Re: [Sysadmins] OPenVPN Сервер не видет сеть клиентов

Re: [Sysadmins] OPenVPN Сервер не видет сеть клиентов

[Alexey Shabalin]

2010/11/29 YuriI Patlasov:
> Всем привет.
>
> Пытаюсь настроить openVPN соединение.
> Версия openVPN 2.1.3 i586-alt-linux
> Система на основе 5 Branch.  На обоих серваках.
> Оба выстыпают шлюзами по умолчанию для своих сетей.
> С одной стороны настраеваю как сервер с другой как клиент. Клиентов будет
> два - три.

настройки сетевых интерфейсов (можно с изменёнными адресами) в студию.
покажи /etc/net/ifaces/*
sysctl -a | grep forwarding

> Все делал по маном. Прописал правила в iptables. НО
ну и покажи что напрописывал в iptables.

> 1) Клиент пингует и видет сервер и сеть сервера.
> 2) Сервер видет клиента, но сеть клиента НЕ ВИДЕТ.
А сервер знает о сети клиента? какой роутинг?
netstat -rn

> 3) не как не получилось настроить ccd чтоб настройки для каждого клиента
> свои перечитывал. (права, root окружение и т.д. не помогли)
по умолчанию альтовая сборка openvpn работает в chroot.
Поэтому файлы ccd надо размещать в /var/lib/openvpn/etc/openvpn/ccd
Об этом написано в /usr/share/doc/openvpn-*/README.ALT.utf-8


> Уже перерыл инет и гуугль. tcpdump, ip, route тоже не помогли.
> Подскжаите куда копать дальше???
Показывай конфиги - помогу.
Только что поднимал openvpn сервер на сизифе - всё работает.


-- 
Alexey Shabalin

Re: [Sysadmins] OPenVPN Сервер не видет сеть клиентов

[Dank Bagryantsev]

Здравствуйте, YuriI.

Вы писали 29 ноября 2010 г., 19:22:28:

YP> Пытаюсь настроить openVPN соединение.
YP> Версия openVPN 2.1.3 i586-alt-linux
YP> Система на основе 5 Branch.  На обоих серваках.
YP> Оба выстыпают шлюзами по умолчанию для своих сетей.

YP> С одной стороны настраеваю как сервер с другой как клиент. Клиентов будет два - три.

YP> Все делал по маном. Прописал правила в iptables. НО

YP> 1) Клиент пингует и видет сервер и сеть сервера.
YP> 2) Сервер видет клиента, но сеть клиента НЕ ВИДЕТ.
YP> 3) не как не получилось настроить ccd чтоб настройки для каждого
YP> клиента свои перечитывал. (права, root окружение и т.д. не помогли)

YP> Уже перерыл инет и гуугль. tcpdump, ip, route тоже не помогли.

YP> Подскжаите куда копать дальше???

Добавить что-то типа:
route 192.168.1.0 255.255.255.0
в server.conf в /etc/openvpn
и
iroute 192.168.1.0 255.255.255.0
(где 192.168.1.0 - сеть клиента)
в файл клиента в ccd
Как правильно сказали рядом, директорию ccd создать в /var/lib/openvpn/etc/openvpn
Файл клиента должен иметь то же имя, что и CommonName в его сертификате (как я помню)

P.S. и если у вас OpenVPN в ovz-контейнере, то это совершенно другая песня...

-- 
С уважением,
 Dank

Re: [Sysadmins] OPenVPN Сервер не видет сеть клиентов

[Nikolay A. Fetisov]

В Пнд, 29/11/2010 в 19:22 +0200, YuriI Patlasov пишет:
> Пытаюсь настроить openVPN соединение.
> ....
> Все делал по маном. 

На всякий случай - в /usr/share/doc/openvpn-2.1.3/README.ALT.utf-8
смотрели?

> 1) Клиент пингует и видет сервер и сеть сервера.

Т.е. канал работает.

> 2) Сервер видет клиента, но сеть клиента НЕ ВИДЕТ.

В файле конфигурации сервера - что-то типа
push "route 192.168.0.0 255.255.255.0"
route 192.168.0.0 255.255.255.0

В ccd-файле конфигурации клиента - что-то типа
iroute 192.168.0.0 255.255.255.0

Если надо, чтобы и между клиентами сети виделись - то в файле 
конфигурации сервера ещё 'client-to-client'.

> 3) не как не получилось настроить ccd чтоб настройки для каждого
> клиента свои перечитывал. (права, root окружение и т.д. не помогли)

При работе сервера в chroot'е (по-умолчанию из пакета), в файле
конфигурации включить ccd:
client-config-dir /etc/openvpn/ccd

И в /var/lib/openvpn/etc/openvpn/ccd/ добавлять файлы конфигурации
клиентов. Имя файла должно _точно_ соответствовать Common Name
сертификата.

Можно включить ccd-exclusive - тогда в отсутствии файла ccd для клиента
подключиться он не сможет. Соответственно, можно точно сказать, находит
сервер его, или нет.

-- 
С уважением,
Николай Фетисов

Re: [Sysadmins] OPenVPN Сервер не видет сеть клиентов

[Alexey Shabalin]

> с СЕРВЕРА:
> ping 10.10.11.6
> PING 10.10.11.6 (10.10.11.6) 56(84) bytes of data.
> 64 bytes from 10.10.11.6: icmp_seq=1 ttl=64 time=48.4 ms
> 64 bytes from 10.10.11.6: icmp_seq=2 ttl=64 time=22.8 ms
>
> ping 192.169.3.100
> PING 192.169.3.100 (192.169.3.100) 56(84) bytes of data.
> ^C
> --- 192.169.3.100 ping statistics ---
> 2 packets transmitted, 0 received, 100% packet loss, time 1007ms
В качестве уточнения, точно 192.169, а не 192.168?

-- 
Alexey Shabalin

Re: [Sysadmins] OPenVPN Сервер не видет сеть клиентов

[Alexey Shabalin]

> ВСЕМ ОГРОМНОЕ СПАСИБО.
> Остально по ходу уже решиться.

Хочу рассказать, вдруг кто ещё не вкурсе.
Теперь в openvpn для экономии адресов можно использовать
dev tun
+
topology subnet

Это позволяет выдавать на клиент 1 ip-адрес, а не подсеть, как раньше
(4 адреса: сеть, сервер, клиент, бродкаст).

-- 
Alexey Shabalin