* [Comm] OpenVPN
@ 2012-09-02 6:15 Vladimir Karpinsky
2012-09-02 9:22 ` Michael A. Kangin
2012-09-02 17:59 ` Michael Shigorin
0 siblings, 2 replies; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-02 6:15 UTC (permalink / raw)
To: ALT Linux Community general discussions
Здравствуйте!
Пытаюсь поднять OpenVPN сервер и подключиться к нему из-под Windows. Нашёл
ветку на форуме (http://forum.altlinux.org/index.php?topic=10782.0), где
добрый человек по имени freeak достаточно подробно объясняет, как это
делать через web-интерфейс (помощь в этом интерфейсе может помочь только
тому, кто и без неё знает, что надо делать). Сервер поднялся, но
подключиться к нему не удаётся:
Sep 2 10:01:02 plkv openvpn[14801]: 192.168.5.199:1735 VERIFY ERROR:
depth=1, error=self signed certificate in certificate chain:
/C=RU/O=XX_XXX/OU=XX_XXX_Certification_Authority/CN=XX_XXX_Root_Certification_Authority
Sep 2 10:01:02 plkv openvpn[14801]: 192.168.5.199:1735 TLS_ERROR: BIO read
tls_read_plaintext error: error:140890B2:SSL
routines:SSL3_GET_CLIENT_CERTIFICATE:no certificate returned
Sep 2 10:01:02 plkv openvpn[14801]: 192.168.5.199:1735 TLS Error: TLS
object -> incoming plaintext read error
Sep 2 10:01:02 plkv openvpn[14801]: 192.168.5.199:1735 TLS Error: TLS
handshake failed
Конфиг на сервере:
port 1194
proto udp
dev tun
ca /var/lib/ssl/certs/openvpn-server-CA.crt
cert /var/lib/ssl/certs/openvpn-server.cert
key /var/lib/ssl/private/openvpn-server.key # This file should be kept
secret!
dh /var/lib/ssl/certs/dh1024.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.5.0 255.255.255.0"
client-to-client
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3
Конфиг клиента:
client
dev tun
proto udp
remote 123.456.789.123 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert Home.cert
key Home.key
comp-lzo
verb 5
Где-то я запутался, но не могу понять где. Помогите, пожалуйста.
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 6:15 [Comm] OpenVPN Vladimir Karpinsky
@ 2012-09-02 9:22 ` Michael A. Kangin
2012-09-02 10:55 ` Vladimir Karpinsky
2012-09-02 17:59 ` Michael Shigorin
1 sibling, 1 reply; 34+ messages in thread
From: Michael A. Kangin @ 2012-09-02 9:22 UTC (permalink / raw)
To: ALT Linux Community general discussions
On 09/02/2012 10:15 AM, Vladimir Karpinsky wrote:
> dh /var/lib/ssl/certs/dh1024.pem
как минимум этого вот нет на клиенте
ca одни и те же?
--
wbr, Michael A. Kangin
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 9:22 ` Michael A. Kangin
@ 2012-09-02 10:55 ` Vladimir Karpinsky
2012-09-02 11:14 ` Michael A. Kangin
0 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-02 10:55 UTC (permalink / raw)
To: community
02.09.2012 13:22, Michael A. Kangin пишет:
> On 09/02/2012 10:15 AM, Vladimir Karpinsky wrote:
>> dh /var/lib/ssl/certs/dh1024.pem
> как минимум этого вот нет на клиенте
Положил, результата нет
> ca одни и те же?
Подскажите, пожалуйста, где бы это было бы хорошо разжёвано, --- я до конца
не понимаю логики работы, и сомневаюсь, что правильно понимаю какие
сертификаты куда надо класть. То что я нашёл делается через easy-rsa. У нас
этого нет, и подробной документации с альт-спецификой найти тоже не могу.
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 10:55 ` Vladimir Karpinsky
@ 2012-09-02 11:14 ` Michael A. Kangin
2012-09-02 12:45 ` Vladimir Karpinsky
0 siblings, 1 reply; 34+ messages in thread
From: Michael A. Kangin @ 2012-09-02 11:14 UTC (permalink / raw)
To: ALT Linux Community general discussions
On 09/02/2012 02:55 PM, Vladimir Karpinsky wrote:
>>> >> dh /var/lib/ssl/certs/dh1024.pem
>> > как минимум этого вот нет на клиенте
> Положил, результата нет
А сам-то ключ положили? он идентичный серверному?
> Подскажите, пожалуйста, где бы это было бы хорошо разжёвано, --- я до конца
> не понимаю логики работы, и сомневаюсь, что правильно понимаю какие
> сертификаты куда надо класть. То что я нашёл делается через easy-rsa. У нас
> этого нет, и подробной документации с альт-спецификой найти тоже не могу.
openvpn может работать или со статичным ключом, одинаковым для клиента и
сервера, или с CA-инфраструктурой, когда есть один сертификат CA,
которому все доверяют, и по сертификато-ключу на каждый клиент и сервер.
Если вам нужно соединить только один клиент и один сервер, проще
воспользоваться статичным ключом.
Примеры конфигов для этого типа лежат в
/usr/share/doc/openvpn-docs-*/sample-config-files/static-*.conf
(должен быть установлен пакет openvpn-docs)
Иначе же разворачивайте CA-инфраструктуру, если вы не пользуетесь уже
какой-то готовой. Это вот easy-rsa я никогда почему-то не мог осилить,
оказалось проще ручками по многочисленным статьям
(например, http://www.opennet.ru/base/sec/openssl.txt.html)
Делаете себе самоподписанный x509 сертификат для CA, делаете сертификаты
для серверов и клиентов, указываете это всё в конфигах.
