимание. Возможно стоит просто показывать
код ошибки и сообщение, возвращаемое openssl verify.

> Повесьте на пакет в сизифе FR, пожалуйста.

-- 
WBR, Mikhail Efremov

[Comm] TV Beholder H7 & ALT Linux 6.0.1 KDesktop

[Александр Благин]

Зравствуйте !

подписался на 2 рассылки, 2-я Hardware

c hardware писем нет, поэтому пробую спросить здесь

помогите победить отсутствие звука с платы Beholder H7 по PCI шине
дистрибутив ALT Linux 6.0.1 KDesktop + brench (обновление по полной)

с изображением все нормально , звука нет
возможности получить звук по шнуру - нет, на материнке его некуда 
прицепить (GA-525TUD)

в /etc/modprobe.d/saa7134.conf (созданном мною)
     options saa7134   secam=d alsa=1
     options xc5000 no_poweroff=1
но если запустить "регулятор громгости pulseaudio" - на вкладке 
"устройства ввода"
бегунок скачет и индикация исчезает если отключить выйти из программы TVTIME
из этого вроде следует , что звук с платы отдается
регулятор в tvtime не ругулируется, если в файле /etc/tvtime/tvtime.xml 
заменить строку <option name="MixerDevice" value="default/Line"/> на
<option name="MixerDevice" value="hw:0"/>
с регулятором в tvtime все нормально, но звука так и нет

Re: [Comm] TV Beholder H7 & ALT Linux 6.0.1 KDesktop

[Александр Благин]

вдогодку к предыдущему сообшению

при запуске gnomeradio - невозможно открыть /dev/mixer
далее частота управляется, а в настройках вкладка микшер неактивна

Re: [Comm] TV Beholder H7 & ALT Linux 6.0.1 KDesktop

[Michael Shigorin]

On Sat, May 12, 2012 at 07:00:27PM +0400, Александр Благин wrote:
> но если запустить "регулятор громгости pulseaudio" - на вкладке
> "устройства ввода" бегунок скачет и индикация исчезает если
> отключить выйти из программы TVTIME
> из этого вроде следует , что звук с платы отдается
> регулятор в tvtime не ругулируется, если в файле /etc/tvtime/tvtime.xml 
> заменить строку <option name="MixerDevice" value="default/Line"/> на
> <option name="MixerDevice" value="hw:0"/>
> с регулятором в tvtime все нормально, но звука так и нет

А без PulseAudio работает?

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] TV Beholder H7 & ALT Linux 6.0.1 KDesktop

[Александр Благин]

12.05.2012 20:50, Michael Shigorin пишет:
> On Sat, May 12, 2012 at 07:00:27PM +0400, Александр Благин wrote:
>> но если запустить "регулятор громгости pulseaudio" - на вкладке
>> "устройства ввода" бегунок скачет и индикация исчезает если
>> отключить выйти из программы TVTIME
>> из этого вроде следует , что звук с платы отдается
>> регулятор в tvtime не ругулируется, если в файле /etc/tvtime/tvtime.xml
>> заменить строку<option name="MixerDevice" value="default/Line"/>  на
>> <option name="MixerDevice" value="hw:0"/>
>> с регулятором в tvtime все нормально, но звука так и нет
> А без PulseAudio работает?
>
никак не работает
сейчас посмотрел pulseaudio в процессах есть
у KDE4 регулятор Kmix, там тоже ползунки на всю
я не очень крут в linux, немолодой уже, с linux 10 лет, но как user,
виндов не держу принципиально
не могу понять как звуковая система тут устроен
кстали при запуске gnomeradio , что FM слушать , устройства /dev/mixer нет
если сделать link по куда ??

