Linux Forum — OpenVPN + Сжатие + 100Мбит/c

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-23T03:16:35Z

попробую для клинтов обновить openvpn может решит проблему
OpenVPN 2.2.2 -- released on 2011.12.22 (Change Log)
Changes include:
Pkcs11 support built into the Windows version
Fixed a bug in the Windows TAP-driver

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-14T03:46:50Z

Нет такого файла у меня нет,таким способом удалить не удалось

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-08T14:30:47Z

sagvir пишет:

А как tap0 интерфейс удалить не подскажете?

/usr/bin/tunctl -h

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-08T03:57:15Z

Спасибо за наводку) ntp-server я так то установил время синхронизируеться точно, а вот с интерфесом tap0 действительно беда

+ открыть спойлер

tap0 Link encap:Ethernet HWaddr 92:fc:06:9e:f2:e9
inet addr:10.10.10.1 Bcast:10.10.10.255 Mask:255.255.255.0
inet6 addr: fe80::90fc:6ff:fe9e:f2e9/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:167680226 errors:0 dropped:0 overruns:0 frame:0
TX packets:214449043 errors:0 dropped:83018 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:51940189785 (48.3 GiB) TX bytes:244745035057 (227.9 GiB

cat /proc/net/dev

+ открыть спойлер

Inter-| Receive | Transmit
face |bytes packets    errs drop fifo frame compressed multicast|bytes packets    errs drop fifo colls carrier compressed
lo:5855569357    18565441 0 0 0 0 0 0 5855569357 18565441 0 0 0 0 0 0
eth0:111585593892 239692431 0 0 0 0 0 0 299436505922 386570604    0 0 0 0 0 0
eth1:246399568158 224782478 0 0 0 0 0 1 54305989616 172380986       0 0 0 0 0 0
eth2:1515066687    17305959 0 0 0 0 0 50413 46380203419 32237817    0 0 0 0 0 0
tap0:51971843446    167796267 0 0 0 0 0 0 244886445301 214579979       0 83018 0 0 0 0

А как tap0 интерфейс удалить не подскажете? разве что openvpn отрубить, но при старте то он сам создаст,
ll /dev/net
итого 0
crw-rw-rw- 1 root root 10, 200 Ноя 20 18:49 tun
разве что этими командами?
sudo mkdir /dev/net
sudo mknod /dev/net/tun c 10 200, но у меня и так с такими параметрами 10 200

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-07T17:13:52Z

http://www.adminsehow.com/2009/08/openv … t-code113/
Гугл не повредит в целом.

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-07T08:08:54Z

openvpn.conf

+ открыть спойлер

#local 192.168.2.254
port 1194
proto udp
#dev tun
dev tap
;dev-node tap0
ca /etc/openvpn/ca.crt
cert /etc/openvpn/mailserver.imsp.crt
key /etc/openvpn/mailserver.imsp.key # This file should be kept secret
dh /etc/openvpn/dh1024.pem
server 10.10.10.0 255.255.255.0 # vpn subnet
ifconfig-pool-persist /etc/openvpn/ipp.txt
push "route-gateway 192.168.2.254 255.255.255.0" # work subnet
#push "route 0.0.0.0 255.255.255.0" # work subnet
push "dhcp-option DNS 192.168.2.254"
#push "redirect-gateway def1" # старый маршрут останеться
push "redirect-gateway" # старый маршрут удалиться
;duplicate-cn
#keepalive 10 120
#;cipher BF-CBC # Blowfish (default)
#;cipher AES-128-CBC # AES
#;cipher DES-EDE3-CBC # Triple-DES
comp-lzo
max-clients 220
user nobody
group nogroup
persist-key
persist-tun
log /var/log/openvpn.log #log-append log файл будет дополняться
status /var/log/openvpn-status.log #обновляеться каждую минуту о подкл пользователей
verb 5
mute 20
client-to-client
client-config-dir /etc/openvpn/2.0/keys

iptables

+ открыть спойлер

#!/bin/bash
# Тут в принципе может и не надо этого всего но не помеха вдруг какой модуль не подгружен или форвардинг не включен
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_limit
/sbin/modprobe ipt_state
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_ftp