Примеры конфигов для этого типа:
/usr/share/doc/openvpn-docs-*/sample-config-files/server.conf
и /usr/share/doc/openvpn-docs-*/sample-config-files/client.conf
Там дофига комментариев, но почитать их душеполезно.
--
wbr, Michael A. Kangin
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 11:14 ` Michael A. Kangin
@ 2012-09-02 12:45 ` Vladimir Karpinsky
2012-09-02 12:56 ` Michael A. Kangin
0 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-02 12:45 UTC (permalink / raw)
To: community
02.09.2012 15:14, Michael A. Kangin пишет:
> On 09/02/2012 02:55 PM, Vladimir Karpinsky wrote:
>
>>>> >> dh /var/lib/ssl/certs/dh1024.pem
>>> > как минимум этого вот нет на клиенте
>> Положил, результата нет
> А сам-то ключ положили? он идентичный серверному?
dh1024.pem положил и написал про него в клиентский конфиг по аналогии с
серверным.
> Иначе же разворачивайте CA-инфраструктуру, если вы не пользуетесь уже
> какой-то готовой. Это вот easy-rsa я никогда почему-то не мог осилить,
> оказалось проще ручками по многочисленным статьям
Этот вариант мне надо реализовать. Я пытался ещё web-интерфейс альтератора
использовать, но по нему внешней документации вообще не нашёл, то что
внутри называется "справка" напоминает майкрософтовскую справку в её худшем
виде.
> (например, http://www.opennet.ru/base/sec/openssl.txt.html)
> Делаете себе самоподписанный x509 сертификат для CA, делаете сертификаты
> для серверов и клиентов, указываете это всё в конфигах.
> Примеры конфигов для этого типа:
> /usr/share/doc/openvpn-docs-*/sample-config-files/server.conf
> и /usr/share/doc/openvpn-docs-*/sample-config-files/client.conf
>
> Там дофига комментариев, но почитать их душеполезно.
Я никак до конца не могу расставить себе по полочкам что есть что среди:
openvpn-client-CA.crt
openvpn-server-CA.crt
openvpn-server.cert
openvpn-server.csr
openvpn-server.pem
openvpn-server.key
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 12:45 ` Vladimir Karpinsky
@ 2012-09-02 12:56 ` Michael A. Kangin
2012-09-02 13:15 ` Vladimir Karpinsky
0 siblings, 1 reply; 34+ messages in thread
From: Michael A. Kangin @ 2012-09-02 12:56 UTC (permalink / raw)
To: ALT Linux Community general discussions
On 09/02/2012 04:45 PM, Vladimir Karpinsky wrote:
> Я никак до конца не могу расставить себе по полочкам что есть что среди:
>
> openvpn-client-CA.crt
> openvpn-server-CA.crt
Это сертификат CA. Он должен быть единым для сервера и клиентов.
> openvpn-server.cert
> openvpn-server.csr
> openvpn-server.pem
Похоже, что это куча синонимов для одного и того же сертификата сервера.
> openvpn-server.key
Ключ для сервера.
А откуда это всё?
--
wbr, Michael A. Kangin
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 12:56 ` Michael A. Kangin
@ 2012-09-02 13:15 ` Vladimir Karpinsky
2012-09-02 14:35 ` Michael A. Kangin
0 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-02 13:15 UTC (permalink / raw)
To: community
02.09.2012 16:56, Michael A. Kangin пишет:
> On 09/02/2012 04:45 PM, Vladimir Karpinsky wrote:
>
>> Я никак до конца не могу расставить себе по полочкам что есть что среди:
>>
>> openvpn-client-CA.crt
>> openvpn-server-CA.crt
>
> Это сертификат CA. Он должен быть единым для сервера и клиентов.
Там ещё есть ca-root.pem, он, правда, совпадает с openvpn-client-CA.crt.
>> openvpn-server.cert
>> openvpn-server.csr
>> openvpn-server.pem
>
> Похоже, что это куча синонимов для одного и того же сертификата сервера.
Увы, они разные
>> openvpn-server.key
>
> Ключ для сервера.
>
> А откуда это всё?
# ls /var/lib/ssl/certs/op* -l
-rw------- 1 root root 3380 Сен 2 00:01
/var/lib/ssl/certs/openvpn-client-CA.crt
-rw------- 2 root root 782 Май 10 20:59
/var/lib/ssl/certs/openvpn-server-CA.crt
-rw-r--r-- 2 root root 810 Сен 1 22:47 /var/lib/ssl/certs/openvpn-server.cert
-rw-r--r-- 1 root root 668 Сен 1 21:30 /var/lib/ssl/certs/openvpn-server.csr
lrwxrwxrwx 1 root root 19 Сен 1 22:47
/var/lib/ssl/certs/openvpn-server.pem -> openvpn-server.cert
Всё это произведено альтератором, вчера я ещё добавил ;-)
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 13:15 ` Vladimir Karpinsky
@ 2012-09-02 14:35 ` Michael A. Kangin
2012-09-02 15:17 ` Vladimir Karpinsky
2012-09-02 16:02 ` Vladimir Karpinsky
0 siblings, 2 replies; 34+ messages in thread
From: Michael A. Kangin @ 2012-09-02 14:35 UTC (permalink / raw)
To: ALT Linux Community general discussions
On 09/02/2012 05:15 PM, Vladimir Karpinsky wrote:
Наверное, если нужны не шашечки, а ехать, лучше почитать документацию на
openvpn, openssl и добиться работающего решения.
А потом, на досуге, с пониманием того, как должно быть, можно и работу
альтератора поизучать.
--
wbr, Michael A. Kangin
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 14:35 ` Michael A. Kangin
@ 2012-09-02 15:17 ` Vladimir Karpinsky
2012-09-02 16:02 ` Vladimir Karpinsky
1 sibling, 0 replies; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-02 15:17 UTC (permalink / raw)
To: community
02.09.2012 18:35, Michael A. Kangin пишет:
> On 09/02/2012 05:15 PM, Vladimir Karpinsky wrote:
>
> Наверное, если нужны не шашечки, а ехать, лучше почитать документацию на
> openvpn, openssl и добиться работающего решения.