что то тут с alsa - похоже, но тут моей компетенции не хватает

да не сообщил - ядро 3.0.24-std-def , которое по умолчанию
делал себе систему из чистого Кентавра+kde3 - та же картина,
да и еще и звук не многопоточный
еще непонятка на кентаврах есть
я большую часть если не развлекуху (видео,музыка,графика) провожу в 
консоли, так вот
если в MC нажать на mp3 файл mpg123 валиться от root-а , от user-a все 
нормально

С уважением Александр

[Comm] Samba & ALT Linux 6.0.1 KDesktop

[Александр Благин]

решил на домашней машине поднять samba
никогда проблем не возникало - вдруг
smbpasswd -a user - не отрабатывается, сама самба работает, и без пароля 
пускает
что бы это могло случиться

Кентавр 6.0.1 + branch (на сегодняшний день)
samba 3.5.15

Re: [Comm] Samba & ALT Linux 6.0.1 KDesktop

[Denis Nazarov]

14.05.2012 19:53, Александр Благин написал:
> решил на домашней машине поднять samba
> никогда проблем не возникало - вдруг
> smbpasswd -a user - не отрабатывается, сама самба работает, и без 
> пароля пускает
> что бы это могло случиться
>
> Кентавр 6.0.1 + branch (на сегодняшний день)
> samba 3.5.15
Вы уже дважды начали новую тему в старой ветке. Почитайте, пожалуйста, 
правила рассылки.

Re: [Comm] Alterator, openvpn

[Vladimir Karpinsky]

08.05.2012 10:29, Константин Нестеров написал:
> Пользовался
> инструкциями:http://salomatin.ru/index.php?option=com_content&view=category&id=60:altl
> inux-61&layout=blog&Itemid=44&layout=default

Изучаю эту инструкцию, но не могу найти: "раздел Управление ключами SSL". У 
меня что-то с глазами или чего-то не хватает. Ткните, пожалуйста.

P.S. Ковчег Сервер -> p6

-- 
	С уважением,
		Владимир.

Re: [Comm] Alterator, openvpn

[Vladimir Karpinsky]

10.05.2012 21:36, Vladimir Karpinsky написал:
> Изучаю эту инструкцию, но не могу найти: "раздел Управление ключами SSL". У
> меня что-то с глазами или чего-то не хватает. Ткните, пожалуйста.

Методом rpm -ql и тыка нашёл адрес: https://hostname:8080/sslkey, но в 
системе меню, хоть убей, не вижу, такой строки...

-- 
	С уважением,
		Владимир.

Re: [Comm] Alterator, openvpn

[Константин Нестеров]

> Там просто делается ifup tun0, что выполняется успешно.
> Смотрите в /var/log/messages что пишет сам openvpn.

Спасибо, проблема была в пробросе портов на виртуальный
сервер (VPN соединение не проходило).


> Надо бы добавить как минимум в справку модуля или ловить
> "certificate is not yet valid" и давать внятную диагностику.
> 
> Повесьте на пакет в сизифе FR, пожалуйста.

Постараюсь! :)


Thu, 10 May 2012 23:15:35 +0400 от Vladimir Karpinsky <vkarpinsky@mail.ru>:
> 10.05.2012 21:36, Vladimir Karpinsky написал:
> > Изучаю эту инструкцию, но не могу найти: "раздел Управление ключами SSL". У
> > меня что-то с глазами или чего-то не хватает. Ткните, пожалуйста.
> 
> Методом rpm -ql и тыка нашёл адрес: https://hostname:8080/sslkey, но в 
> системе меню, хоть убей, не вижу, такой строки...

Посмотрите видео http://salomatin.ru/openvpn-server.ogv  !
Должно помочь.
Или выберите в пункте "Настройка"  (правый верхний угол) "Экспертный режим".
А затем просмотрите левое меню. Раздел должен быть! :)

Re: [Comm] Alterator, openvpn

[Mikhail Efremov]

On Thu, 10 May 2012 23:15:35 +0400 Vladimir Karpinsky wrote:
> 10.05.2012 21:36, Vladimir Karpinsky написал:
> > Изучаю эту инструкцию, но не могу найти: "раздел Управление ключами SSL". У
> > меня что-то с глазами или чего-то не хватает. Ткните, пожалуйста.
> 
> Методом rpm -ql и тыка нашёл адрес: https://hostname:8080/sslkey, но в 
> системе меню, хоть убей, не вижу, такой строки...

