оказывается - все зря. моя конфигурация исправна. OpenVPN работает нормально. проблемы только в моем окружении
странно, почему, если я делаю впн-сервер и клиент шлюзами по-умолчанию - пакеты между сетями "за " - ходят
а если прямо на клиентских тачках на винде пишу маршрут
за сервером:route add 192.168.33.0/24 192.168.3.101
за клиентом:
route add 192.168.3.0/24 192.168.33.148
то не работает.
это не правда. проблема с конкретно моей тачкой с win8.1 не разобрался почему так, однако если между XP и Vista с разных сторон VPN тунеля задать маршруты на уровне винды - все нормльно работает
та же ерунда и с маршрутизатором. заменил Endian на Dir300, прописал на нем маршрут через ВПН - и все работает. Видимо пришло время менять шлюзик. просто как фаерволл - Endian прекрасен. интуитивный и наглядный веб-интерфейс радует. но как дело касается других функций - везде сталкиваюсь с какими-то глупыми проблемами. перемудрили чего-то они там
всем, у кого возникли трудности с настройкой openVPN рекомендую почитать русский перевод OpenVPN HOWTO. в конце есть примеры конфиг-файлов с переводом описания всех функций. очень легко читается
]]>route add 192.168.33.0/24 192.168.3.101за клиентом:
route add 192.168.3.0/24 192.168.33.148то не работает.
]]>Т.е. в начале на шлюзе прописываете первый маршрут, а затем второй:
ip route add 10.8.0.1 via 192.168.33.148
ip route add 192.168.3.0/24 via 10.8.0.1
и соответственно для другого шлюза
ip route add 10.8.0.6 via 192.168.3.101
ip route add 192.168.33.0/24 via 10.8.0.6
попробовал на роутере клиента (орн тестовый. его не жалко) в консоли задать маршруты таким образом
ip route add 10.8.0.1 via 192.168.33.148 - все гуд
ip route add 192.168.3.0/24 via 10.8.0.1 - no such process
не добавляет второй маршрут несмотря на наличие первого.
по идее, конечно, если для впн-сервера / клиента шлюзом по-умолчанию является роутер а сам впн-сервер / клиент сделать шлюзом по-умолчанию для локальной сети, то работает и впн и интернет (только порт-форвардинг не проверял). но мне это решение жутко не нравится.
]]>остается разобраться, как маршрут на роутере правильно делать. пойду поиграюсь. завтра отпишусь по результатам
]]>Раскомментировать мало, применил?
cat /proc/sys/net/ipv4/ip_forward выводит 1 ?
да, выводит.
пока форвардинг не включил - пинг до локального интерфейса впн-сервера не проходил
]]>файле /etc/sysctl.conf раскомментировал строчку: net.ipv4.ip_forward=1
Раскомментировать мало, применил?
cat /proc/sys/net/ipv4/ip_forward выводит 1 ?
192.168.3.10 - пк за ВПН-сервером. шлюз по-умолчанию = маршрутизатор в сети (192.168.3.1) (если изменить на впн-сервер, ничего не меняется)
локальные адреса впн-составляющей пингуются из-за противоположных сторон. так оно и было в самом начале.
попробовал наставить сниферов и посмотреть пути пакетов по MAC-адресам. к моему сожалению внутри канала ВПН (10.8.0.0/24) MAC адресов нет. arp- таблица не знает о существовании противоположной сети, но пакеты через туннель ходят.
результаты:
ping с пк из-за сервера на пк за клиентом (РАБОТАЕТ)
путь request :
пк за сервером -> шлюз -> ВПН-сервер -> ВПН-клиент -> пк за клиентом
путь reply :
пк за клиентом -> ВПН-клиент -> ВПН-сервер -> пк за сервером
-----------------------------------------------------
ping с пк из-за клиента на пк за сервером ( НЕ работает)
путь request :
пк за клиентом -> ВПН-клиент -> ВПН-сервер -> пк за сервером
путь reply :
даже не пытается уйти. wireshark на стороне пк за сервером не показывает ни одного пакета в обратную сторону. назначение ВПН-сервера шлюзом по-умолчанию - ничего не меняет. пробовл руками добавлять маршрут в пк за клиентом через впн-сервер прямо в винде на пк за сервером - ноль эффекта
это не похоже на проблемы в маршрутизации. это больше похоже на проблемы с настрйокой впн. есть мысли по этому поводу?
]]>Покажите таблицы маршрутизации с VPN сервера и VPN клиента.
вот они. уже выкладывал во 2 посте:
на сервере:
~# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
default 192.168.3.1 0.0.0.0 UG 0 0 0 eth0
10.8.0.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0
10.8.0.2 * 255.255.255.255 UH 0 0 0 tun0
192.168.3.0 * 255.255.255.0 U 0 0 0 eth0
192.168.33.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0на клиенте:
# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
default 192.168.33.149 0.0.0.0 UG 0 0 0 eth0
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0
10.8.0.5 * 255.255.255.255 UH 0 0 0 tun0
192.168.3.0 10.8.0.5 255.255.255.0 UG 0 0 0 tun0
192.168.33.0 * 255.255.255.0 U 0 0 0 eth0все маршруты, кроме default и 92.168.3.0 (для сервера) и 92.168.33.0 (для клиента) добавляются после поднятия ВПН
]]>при этом раскладе пк за клиентом пингуется с пк за сервером, а наоборот - нет
Покажите таблицы маршрутизации с VPN сервера и VPN клиента.
]]>теперь уже в понедельник еще разок все проверю и по результатам отпишу
и да, iptables в accept по дефолту. никаких правил нет. где-то выше я уже делал выкладку iptables -L
]]>оси в схеме:
сеть за клиентом: windows XP
vpn-client: raspbian
сеть за сервером: windows8.1
vpn-server: debian
Т.е. и на клиенте и на сервере Debian, только на клиенте версия Debian для Raspberry Pi. В Debian по умолчанию в iptables всё открыто, нужно наоборот создавать правила, что бы что-то закрыть. Это не CentOS.
]]>$IPTABLES -A FORWARD -i tun0 -j ACCEPT
$IPTABLES -A FORWARD -o tun0 -j ACCEPTА где в серверном конфиге опция client-to-client ?, которая как раз и разрешает маршрутизацию между подсетями.
она разрешает маршрутизацию между подсетями клиентов, когда их несколько. сейчас это не мой случай.
]]>так, стоп. маршруты которые вначале этот, потом тот нужно писать на роутере или на vpn-сервере / клиенте?
Прочитайте вот это сообщение openvpn сеть за....(маршрутизация) ещё раз, там два способа и там указано где какой и где прописывать маршруты и вот в этом сообщении openvpn сеть за....(маршрутизация) тоже указано где прописывать маршруты.
В предыдущем сообщении я вам предложил для начала проложить маршрут между участниками VPN канала до их локальных сетей и проверить что идёт ping между их локальными интерфейсами.
Ещё раз прочитайте всё внимательно и разберётесь. Не пропустите комментарий после слова "ВАЖНО".
Если для вас всё это сложно то обратитесь к специалисту, который может придти к вам и настроить маршрутизацию.
При добавлении маршрута учитывайте то, что до всех участников добавляемого маршрута должны быть уже проложены маршруты либо они видны напрямую и всё получится. Прочитайте ещё раз указанные сообщения и постарайтесь понять почему добавляются эти маршруты и именно в такой последовательности, во втором способе нужно поменять очерёдность добавления маршрутов, об этом я вам написал после слова "ВАЖНО:".
]]>