> А потом, на досуге, с пониманием того, как должно быть, можно и работу
> альтератора поизучать.
Тут не всё так однозначно: сделать надо 1 раз и надолго, боюсь, что даже,
если всерьёз разберусь, то к следующему разу (не факт, что он возникнет
вообще) забуду, поскольку это далеко не основная работа. Поэтому я бы
предпочёл пошаговое решение с пояснениями, --- думаю, что, с учётом уже
прочитанного, понимание может придти по ходу. Я просто надеялся, что коль
скоро создан "интуитивно-понятный" web-интерфейс, то это можно будет просто
использовать и получить результат, но увы...
Ещё чуть потрепыхаюсь, а потом пойду учиться...
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 14:35 ` Michael A. Kangin
2012-09-02 15:17 ` Vladimir Karpinsky
@ 2012-09-02 16:02 ` Vladimir Karpinsky
2012-09-02 16:41 ` Michael A. Kangin
1 sibling, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-02 16:02 UTC (permalink / raw)
To: community
02.09.2012 18:35, Michael A. Kangin пишет:
> Наверное, если нужны не шашечки, а ехать, лучше почитать документацию на
> openvpn, openssl и добиться работающего решения.
Попробую задать конкретный вопрос:
На сервере есть сертификаты и ключ, описанные в конфиге:
ca /var/lib/ssl/certs/openvpn-server-CA.crt
cert /var/lib/ssl/certs/openvpn-server.cert
key /var/lib/ssl/private/openvpn-server.key
dh /var/lib/ssl/certs/dh1024.pem
Есть ещё сертификаты для клиентов, например:
Home.cert
Home.csr
Home.key
Что из этого должно лежать на клиенте и как оно должно быть описано в
клиентском конфиге? Где на сервере должны быть описаны клиентские
сертификаты? Клиент --- Windows, но, вероятно, это не принципиально, конфиг
там аналогичный.
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 16:02 ` Vladimir Karpinsky
@ 2012-09-02 16:41 ` Michael A. Kangin
2012-09-02 17:51 ` Vladimir Karpinsky
0 siblings, 1 reply; 34+ messages in thread
From: Michael A. Kangin @ 2012-09-02 16:41 UTC (permalink / raw)
To: ALT Linux Community general discussions
On 09/02/2012 08:02 PM, Vladimir Karpinsky wrote:
> На сервере есть сертификаты и ключ, описанные в конфиге:
>
> ca /var/lib/ssl/certs/openvpn-server-CA.crt
> cert /var/lib/ssl/certs/openvpn-server.cert
> key /var/lib/ssl/private/openvpn-server.key
> dh /var/lib/ssl/certs/dh1024.pem
>
> Есть ещё сертификаты для клиентов, например:
>
> Home.cert
> Home.csr
Вот я не знаю который из них у вас сертификат, подписанный
вышеупомянутым openvpn-server-CA.crt и с соответствующим нижеупомянутым
Home.key
> Home.key
>
> Что из этого должно лежать на клиенте и как оно должно быть описано в
> клиентском конфиге?
На клиенте должен лежать сертификат CA, подписанный им клиентский
сертификат, и ключ, соответствующий клиентскому сертификату.
> Где на сервере должны быть описаны клиентские
> сертификаты?
Нигде. При установке соединения клиент предъявляет свой сертификат, а
сервер проверяет, что он, сертификат, подписан тем сертификатом CA,
которому он, сервер, доверяет.
> Клиент --- Windows, но, вероятно, это не принципиально, конфиг
> там аналогичный.
>
--
wbr, Michael A. Kangin
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 16:41 ` Michael A. Kangin
@ 2012-09-02 17:51 ` Vladimir Karpinsky
2012-09-02 18:31 ` Vladimir Karpinsky
0 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-02 17:51 UTC (permalink / raw)
To: community
02.09.2012 20:41, Michael A. Kangin пишет:
> На клиенте должен лежать сертификат CA, подписанный им клиентский
> сертификат, и ключ, соответствующий клиентскому сертификату.
Решил плясать от печки, но столкнулся с тем, что в openssl.conf
предполагается строка:
database = $dir/index.txt
Но я нигде ни в чруте, ни в /etc такого файла не вижу, без этого не
проходит подписывание.
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 6:15 [Comm] OpenVPN Vladimir Karpinsky
2012-09-02 9:22 ` Michael A. Kangin
@ 2012-09-02 17:59 ` Michael Shigorin
1 sibling, 0 replies; 34+ messages in thread
From: Michael Shigorin @ 2012-09-02 17:59 UTC (permalink / raw)
To: ALT Linux Community general discussions
On Sun, Sep 02, 2012 at 10:15:26AM +0400, Vladimir Karpinsky wrote:
> Пытаюсь поднять OpenVPN сервер и подключиться к нему из-под Windows. Нашёл
> ветку на форуме (http://forum.altlinux.org/index.php?topic=10782.0), где
> добрый человек по имени freeak достаточно подробно объясняет, как это
> делать через web-интерфейс (помощь в этом интерфейсе может помочь только
> тому, кто и без неё знает, что надо делать).
Это, кстати, повод повесить багу со ссылкой на пояснение
человеческим языком.
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ Linux.Kiev http://www.linux.kiev.ua/
---- Sep 29, Kiev, Ukraine:
-- http://conference.osdn.org.ua
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 17:51 ` Vladimir Karpinsky
@ 2012-09-02 18:31 ` Vladimir Karpinsky
2012-09-02 19:27 ` Michael A. Kangin
0 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-02 18:31 UTC (permalink / raw)
To: community
02.09.2012 21:51, Vladimir Karpinsky пишет:
> Решил плясать от печки
Прошёл ещё раз по всем позициям, соединение установить удалось. Но ping
идёт от клиента к серверу, а наоборот нет, это так и должно быть?