# Объявление переменных
export IPT="iptables"

# localhost
export LO="lo"
LO_IP="127.0.0.1"

# Интерфейс который смотрит в интернет
export WAN=eth1
WAN_IP1="yyy.yyy.yyy.yy" #почта
WAN_IP2="xxx.xxx.xxx.xx" #интернет
# Локальная сеть 1 eth0
export LAN1=eth0
export LAN_IP_RANGE1=192.168.2.0/24
LAN_IP1="192.168.2.254"
# Локальная сеть(бухгалтерия) 2 eth2
export LAN2=eth2
export LAN_IP_RANGE2=192.168.10.0/24
LAN_IP2="192.168.10.254"
# openVPN сеть - через него идет интернет
export VPN=tun0
export VPN_IP_RANGE=10.10.10.0/24

# допольнительное оборудование скажем роутер
export IP_ROUTER="192.168.2.11"
# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено - запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i $LO -j ACCEPT
$IPT -A INPUT -i $LAN1 -j ACCEPT
$IPT -A INPUT -i $LAN2 -j ACCEPT
$IPT -A OUTPUT -o $LO -j ACCEPT
$IPT -A OUTPUT -o $LAN1 -j ACCEPT
$IPT -A OUTPUT -o $LAN2 -j ACCEPT
$IPT -A OUTPUT -p ALL -s $WAN_IP1 -j ACCEPT
$IPT -A OUTPUT -p ALL -s $WAN_IP2 -j ACCEPT

#$IPT -A INPUT -p ALL -i $WAN -s $LAN_IP_RANGE1 -j ACCEPT
#$IPT -A INPUT -p ALL -i $LAN2 -s $LAN_IP_RANGE2 -j ACCEPT
$IPT -A INPUT -p ALL -i $LO -s $LO_IP -j ACCEPT
#$IPT -A INPUT -p ALL -i $LO -s $LAN_IP1 -j ACCEPT
#$IPT -A INPUT -p ALL -i $LO -s $LAN_IP2 -j ACCEPT
#$IPT -A INPUT -p ALL -i $LO -s $WAN_IP -j ACCEPT
# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
# Пропускать все уже инициированные соединения, а также дочерние от них
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
# Пропускать новые, а так же уже инициированные и их дочерние соединения
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Разрешить форвардинг для новых, а так же уже инициированных и их дочерних соединений
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP

# Приводит к связыванию системных ресурсов, так что реальный обмен данными становится не возможным.
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

# Разрешаем доступ из внутренней сети наружу
$IPT -A FORWARD -i $LAN1 -o $WAN -j ACCEPT
$IPT -A FORWARD -i $LAN2 -o $WAN -j ACCEPT

# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -i $WAN -o $LAN1 -j REJECT
$IPT -A FORWARD -i $WAN -o $LAN2 -j REJECT

# Маскарадинг для openVPN сети чтобы весь трафик шел через впн сеть
$IPT -t nat -A POSTROUTING -o $WAN -s $VPN_IP_RANGE -j MASQUERADE
#$IPT -t nat -A POSTROUTING -o $WAN -s $LAN_IP_RANGE1 -j MASQUERADE
# Маскарадинг для бухгалтерии
$IPT -t nat -A POSTROUTING -o $WAN -s $LAN_IP_RANGE2 -j MASQUERADE

# Маскарадинг для роутера
#$IPT -t nat -A POSTROUTING -o $WAN -s $IP_ROUTER -j MASQUERADE
#iptables -t nat -A POSTROUTING -s 192.168.20.11 -j MASQUERADE -o eth1

# для почтовых портов
$IPT -t nat -A POSTROUTING -p tcp -o $WAN --dport 110 -j SNAT --to-source $WAN_IP1
$IPT -t nat -A POSTROUTING -p tcp -o $WAN --dport 25 -j SNAT --to-source $WAN_IP1
$IPT -t nat -A POSTROUTING -p tcp -o $WAN --dport 143 -j SNAT --to-source $WAN_IP1
$IPT -t nat -A POSTROUTING -p tcp -o $WAN -j SNAT --to-source $WAN_IP2

# Далее дано как пример открытие портов извне:
# **********************************************************************
# Открываем порт для ssh
$IPT -A INPUT -i $WAN -p tcp --dport 22 -j ACCEPT
$IPT -A OUTPUT -i $WAN -p tcp --dport 22 -j ACCEPT
# Разрешаем dns серверу
$IPT -A INPUT -i $WAN -p udp --sport 53 -j ACCEPT
$IPT -A OUTPUT -i $WAN -p udp --sport 53 -j ACCEPT

