[Sysadmins] ovpn on multihomed server

[Sysadmins] ovpn on multihomed server

[Alexander Volkov]

Hi!
Есть сервер на 2.4, смотрящий в 3 провайдеров. На ём поднят openvpn,
policy routing подразумевает, что пакет, пришедший на один из интерфейсов,
с него же и уходит, но дефолтный шлюз один.
Так вот, установить vpn соединение можно только с интерфейсом этого
дефолтного шлюза... Хотя апач, к примеру, отзывается на всех трёх
нормально.
Фаерволом пакеты не режутся, в логах бы видел...
Где б что ещё посмотреть?

--
 Regards, Alexander

Re: [Sysadmins] ovpn on multihomed server

[Nikolay A. Fetisov]

On Mon, 23 Oct 2006 14:36:14 +0400
Alexander Volkov wrote:

> Есть сервер на 2.4, смотрящий в 3 провайдеров. На ём поднят openvpn,
> policy routing подразумевает, что пакет, пришедший на один из интерфейсов,
> с него же и уходит, но дефолтный шлюз один.
> Так вот, установить vpn соединение можно только с интерфейсом этого
> дефолтного шлюза... Хотя апач, к примеру, отзывается на всех трёх
> нормально.
> Фаерволом пакеты не режутся, в логах бы видел...
> Где б что ещё посмотреть?

А что пишет-то openvpn? С увеличенным значением verb?

Хотя, скорее всего, смотреть надо на настройки маршрутизации.
Особенно в отношении UDP-пакетов, исходя из того, что Apache работает.

-- 
С уважением,	
Николай Фетисов

Re: [Sysadmins] ovpn on multihomed server

[Andrei Bulava]

Alexander Volkov wrote:
> Hi!
> Есть сервер на 2.4, смотрящий в 3 провайдеров. На ём поднят openvpn,
> policy routing подразумевает, что пакет, пришедший на один из интерфейсов,
> с него же и уходит, но дефолтный шлюз один.
> Так вот, установить vpn соединение можно только с интерфейсом этого
> дефолтного шлюза... Хотя апач, к примеру, отзывается на всех трёх
> нормально.
> Фаерволом пакеты не режутся, в логах бы видел...
> Где б что ещё посмотреть?

Стоит попробовать TCP вместо UDP в качестве транспортного протокола.
Деталей не помню, давно было, но UDP у меня тоже артачился, а TCP поехал
без проблем.

-- 
// AB1002-UANIC

Re: [Sysadmins] ovpn on multihomed server

[Alexander Volkov]

On 2006-10-23 15:02:51 +0400, Nikolay A. Fetisov wrote:
NAF> On Mon, 23 Oct 2006 14:36:14 +0400
NAF> Alexander Volkov wrote:

NAF> > Есть сервер на 2.4, смотрящий в 3 провайдеров. На ём поднят openvpn,
NAF> > policy routing подразумевает, что пакет, пришедший на один из интерфейсов,
NAF> > с него же и уходит, но дефолтный шлюз один.
NAF> > Так вот, установить vpn соединение можно только с интерфейсом этого
NAF> > дефолтного шлюза... Хотя апач, к примеру, отзывается на всех трёх
NAF> > нормально.
NAF> > Фаерволом пакеты не режутся, в логах бы видел...
NAF> > Где б что ещё посмотреть?

NAF> А что пишет-то openvpn? С увеличенным значением verb?

NAF> Хотя, скорее всего, смотреть надо на настройки маршрутизации.
NAF> Особенно в отношении UDP-пакетов, исходя из того, что Apache работает.
вот и я к тому ж склоняюсь, но для udp специально ничего не делал, а надо?
Оно разве общим правилам не подчиняется? Есть под рукой сцылка?
--
 Regards, Alexander

Re: [Sysadmins] ovpn on multihomed server

[Nikolay A. Fetisov]

On Mon, 23 Oct 2006 18:17:28 +0400
Alexander Volkov wrote:

> On 2006-10-23 15:02:51 +0400, Nikolay A. Fetisov wrote:
> ......
> NAF> Хотя, скорее всего, смотреть надо на настройки маршрутизации.
> NAF> Особенно в отношении UDP-пакетов, исходя из того, что Apache работает.
> вот и я к тому ж склоняюсь, но для udp специально ничего не делал, а надо?
> Оно разве общим правилам не подчиняется? Есть под рукой сцылка?

Есть: http://openvpn.net/archive/openvpn-users/2005-11/msg00321.html

Вывод: через UDP в данной конфигурации OpenVPN работать не будет, так
что или 
proto tcp 
или ждите 2.1, релиз обещан в начале ноября.

-- 
С уважением,	
Николай Фетисов

Re: [Sysadmins] ovpn on multihomed server

[Alexander Volkov]

On 2006-10-23 19:09:26 +0400, Nikolay A. Fetisov wrote:
NAF> On Mon, 23 Oct 2006 18:17:28 +0400
NAF> Alexander Volkov wrote:

NAF> > On 2006-10-23 15:02:51 +0400, Nikolay A. Fetisov wrote:
NAF> > ......
NAF> > NAF> Хотя, скорее всего, смотреть надо на настройки маршрутизации.
NAF> > NAF> Особенно в отношении UDP-пакетов, исходя из того, что Apache работает.
NAF> > вот и я к тому ж склоняюсь, но для udp специально ничего не делал, а надо?
NAF> > Оно разве общим правилам не подчиняется? Есть под рукой сцылка?

NAF> Есть: http://openvpn.net/archive/openvpn-users/2005-11/msg00321.html

NAF> Вывод: через UDP в данной конфигурации OpenVPN работать не будет, так
NAF> что или 
NAF> proto tcp 
NAF> или ждите 2.1, релиз обещан в начале ноября.
Спасибо, религия позволяет/не мешает перейти на tcp :)
--
 Regards, Alexander

Re: [Sysadmins] ovpn on multihomed server

[Nikolay A. Fetisov]

On Tue, 24 Oct 2006 09:30:29 +0400
Alexander Volkov wrote:

> On 2006-10-23 19:09:26 +0400, Nikolay A. Fetisov wrote:
> ...
> NAF> Вывод: через UDP в данной конфигурации OpenVPN работать не будет, так
> NAF> что или 
> NAF> proto tcp 
> NAF> или ждите 2.1, релиз обещан в начале ноября.
> Спасибо, религия позволяет/не мешает перейти на tcp :)

К сожалению, это вопрос не религии, а производительности.
Туннели через TCP имеют ряд врождённых особенностей, сильно
затрудняющих их использование на плохих (с значительным числом
пропадающих пакетов) каналах связи. 
См., например, http://sites.inka.de/sites/bigred/devel/tcp-tcp.html

-- 
С уважением,	
Николай Фетисов

Re: [Sysadmins] ovpn on multihomed server

[Alexander Volkov]

On 2006-10-24 09:52:19 +0400, Nikolay A. Fetisov wrote:
NAF> К сожалению, это вопрос не религии, а производительности.
NAF> Туннели через TCP имеют ряд врождённых особенностей, сильно
NAF> затрудняющих их использование на плохих (с значительным числом
NAF> пропадающих пакетов) каналах связи. 
NAF> См., например, http://sites.inka.de/sites/bigred/devel/tcp-tcp.html
Спасибо ещё раз, бум пробовать вернуться на udp после выхода 2.1.
Пока, в первом приближении, для ближних клиентов tcp работает нормально.
Правда, производительность пока не тестил...

--
 Regards, Alexander