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 18:31 ` Vladimir Karpinsky
@ 2012-09-02 19:27 ` Michael A. Kangin
2012-09-03 10:01 ` Vladimir Karpinsky
2012-09-04 7:05 ` Vladimir Karpinsky
0 siblings, 2 replies; 34+ messages in thread
From: Michael A. Kangin @ 2012-09-02 19:27 UTC (permalink / raw)
To: ALT Linux Community general discussions
On 09/02/2012 10:31 PM, Vladimir Karpinsky wrote:
> Прошёл ещё раз по всем позициям, соединение установить удалось. Но ping
> идёт от клиента к серверу, а наоборот нет, это так и должно быть?
Виндусы после XP вроде гордо перестали отвечать на пинги - фильтруют
ICMP на файрволе.
--
wbr, Michael A. Kangin
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 19:27 ` Michael A. Kangin
@ 2012-09-03 10:01 ` Vladimir Karpinsky
2012-09-04 7:05 ` Vladimir Karpinsky
1 sibling, 0 replies; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-03 10:01 UTC (permalink / raw)
To: community
02.09.2012 23:27, Michael A. Kangin пишет:
> On 09/02/2012 10:31 PM, Vladimir Karpinsky wrote:
>
>> Прошёл ещё раз по всем позициям, соединение установить удалось. Но ping
>> идёт от клиента к серверу, а наоборот нет, это так и должно быть?
>
> Виндусы после XP вроде гордо перестали отвечать на пинги - фильтруют ICMP
> на файрволе.
Да, всё верно --- это файрвол. Спасибо!
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-02 19:27 ` Michael A. Kangin
2012-09-03 10:01 ` Vladimir Karpinsky
@ 2012-09-04 7:05 ` Vladimir Karpinsky
2012-09-04 13:22 ` Michael Shigorin
1 sibling, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-04 7:05 UTC (permalink / raw)
To: community
Здравствуйте!
Вроде разобрался, даже какое-то понимание появилось. Спасибо Михаилу
Кангину за помощь и терпение в наставлении на путь истинный. Теперь
возникло несколько вопросов надёжности, удобства пользования, стратегии:
1. Останавливаю сервер. После рестарта сервера, клиент соединится не может
(ping, ssh), соединение происходит только после рестарта клиента. Это так и
должно быть? Как бы сделать так, чтобы рестарт сервера не вызывал
"отсыхание" клиента? Перезапускать клиентов каждый раз руками может
оказаться не только сложно, но даже невозможно. С Линуксовым клиентом чуть
проще --- можно написать скрипт, который в отсутствие отклика на пинг будет
перезапускать службу openvpn. С Виндами такое тоже можно сделать, но
несколько сложнее, тем более, что клиенты "дохленькие" и не хотелось бы их
грузить дополнительными задачами. Очень надеюсь, что для этого есть
какое-нибудь "встроенное" решение.
2. Существует ли механизм "резервирования" сервера: подключение к
резервному серверу, если основной оказывается недоступным.
3. Правильно ли я понимаю, что при кажущейся прозрачности работы одного
клиента с другим, весь трафик идёт через сервер?
4. Имея всего десяток клиентов, не очень трудно запомнить/записать их
адреса, но удобнее работать с именами. Понятно, что DNS-сервер в этом
должен помочь, но он должен работать исключительно на tun-интерфейс.
Посмотрел на настройки DNS-сервера в web-интерфейсе Ковчега, обновлённого
до p6, и такой возможности не увидел. Подскажите, пожалуйста, какое-нибудь
несложное решение этой проблемы. С настройкой DNS-сервера до сих пор дела
не имел.
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 7:05 ` Vladimir Karpinsky
@ 2012-09-04 13:22 ` Michael Shigorin
2012-09-04 13:31 ` Vladimir Karpinsky
` (3 more replies)
0 siblings, 4 replies; 34+ messages in thread
From: Michael Shigorin @ 2012-09-04 13:22 UTC (permalink / raw)
To: community
On Tue, Sep 04, 2012 at 11:05:50AM +0400, Vladimir Karpinsky wrote:
> Как бы сделать так, чтобы рестарт сервера не вызывал
> "отсыхание" клиента?
Попробуйте добавить в конфигурацию клиента что-то вроде
ping-restart 2 (значение таймаута подберите по обстоятельствам).
> 4. Имея всего десяток клиентов, не очень трудно
> запомнить/записать их адреса, но удобнее работать с именами.
> Понятно, что DNS-сервер в этом должен помочь, но он должен
> работать исключительно на tun-интерфейс. Посмотрел на
> настройки DNS-сервера в web-интерфейсе Ковчега, обновлённого до
> p6, и такой возможности не увидел. Подскажите, пожалуйста,
> какое-нибудь несложное решение этой проблемы. С настройкой
> DNS-сервера до сих пор дела не имел.
Могу только заметить, что в 1998/1999 у меня прочтение DNS-HOWTO
и настройка прямой/обратной зоны заняли что-то в районе получаса.
Т.е. это можно брать как примерную верхнюю границу разумных трат
времени на простенький DNS :)
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ Linux.Kiev http://www.linux.kiev.ua/
---- Sep 29, Kiev, Ukraine:
-- http://conference.osdn.org.ua
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 13:22 ` Michael Shigorin
@ 2012-09-04 13:31 ` Vladimir Karpinsky
2012-09-04 13:41 ` Vladimir Karpinsky
` (2 subsequent siblings)
3 siblings, 0 replies; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-04 13:31 UTC (permalink / raw)
To: community
04.09.2012 17:22, Michael Shigorin пишет:
> On Tue, Sep 04, 2012 at 11:05:50AM +0400, Vladimir Karpinsky wrote:
>> Как бы сделать так, чтобы рестарт сервера не вызывал
>> "отсыхание" клиента?