# Открытие портов для торрентов (такие же указать в torrent-клиенте)
$IPT -A INPUT -i $WAN -p tcp -m multiport --ports 50100:51100 -j ACCEPT
$IPT -A INPUT -i $WAN -p tcp -m multiport --ports 50100:51100 -j ACCEPT

# Открытие 443 порта
$IPT -A INPUT -p tcp --dport 443 -j ACCEPT

# Открытие порта udp 1194 для openVPN
$IPT -A INPUT -p tcp --dport 1194 -j ACCEPT
$IPT -A INPUT -p udp --dport 1194 -j ACCEPT
# Открываем 80 порт для веб сайтов
$IPT -A INPUT -i $WAN -p all --dport 80 -j ACCEPT
$IPT -A INPUT -p tcp --dport 80 -j ACCEPT
$IPT -A OUTPUT -p tcp --sport 80 -j ACCEPT
$IPT -A INPUT -p udp --dport 80 -j ACCEPT
$IPT -A OUTPUT -p udp --sport 80 -j ACCEPT

# Открытие порта 25, 143 для smtp imap
$IPT -A INPUT -i $WAN -p all --dport 25 -j ACCEPT
$IPT -A OUTPUT -i $WAN -p all --dport 25 -j ACCEPT
$IPT -A INPUT -p tcp --dport 25 -j ACCEPT
$IPT -A OUTPUT -p tcp --sport 25 -j ACCEPT
$IPT -A INPUT -i $WAN -p all --dport 143 -j ACCEPT
$IPT -A OUTPUT -i $WAN -p all --dport 143 -j ACCEPT
$IPT -A INPUT -p tcp --dport 143 -j ACCEPT
$IPT -A OUTPUT -p tcp --sport 143 -j ACCEPT
$IPT -A INPUT -i $WAN -p all --dport 110 -j ACCEPT
$IPT -A OUTPUT -i $WAN -p all --dport 110 -j ACCEPT
$IPT -A INPUT -p tcp --dport 110 -j ACCEPT
$IPT -A OUTPUT -p tcp --sport 110 -j ACCEPT
$IPT -A FORWARD -p TCP -s 0/0 --dport 25 -j allowed
$IPT -A FORWARD -p TCP -s 0/0 --sport 25 -j allowed
$IPT -A FORWARD -p TCP -s 0/0 --dport 110 -j allowed
$IPT -A FORWARD -p TCP -s 0/0 --sport 110 -j allowed
$IPT -A FORWARD -p TCP -s 0/0 --dport 143 -j allowed
$IPT -A FORWARD -p TCP -s 0/0 --sport 143 -j allowed
#$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

$IPT -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPT -A OUTPUT -p ALL -s $WAN -j ACCEPT
$IPT -A OUTPUT -p ALL -s $LAN1 -j ACCEPT
$IPT -A OUTPUT -p ALL -s $LAN2 -j ACCEPT
$IPT -A OUTPUT -p ALL -s $VPN -j ACCEPT

# Открытие портов для игровых серверов
#$IPT -A INPUT -i $WAN -p tcp --dport 27010:27030 -j ACCEPT
#$IPT -A INPUT -i $WAN -p udp --dport 27010:27030 -j ACCEPT
# **********************************************************************
# Вывод информации о состоянии
$IPT -L

