• Зарегистрирован: 06.09.2012
  • Сообщений: 4
  • Репутация : [ 0 | 0 ]

Добрый день.

Не пингуется ни одна клиентская машина с сервера OpenVPN. На сервере внутренняя сеть 192.168.10.0/24, ip openvpn сервера 10.8.10.1. На клиенте внутренняя сеть 192.168.168.0/24, ip openvpn клиента 10.8.10.2. C 192.168.168.0 пингуются все ip 192.168.10.0 - обратно нет. Настраивал всё по статейке http://vds-admin.ru/unix-linux/nastroik … era-centos

конфиг сервака

port 1194
proto udp
dev tun
server 10.8.10.0 255.255.255.0
client-to-client
client-config-dir /etc/openvpn/ccd
push "redirect-gateway def1"

ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key
dh /etc/openvpn/keys/dh1024.pem
tls-auth /etc/openvpn/keys/tls.key 0

verb 3
keepalive 10 120
tls-server
comp-lzo
log log.txt

в файле ccd

ifconfig-push 10.8.10.2 10.8.10.1
iroute 192.168.168.0 255.255.255.0

таблица маршрутов

# netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
10.8.10.2       0.0.0.0         255.255.255.255 UH        0 0          0 tun0
10.8.10.0       10.8.10.2       255.255.255.0   UG        0 0          0 tun0
192.168.10.0    0.0.0.0         255.255.255.0   U         0 0          0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 eth0
0.0.0.0         192.168.10.1    0.0.0.0         UG        0 0          0 eth0

что-то подсказывает, что маршрута нет до 192.168.168.0, но почему его не добавляет openvpn сервер? или что я не допонял?
если добавить маршрут ручками route add -net 192.168.168.0/24 gw 10.8.10.2 tun0, ответов от 192.168.168.0 всё равно нет.
помогите пожалуйста понять, в чем проблема? спасибо.

Сайт pavleg.parshin

2 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
pavleg.parshin пишет:

Добрый день.
iroute 192.168.168.0 255.255.255.0

уверены что должно быть iroute вместо route?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.
  • Зарегистрирован: 06.09.2012
  • Сообщений: 4
  • Репутация : [ 0 | 0 ]
Kettler пишет:
pavleg.parshin пишет:

Добрый день.
iroute 192.168.168.0 255.255.255.0

уверены что должно быть iroute вместо route?

разобрался с маршрутом. нужно было в конфиг сервера добавить route 192.168.168.0 255.255.255.0

netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
10.8.10.2       0.0.0.0         255.255.255.255 UH        0 0          0 tun0
192.168.168.0   10.8.10.2       255.255.255.0   UG        0 0          0 tun0
10.8.10.0       10.8.10.2       255.255.255.0   UG        0 0          0 tun0
192.168.10.0    0.0.0.0         255.255.255.0   U         0 0          0 eth0
0.0.0.0         192.168.10.1    0.0.0.0         UG        0 0          0 eth0

но пинга всё равно нет ac

теперь грешу на iptables, с ним очень плохо знаком. вот какие правила показывает

iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
fail2ban-BadBots  tcp  --  anywhere             anywhere            multiport dports http                                           ,https
fail2ban-FTP  tcp  --  anywhere             anywhere            tcp dpt:ftp
fail2ban-SIP  all  --  anywhere             anywhere

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain fail2ban-BadBots (1 references)
target     prot opt source               destination
RETURN     all  --  anywhere             anywhere

Chain fail2ban-FTP (1 references)
target     prot opt source               destination
RETURN     all  --  anywhere             anywhere

Chain fail2ban-PBX-GUI (0 references)
target     prot opt source               destination
RETURN     all  --  anywhere             anywhere

Chain fail2ban-SIP (1 references)
target     prot opt source               destination
RETURN     all  --  anywhere             anywhere

Chain fail2ban-SSH (0 references)
target     prot opt source               destination
RETURN     all  --  anywhere             anywhere

может здесь не выпускает? как правильно добавить правило, чтобы пропускал iptables трафик в 192.168.168.0 через туннель?

буду очень признателен за помощь.

Сайт pavleg.parshin

4 Ответ от Kettler (06.09.2012 14:30:58 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

не знаю но пробни

iptables -I FORWARD -s 192.168.10.0/24 -d 192.168.168.0/24 -j ACCEPT
iptables -I FORWARD -s 192.168.168.0/24 -d 192.168.10.0/24 -j ACCEPT

И покажи вывод

cat /proc/sys/net/ipv4/ip_forward
Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.
  • Зарегистрирован: 06.09.2012
  • Сообщений: 4
  • Репутация : [ 0 | 0 ]
Kettler пишет:

не знаю но пробни

iptables -I FORWARD -s 192.168.10.0/24 -d 192.168.168.0/24 -j ACCEPT
iptables -I FORWARD -s 192.168.168.0/24 -d 192.168.10.0/24 -j ACCEPT

И покажи вывод

cat /proc/sys/net/ipv4/ip_forward

айпифорвард 1

сейчас в iptables


iptables -L -t filter
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)

а tcpdump на серваке

04:45:17.696038 IP 10.8.10.1 > 192.168.168.2: ICMP echo request, id 48661, seq 4                        6, length 64
04:45:18.695982 IP 10.8.10.1 > 192.168.168.2: ICMP echo request, id 48661, seq 4                        7, length 64

бррр...

Сайт pavleg.parshin

6 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

маршруты покажи с клиента для начала

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.
  • Зарегистрирован: 06.09.2012
  • Сообщений: 4
  • Репутация : [ 0 | 0 ]
Kettler пишет:

маршруты покажи с клиента для начала

я разобрался в собственной глупости  ag  но всё равно, спасибо за отклик. 192.168.168.0 - это подсеть совершенно другого интерфейса на клиенте ag всё прекрасно работает, как нужно ab

Сайт pavleg.parshin