>
> Попробуйте добавить в конфигурацию клиента что-то вроде
> ping-restart 2 (значение таймаута подберите по обстоятельствам).
на ping-restart ругается, что нет такой опции (или я её неправильно
готовлю), но то ли надо было просто подождать, то ли keepalive 10 120 помогло.
>> 4. Имея всего десяток клиентов, не очень трудно
>> запомнить/записать их адреса, но удобнее работать с именами.
>> Понятно, что DNS-сервер в этом должен помочь, но он должен
>> работать исключительно на tun-интерфейс. Посмотрел на
>> настройки DNS-сервера в web-интерфейсе Ковчега, обновлённого до
>> p6, и такой возможности не увидел. Подскажите, пожалуйста,
>> какое-нибудь несложное решение этой проблемы. С настройкой
>> DNS-сервера до сих пор дела не имел.
>
> Могу только заметить, что в 1998/1999 у меня прочтение DNS-HOWTO
> и настройка прямой/обратной зоны заняли что-то в районе получаса.
> Т.е. это можно брать как примерную верхнюю границу разумных трат
> времени на простенький DNS :)
Просто очередной раз решил воспользоваться альтератором, но похоже опять
облом ;-)
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 13:22 ` Michael Shigorin
2012-09-04 13:31 ` Vladimir Karpinsky
@ 2012-09-04 13:41 ` Vladimir Karpinsky
2012-09-04 14:19 ` Dmitriy Kruglikov
2012-09-07 10:04 ` Michael Shigorin
2012-09-13 15:06 ` Vladimir Karpinsky
3 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-04 13:41 UTC (permalink / raw)
To: community
Тут ещё натолкнулся:
при поднятом VPN (10.8...) с Вин-клиента пытаюсь попасть через ssh в
локальной сети на 192.168... и не получается. Tracert явно показывает, что
пытаюсь ломится через 10.8.0.1. Выход во внешний мир при этом происходит
без проблем. Стоит опустить VPN, как всё получается. Т.е. имею какие-то
проблемы с маршрутизацией, коннект идёт через VPNовский интерфейс вместо
того чтобы идти по локальной сети. Как это можно побороть?
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 13:41 ` Vladimir Karpinsky
@ 2012-09-04 14:19 ` Dmitriy Kruglikov
2012-09-04 14:41 ` Vladimir Karpinsky
0 siblings, 1 reply; 34+ messages in thread
From: Dmitriy Kruglikov @ 2012-09-04 14:19 UTC (permalink / raw)
To: ALT Linux Community general discussions
4 сентября 2012 г., 16:41 пользователь Vladimir Karpinsky написал:
> Как это можно побороть?
Посмотреть таблицу маршрутов, чтоб понять, кто и куда развернулся.
Рулить маршрутизацией после старта VPN.
--
Best regards,
Dmitriy Kruglikov.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 14:19 ` Dmitriy Kruglikov
@ 2012-09-04 14:41 ` Vladimir Karpinsky
2012-09-04 15:55 ` Dmitriy Kruglikov
0 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-04 14:41 UTC (permalink / raw)
To: community
04.09.2012 18:19, Dmitriy Kruglikov пишет:
> 4 сентября 2012 г., 16:41 пользователь Vladimir Karpinsky написал:
>> Как это можно побороть?
> Посмотреть таблицу маршрутов, чтоб понять, кто и куда развернулся.
> Рулить маршрутизацией после старта VPN.
С VPN
IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.5.1 192.168.5.155 25
10.8.0.0 255.255.255.0 10.8.0.9 10.8.0.10 30
10.8.0.8 255.255.255.252 On-link 10.8.0.10 286
10.8.0.10 255.255.255.255 On-link 10.8.0.10 286
10.8.0.11 255.255.255.255 On-link 10.8.0.10 286
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
192.168.5.0 255.255.255.0 On-link 192.168.5.155 281
192.168.5.0 255.255.255.0 10.8.0.9 10.8.0.10 30
192.168.5.155 255.255.255.255 On-link 192.168.5.155 281
192.168.5.255 255.255.255.255 On-link 192.168.5.155 281
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 10.8.0.10 286
224.0.0.0 240.0.0.0 On-link 192.168.5.155 281
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 10.8.0.10 286
255.255.255.255 255.255.255.255 On-link 192.168.5.155 281
===========================================================================
Без
IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.5.1 192.168.5.155 25
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
192.168.5.0 255.255.255.0 On-link 192.168.5.155 281
192.168.5.155 255.255.255.255 On-link 192.168.5.155 281
192.168.5.255 255.255.255.255 On-link 192.168.5.155 281
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 192.168.5.155 281
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 192.168.5.155 281
===========================================================================
Что-то здесь явно неправильно, но знаний понять что пока явно не хватает...
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 14:41 ` Vladimir Karpinsky
@ 2012-09-04 15:55 ` Dmitriy Kruglikov
2012-09-04 16:29 ` Mikhail Efremov
0 siblings, 1 reply; 34+ messages in thread
From: Dmitriy Kruglikov @ 2012-09-04 15:55 UTC (permalink / raw)
To: ALT Linux Community general discussions
4 сентября 2012 г., 17:41 пользователь Vladimir Karpinsky написал:
>
> Что-то здесь явно неправильно, но знаний понять что пока явно не хватает...
192.168.5.0 255.255.255.0 On-link 192.168.5.155 281
192.168.5.0 255.255.255.0 10.8.0.9 10.8.0.10 30
Метрика маршрута через 10.8.0.9 меньше, чем метрика маршрута через 192.168.5.155
Традиционные вопросы "какого?" и "как?"