syslog

+ открыть спойлер

Dec 5 18:44:58 mailserver dhcpd: DHCPACK to 192.168.2.178 (00:26:9e:34:5c:54) via eth0
Dec 5 18:45:07 mailserver postfix/anvil[6746]: statistics: max connection rate 1/60s for (smtp:85.26.186.39) at Dec 5 18:39:13
Dec 5 18:45:07 mailserver postfix/anvil[6746]: statistics: max connection count 1 for (smtp:85.26.186.39) at Dec 5 18:39:13
Dec 5 18:45:07 mailserver postfix/anvil[6746]: statistics: max cache size 1 at Dec 5 18:39:13
Dec 5 18:45:16 mailserver named[2494]: error (network unreachable) resolving 'ns2.linkin-park.biz/AAAA/IN': 2001:7fd::1#53
Dec 5 18:45:16 mailserver dhcpd: DHCPRELEASE of 192.168.2.40 from f0:62:81:1d:ef:e0 via eth0 (not found)
Dec 5 18:45:17 mailserver dhcpd: DHCPREQUEST for 192.168.2.40 from f0:62:81:1d:ef:e0 via eth0
Dec 5 18:45:17 mailserver dhcpd: DHCPACK on 192.168.2.40 to f0:62:81:1d:ef:e0 via eth0
Dec 5 18:45:38 mailserver dhcpd: DHCPINFORM from 192.168.2.207 via eth0
Dec 5 18:45:38 mailserver dhcpd: DHCPACK to 192.168.2.207 (00:17:31:7f:b2:65) via eth0
Dec 5 18:46:00 mailserver dhcpd: DHCPINFORM from 192.168.2.178 via eth0
Dec 5 18:46:00 mailserver dhcpd: DHCPACK to 192.168.2.178 (00:26:9e:34:5c:54) via eth0
Dec 5 18:46:12 mailserver dhcpd: DHCPINFORM from 192.168.2.196 via eth0

о с впн сегодня по логам сурезно)
less /var/log/openvpn.log

+ открыть спойлер

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-07T06:27:00Z

sagvir, надо смотреть конфиги и логи.

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-07T05:27:02Z

Ребята я использую связку ddns+openvpn в организации с порядка 90 компов и переодически разрывы потери, глюки идут, может ли это быть свяанно с сжатием?

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-06T18:13:07Z

elve пишет:

Так это конфиг. А документация? =).

Настоящий инженер читает документацию в последнюю очередь. И то, если что-то не заработало. :-)
Ну и еще - в копилку аргументов (пока не знаю только за или против): Я пользую роутеры DLINK-804, так про их скорострельность в режиме организации VPN на IPSec есть такие сведения:
1. При включенном шифровании - 4 мегабита в секунду;
2. При отключенном (AH-only) - 6 мегабит.

Конечно, процессор в компьютере пошустрее будет, чем в роутере, но все равно, не на пару же порядков, чтобы сотню мегабит в IPSec'e вытянуть. Я так думаю...

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-06T07:54:15Z

Так это конфиг. А документация? =).

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-05T17:28:53Z

elve пишет:

оно?

Я думал эту мысль. Но - текст server.conf:

# Select a cryptographic cipher.
# This config item must be copied to
# the client config file as well.
;cipher BF-CBC        # Blowfish (default)
;cipher AES-128-CBC   # AES
;cipher DES-EDE3-CBC  # Triple-DES

как то про "none" умалчивает. И, более того, из него я делаю вывод, что если неправильно напишу желаемый метод, или метод отсутствующий в openSSL, то выберется значение дефолтное (как программист - я бы именно так и закодировал). А это - Blowfish. Хотя, может быть я и не прав.

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-05T14:06:56Z

cipher none

оно?

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-03T15:51:57Z

Macumazan пишет:

Можно попробовать пересобрать. В сборочных скриптах есть параметры --disable-crypto --disable-ssl .

Не вариант. Так как по этому openVPN у меня к терминальному серверу достаточно много виндовых ремутных юзерей подключено. И если у меня будет --disable crypto, а на том конце криптография будет требоваться, то... Ну, думаю, что ничего хорошего не получится... Наверняка есть какой-то параметр в конфиге, который позволяет не использовать шифрование. Но я этого параметра не знаю.

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-03T12:07:32Z

Можно попробовать пересобрать. В сборочных скриптах есть параметры --disable-crypto --disable-ssl .

Re: OpenVPN + Сжатие + 100Мбит/c

2011-12-03T09:47:04Z

Macumazan пишет:

Cruiser78, попробуй шифрованием поиграть: RC2, RC5, Blowfish весьма производительны.

Я бы его вообще отключил. Но вот как - не знаю. В конфиге можно выбрать из нескольких методов один. А если не выбрать, то будет дефолтный Blowfish. У меня, кстати, так и не выбрано. То есть работает по дефолту.
И сколько по сравнению с ним возьмет на себя компрессия - непонятно. Хотя, алгорим LZ-компрессии очень экономичный в плане скорострельности. Я больше грешу на тормоза от криптографии, чем на компрессию.