Проверьте, нет ли его в /etc/alterator/menu/module-skip-list.

-- 
WBR, Mikhail Efremov

Re: [Comm] Alterator, openvpn

[Vladimir Karpinsky]

11.05.2012 16:30, Mikhail Efremov написал:
> On Thu, 10 May 2012 23:15:35 +0400 Vladimir Karpinsky wrote:
>> 10.05.2012 21:36, Vladimir Karpinsky написал:
>>> Изучаю эту инструкцию, но не могу найти: "раздел Управление ключами SSL". У
>>> меня что-то с глазами или чего-то не хватает. Ткните, пожалуйста.
>>
>> Методом rpm -ql и тыка нашёл адрес: https://hostname:8080/sslkey, но в
>> системе меню, хоть убей, не вижу, такой строки...
>
> Проверьте, нет ли его в /etc/alterator/menu/module-skip-list.

Нет:
#  cat /etc/alterator/menu/module-skip-list
net-domain

А в каком месте меню эта строка должна быть? Я не всегда доверяю своим 
глазам :-(

-- 
	С уважением,
		Владимир.

Re: [Comm] Alterator, openvpn

[Mikhail Efremov]

On Fri, 11 May 2012 22:10:00 +0400 Vladimir Karpinsky wrote:
> 11.05.2012 16:30, Mikhail Efremov написал:
> > On Thu, 10 May 2012 23:15:35 +0400 Vladimir Karpinsky wrote:
> >> 10.05.2012 21:36, Vladimir Karpinsky написал:
> >>> Изучаю эту инструкцию, но не могу найти: "раздел Управление ключами SSL". У
> >>> меня что-то с глазами или чего-то не хватает. Ткните, пожалуйста.
> >>
> >> Методом rpm -ql и тыка нашёл адрес: https://hostname:8080/sslkey, но в
> >> системе меню, хоть убей, не вижу, такой строки...
> >
> > Проверьте, нет ли его в /etc/alterator/menu/module-skip-list.
> 
> Нет:
> #  cat /etc/alterator/menu/module-skip-list
> net-domain
> 
> А в каком месте меню эта строка должна быть? Я не всегда доверяю своим 
> глазам :-(

Где-то в категории System.
Посмотрите еще /etc/alterator/menu/module-expert-list.
Если он там, то виден только в "экспертном" режиме, тут рядом об этом
писали.

-- 
WBR, Mikhail Efremov

Re: [Comm] Alterator, openvpn

[Vladimir Karpinsky]

12.05.2012 15:38, Mikhail Efremov написал:
> Если он там, то виден только в "экспертном" режиме, тут рядом об этом
> писали.

Да, действительно там. Спасибо!

-- 
	С уважением,
		Владимир.

Re: [Comm] Alterator, openvpn

[Константин]

Добавляю параметр
;push "dhcp-option DNS 10.8.0.1"
в
/etc/net/ifaces/tun0/ovpnoptions
и всё работает до перезагрузки интерфейса.

Откуда генерятся настройки?

Re: [Comm] Alterator, openvpn

[Mikhail Efremov]

On Sun, 13 May 2012 13:48:38 +0700 Константин wrote:
> Добавляю параметр
> ;push "dhcp-option DNS 10.8.0.1"

Строка с ";" в начале - комментарий. Добавление такой строки в конфиг
не даст никакого эффекта.

> в
> /etc/net/ifaces/tun0/ovpnoptions
> и всё работает до перезагрузки интерфейса.

При нажатии "Применить" конфиг генерится заново и все изменения в
конфиге будут потеряны. Если конфиг правился руками, то лучше больше не
использовать альтератерный модуль.

> Откуда генерятся настройки?

Конкретно DNS определяется на основе серверного resolv.conf. Если
первым NS там указан 127.0.0.1, то клиенту в качестве
DNS-сервера передает ip самого VPN-сервера. Иначе ищется адрес
DNS-сервера, принадлежащий подсети сервера, которая будет видна клиенту
(предполагается, что обязательно есть какой-то свой DNS-сервер).

-- 
WBR, Mikhail Efremov