В смысле, зачем и каким образом маршрут на локальный сегмент через VPN
попадает в таблицу маршрутизации?
--
Best regards,
Dmitriy Kruglikov.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 15:55 ` Dmitriy Kruglikov
@ 2012-09-04 16:29 ` Mikhail Efremov
2012-09-04 16:45 ` Vladimir Karpinsky
2012-09-05 4:38 ` Vladimir Karpinsky
0 siblings, 2 replies; 34+ messages in thread
From: Mikhail Efremov @ 2012-09-04 16:29 UTC (permalink / raw)
To: community
On Tue, 4 Sep 2012 18:55:48 +0300 Dmitriy Kruglikov wrote:
> 4 сентября 2012 г., 17:41 пользователь Vladimir Karpinsky написал:
>
> >
> > Что-то здесь явно неправильно, но знаний понять что пока явно не хватает...
> 192.168.5.0 255.255.255.0 On-link 192.168.5.155 281
> 192.168.5.0 255.255.255.0 10.8.0.9 10.8.0.10 30
>
> Метрика маршрута через 10.8.0.9 меньше, чем метрика маршрута через 192.168.5.155
> Традиционные вопросы "какого?" и "как?"
> В смысле, зачем и каким образом маршрут на локальный сегмент через VPN
> попадает в таблицу маршрутизации?
Надо в первую очередь смотреть конфигурацию сервера. Если там сказано,
что такой маршрут через VPN, то на клиенте так и будет.
--
WBR, Mikhail Efremov
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 16:29 ` Mikhail Efremov
@ 2012-09-04 16:45 ` Vladimir Karpinsky
2012-09-04 16:52 ` Vladimir Karpinsky
2012-09-05 4:38 ` Vladimir Karpinsky
1 sibling, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-04 16:45 UTC (permalink / raw)
To: community
04.09.2012 20:29, Mikhail Efremov пишет:
> On Tue, 4 Sep 2012 18:55:48 +0300 Dmitriy Kruglikov wrote:
>> 4 сентября 2012 г., 17:41 пользователь Vladimir Karpinsky написал:
>>
>>>
>>> Что-то здесь явно неправильно, но знаний понять что пока явно не хватает...
>> 192.168.5.0 255.255.255.0 On-link 192.168.5.155 281
>> 192.168.5.0 255.255.255.0 10.8.0.9 10.8.0.10 30
>>
>> Метрика маршрута через 10.8.0.9 меньше, чем метрика маршрута через 192.168.5.155
>> Традиционные вопросы "какого?" и "как?"
>> В смысле, зачем и каким образом маршрут на локальный сегмент через VPN
>> попадает в таблицу маршрутизации?
>
> Надо в первую очередь смотреть конфигурацию сервера. Если там сказано,
> что такой маршрут через VPN, то на клиенте так и будет.
Откуда-то брал пример ccd/client
push "route 10.8.0.0 255.255.255.0"
ifconfig-push 10.8.0.10 10.8.0.9
Видимо этот route и портит жизнь, оставил только последнюю строку.
Теперь таблица такая:
IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.5.1 192.168.5.155 25
10.8.0.0 255.255.255.0 10.8.0.9 10.8.0.10 30
10.8.0.8 255.255.255.252 On-link 10.8.0.10 286
10.8.0.10 255.255.255.255 On-link 10.8.0.10 286
10.8.0.11 255.255.255.255 On-link 10.8.0.10 286
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
192.168.5.0 255.255.255.0 On-link 192.168.5.155 281
192.168.5.155 255.255.255.255 On-link 192.168.5.155 281
192.168.5.255 255.255.255.255 On-link 192.168.5.155 281
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 10.8.0.10 286
224.0.0.0 240.0.0.0 On-link 192.168.5.155 281
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 10.8.0.10 286
255.255.255.255 255.255.255.255 On-link 192.168.5.155 281
===========================================================================
Вроде, проблемы исчезли.
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 16:45 ` Vladimir Karpinsky
@ 2012-09-04 16:52 ` Vladimir Karpinsky
2012-09-04 17:59 ` Vladimir Karpinsky
0 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-04 16:52 UTC (permalink / raw)
To: community
> Откуда-то брал пример ccd/client
>
> push "route 10.8.0.0 255.255.255.0"
> ifconfig-push 10.8.0.10 10.8.0.9
> Вроде, проблемы исчезли.
Не вру, всё то же самое. Помогло добавление строки
iroute 192.168.5.0 255.255.255.0
И после этого строку с route можно удалять, а можно и оставить.
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 16:52 ` Vladimir Karpinsky
@ 2012-09-04 17:59 ` Vladimir Karpinsky
2012-09-04 19:17 ` Serge Boudnik
0 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-04 17:59 UTC (permalink / raw)
To: community
04.09.2012 20:52, Vladimir Karpinsky пишет:
> Не вру, всё то же самое. Помогло добавление строки
>
> iroute 192.168.5.0 255.255.255.0
Тут, правда, есть грабля: я завтра с этим ноутбуком приду в сеть
192.168.15, а потом ещё куда, и мне придётся опять править этот файл. М.б.
как-то можно это автоматизировать?
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 17:59 ` Vladimir Karpinsky
@ 2012-09-04 19:17 ` Serge Boudnik
0 siblings, 0 replies; 34+ messages in thread
From: Serge Boudnik @ 2012-09-04 19:17 UTC (permalink / raw)
To: ALT Linux Community general discussions
04.09.2012 20:59, Vladimir Karpinsky пишет:
> 04.09.2012 20:52, Vladimir Karpinsky пишет:
>> Не вру, всё то же самое. Помогло добавление строки
>>
>> iroute 192.168.5.0 255.255.255.0
>
> Тут, правда, есть грабля: я завтра с этим ноутбуком приду в сеть
> 192.168.15, а потом ещё куда, и мне придётся опять править этот файл.
> М.б. как-то можно это автоматизировать?
>
Судя по симптомам, ovpn переназначает default router.
Эта можно отключить в конфиге.
--
WBR, Serge Boudnik
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 16:29 ` Mikhail Efremov
2012-09-04 16:45 ` Vladimir Karpinsky
@ 2012-09-05 4:38 ` Vladimir Karpinsky
1 sibling, 0 replies; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-05 4:38 UTC (permalink / raw)
To: community
04.09.2012 20:29, Mikhail Efremov пишет:
> On Tue, 4 Sep 2012 18:55:48 +0300 Dmitriy Kruglikov wrote:
>> 4 сентября 2012 г., 17:41 пользователь Vladimir Karpinsky написал:
>>
>>>
>>> Что-то здесь явно неправильно, но знаний понять что пока явно не хватает...
>> 192.168.5.0 255.255.255.0 On-link 192.168.5.155 281
>> 192.168.5.0 255.255.255.0 10.8.0.9 10.8.0.10 30
>>
>> Метрика маршрута через 10.8.0.9 меньше, чем метрика маршрута через 192.168.5.155
>> Традиционные вопросы "какого?" и "как?"
>> В смысле, зачем и каким образом маршрут на локальный сегмент через VPN
>> попадает в таблицу маршрутизации?
>
> Надо в первую очередь смотреть конфигурацию сервера. Если там сказано,
> что такой маршрут через VPN, то на клиенте так и будет.
Нашёл ошибку: в конфиге сервера была раскомментирована строка:
push "route 192.168.5.0 255.255.255.0"
По всей видимости случайно...
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 13:22 ` Michael Shigorin
2012-09-04 13:31 ` Vladimir Karpinsky
2012-09-04 13:41 ` Vladimir Karpinsky
@ 2012-09-07 10:04 ` Michael Shigorin
2012-09-07 10:13 ` Vladimir Karpinsky
2012-09-13 15:06 ` Vladimir Karpinsky
3 siblings, 1 reply; 34+ messages in thread
From: Michael Shigorin @ 2012-09-07 10:04 UTC (permalink / raw)
To: community
On Tue, Sep 04, 2012 at 04:22:27PM +0300, I wrote:
> > Как бы сделать так, чтобы рестарт сервера не вызывал
> > "отсыхание" клиента?
> Попробуйте добавить в конфигурацию клиента что-то вроде
> ping-restart 2 (значение таймаута подберите по обстоятельствам).
Совет был крайне поспешным (не заметил сразу, т.к. обычно syslog
заглушен по причине SSD, а документацию читал наспех). Читать как:
ping 2
ping-restart 10
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ Linux.Kiev http://www.linux.kiev.ua/
---- Sep 29, Kiev, Ukraine:
-- http://conference.osdn.org.ua
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-07 10:04 ` Michael Shigorin
@ 2012-09-07 10:13 ` Vladimir Karpinsky
0 siblings, 0 replies; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-07 10:13 UTC (permalink / raw)
To: community
07.09.2012 14:04, Michael Shigorin пишет:
> On Tue, Sep 04, 2012 at 04:22:27PM +0300, I wrote:
>>> Как бы сделать так, чтобы рестарт сервера не вызывал
>>> "отсыхание" клиента?
>> Попробуйте добавить в конфигурацию клиента что-то вроде
>> ping-restart 2 (значение таймаута подберите по обстоятельствам).
>
> Совет был крайне поспешным (не заметил сразу, т.к. обычно syslog
> заглушен по причине SSD, а документацию читал наспех). Читать как:
>
> ping 2
> ping-restart 10
У меня пока работает
keepalive 10 120
Я так понимаю, что это практически одно и то же, с ping-restart их
одновременно запихивать нельзя, openvpn даже ругается на это при запуске.
Понаблюдаю, если будут проблемы, попробую это вариант. Спасибо!
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-04 13:22 ` Michael Shigorin
` (2 preceding siblings ...)
2012-09-07 10:04 ` Michael Shigorin
@ 2012-09-13 15:06 ` Vladimir Karpinsky
2012-09-13 17:33 ` Mikhail Efremov
3 siblings, 1 reply; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-13 15:06 UTC (permalink / raw)
To: community
04.09.2012 17:22, Michael Shigorin пишет:
> Могу только заметить, что в 1998/1999 у меня прочтение DNS-HOWTO
> и настройка прямой/обратной зоны заняли что-то в районе получаса.
> Т.е. это можно брать как примерную верхнюю границу разумных трат
> времени на простенький DNS:)
Поднять поднял, но не понимаю, как объяснить клиентам, что им надо
пользоваться. Добавил в настройки openvpn сервера
push "dhcp-option DNS 10.8.0.1"
push "dhcp-option DOMAIN vpn.qqq"
DNS сервер у клиента прорезался, а, вот, суффикс нет.
Но и это полбеды, при попытке nslookup'нуть что-нибудь туннельное без
указания DNS сервера, всё равно лезет на дефолтный DNS. Можно как-то
объяснить, что, если надо лезть в туннельный интерфейс, то DNS надо
использовать соответствующий.
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-13 15:06 ` Vladimir Karpinsky
@ 2012-09-13 17:33 ` Mikhail Efremov
2012-09-13 18:26 ` Vladimir Karpinsky
0 siblings, 1 reply; 34+ messages in thread
From: Mikhail Efremov @ 2012-09-13 17:33 UTC (permalink / raw)
To: ALT Linux Community general discussions
On Thu, 13 Sep 2012 19:06:46 +0400 Vladimir Karpinsky wrote:
> 04.09.2012 17:22, Michael Shigorin пишет:
> > Могу только заметить, что в 1998/1999 у меня прочтение DNS-HOWTO
> > и настройка прямой/обратной зоны заняли что-то в районе получаса.
> > Т.е. это можно брать как примерную верхнюю границу разумных трат
> > времени на простенький DNS:)
>
> Поднять поднял, но не понимаю, как объяснить клиентам, что им надо
> пользоваться. Добавил в настройки openvpn сервера
> push "dhcp-option DNS 10.8.0.1"
> push "dhcp-option DOMAIN vpn.qqq"
>
> DNS сервер у клиента прорезался, а, вот, суффикс нет.
Странно. И адрес сервера тоже не должен был сам собою попасть
в /etc/resolv.conf. Кто-то его туда записал. При настройке с помощью
etcnet это можно делать ifup-post скриптом. Так делает альтераторный
модуль, например.
> Но и это полбеды, при попытке nslookup'нуть что-нибудь туннельное без
> указания DNS сервера, всё равно лезет на дефолтный DNS. Можно как-то
> объяснить, что, если надо лезть в туннельный интерфейс, то DNS надо
> использовать соответствующий.
Это делается с помощью локального DNS-сервера на клиенте. Я для этого
использую dnsmasq. А у resolvconf есть полезная опция -p, специально на
такой случай.
--
WBR, Mikhail Efremov
^ permalink raw reply [flat|nested] 34+ messages in thread
* Re: [Comm] OpenVPN
2012-09-13 17:33 ` Mikhail Efremov
@ 2012-09-13 18:26 ` Vladimir Karpinsky
0 siblings, 0 replies; 34+ messages in thread
From: Vladimir Karpinsky @ 2012-09-13 18:26 UTC (permalink / raw)
To: community
13.09.2012 21:33, Mikhail Efremov пишет:
>> Поднять поднял, но не понимаю, как объяснить клиентам, что им надо
>> пользоваться. Добавил в настройки openvpn сервера
>> push "dhcp-option DNS 10.8.0.1"
>> push "dhcp-option DOMAIN vpn.qqq"
>>
>> DNS сервер у клиента прорезался, а, вот, суффикс нет.
>
> Странно. И адрес сервера тоже не должен был сам собою попасть
> в /etc/resolv.conf. Кто-то его туда записал. При настройке с помощью
> etcnet это можно делать ifup-post скриптом. Так делает альтераторный
> модуль, например.
Я смотрю по виндовому клиенту, --- там после "push DNS...", этот DNS
появляется в свойствах подключения, но не используется. В линуксовом
клиенте в resolv.conf ничего не попадает.
>> Но и это полбеды, при попытке nslookup'нуть что-нибудь туннельное без
>> указания DNS сервера, всё равно лезет на дефолтный DNS. Можно как-то
>> объяснить, что, если надо лезть в туннельный интерфейс, то DNS надо
>> использовать соответствующий.
>
> Это делается с помощью локального DNS-сервера на клиенте. Я для этого
> использую dnsmasq.
Вот только что делать, когда клиенты виндовые и дохлые (расчитанные только
на сбор данных с железяки и отправку их в "Центр").
> А у resolvconf есть полезная опция -p, специально на
> такой случай.
Что-то в мане про -p не шибко подробно написано...
В конце концов без этого можно жить, я очередной раз надеялся, что сделаю
жизнь удобнее малой кровью.
--
С уважением,
Владимир.
^ permalink raw reply [flat|nested] 34+ messages in thread
end of thread, other threads:[~2012-09-13 18:26 UTC | newest]
Thread overview: 34+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2012-09-02 6:15 [Comm] OpenVPN Vladimir Karpinsky
2012-09-02 9:22 ` Michael A. Kangin
2012-09-02 10:55 ` Vladimir Karpinsky
2012-09-02 11:14 ` Michael A. Kangin
2012-09-02 12:45 ` Vladimir Karpinsky
2012-09-02 12:56 ` Michael A. Kangin
2012-09-02 13:15 ` Vladimir Karpinsky
2012-09-02 14:35 ` Michael A. Kangin
2012-09-02 15:17 ` Vladimir Karpinsky
2012-09-02 16:02 ` Vladimir Karpinsky
2012-09-02 16:41 ` Michael A. Kangin
2012-09-02 17:51 ` Vladimir Karpinsky
2012-09-02 18:31 ` Vladimir Karpinsky
2012-09-02 19:27 ` Michael A. Kangin
2012-09-03 10:01 ` Vladimir Karpinsky
2012-09-04 7:05 ` Vladimir Karpinsky
2012-09-04 13:22 ` Michael Shigorin
2012-09-04 13:31 ` Vladimir Karpinsky
2012-09-04 13:41 ` Vladimir Karpinsky
2012-09-04 14:19 ` Dmitriy Kruglikov
2012-09-04 14:41 ` Vladimir Karpinsky
2012-09-04 15:55 ` Dmitriy Kruglikov
2012-09-04 16:29 ` Mikhail Efremov
2012-09-04 16:45 ` Vladimir Karpinsky
2012-09-04 16:52 ` Vladimir Karpinsky
2012-09-04 17:59 ` Vladimir Karpinsky
2012-09-04 19:17 ` Serge Boudnik
2012-09-05 4:38 ` Vladimir Karpinsky
2012-09-07 10:04 ` Michael Shigorin
2012-09-07 10:13 ` Vladimir Karpinsky
2012-09-13 15:06 ` Vladimir Karpinsky
2012-09-13 17:33 ` Mikhail Efremov
2012-09-13 18:26 ` Vladimir Karpinsky
2012-09-02 17:59 ` Michael Shigorin
ALT Linux Community general discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/community/0 community/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 community community/ http://lore.altlinux.org/community \
mandrake-russian@linuxteam.iplabs.ru community@lists.altlinux.org community@lists.altlinux.ru community@lists.altlinux.com
public-inbox-index community
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.community
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git