1 Тема от ruziev.ulugbek (23.05.2014 07:37:33 отредактировано ruziev.ulugbek)

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]

Доброго времени суток всем.

есть Openvpn сервер (debian) и клиент(windows)
vpn поднимается, всё работает замечательно, но есть одна проблема, клиенты не видит сеть за сервером, а самого сервера пингую оба сетку.
У меня очень плохо с iptables  и роутингом, во многих форумах говорится о том, что достаточно прописать всего один маршрут и всё заработает. Но какой маршрут точно никто пример не приводит.

помогите пожалуйста решить проблему.
Заранее благодарю!!!

конфиг сервера nano /etc/openvpn/server.conf

mode server
daemon vpn-server
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh1024.pem
tls-server
tls-auth ta.key 0
cipher DES-EDE3-CBC
server 192.168.50.0 255.255.255.0
ifconfig-pool-persist ipp.txt
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log-append /var/log/openvpn/openvpn.log
verb 4
mute 20
client-to-client
client-config-dir ccd
route 192.168.50.0 255.255.255.0
#
push "redirect-gateway"
#
push "dhcp-option DNS 192.168.50.1"
#
#push "route 192.168.2.0 255.255.255.0" 
push "route 10.2.36.0 255.255.254.0"
#
#client-config-dir ccd
#route 192.168.1.0 255.255.254.0           

конфиг клиента

client
remote 10.0.0.103
port 1194
dev tun
proto udp
resolv-retry infinite
nobind
pull
user nobody
group nogroup
persist-key
persist-tun
ca C:\\keys\\ca.crt
cert C:\\keys\\windows.crt
key C:\\keys\\windows.key
tls-client
tls-auth C:\\keys\\ta.key 1
cipher DES-EDE3-CBC
comp-lzo
redirect-gateway def1

сетевые настройки сервера

eth0 - интернет, eth1 - локалка

auto eth0
iface eth0 inet static
address 10.0.0.103
netmask 255.255.255.0
gateway 10.0.0.1

auto eth1
iface eth1 inet static
address 10.2.36.188
netmask 255.255.254.0
#gateway 10.2.36.1

iptables: nano /etc/iptables.rules

iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

forwarding: nano /etc/sysctl.conf
net.ipv4.ip_forward=1

route:
192.168.50.2              *               255.255.255.255 UH     0      0        0 tun0
192.168.50.0   192.168.50.2      255.255.255.0     UG     0      0        0 tun0
10.0.0.0                      *               255.255.255.0     U       0      0        0 eth0
10.2.36.0                    *               255.255.254.0     U       0      0        0 eth1

Сайт ruziev.ulugbek

2 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]
ruziev.ulugbek пишет:

push "route 10.2.36.0 255.255.254.0"

Поправте на подсеть которая у вас есть локальной 10.2.37.0 netmask 255.255.254.0

Trouble  in WINDOWS reboot, trouble in UNIX be root.
  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]
kisil пишет:
ruziev.ulugbek пишет:

push "route 10.2.36.0 255.255.254.0"

Поправте на подсеть которая у вас есть локальной 10.2.37.0 netmask 255.255.254.0




нет, не помогло

Сайт ruziev.ulugbek

4 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Тогда так. Опешыте:
1. с какой сети получает адрес клиент
2. На клиенте, если это вин7 не настроен фаервол. 7-ка не пропускает конекты из других подсетей, кажысь.
3. Какой адрес сервера.
4. подсеть локалки.

Trouble  in WINDOWS reboot, trouble in UNIX be root.

5 Ответ от ruziev.ulugbek (21.05.2014 18:34:26 отредактировано ruziev.ulugbek)

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]
kisil пишет:

Тогда так. Опешыте:
1. с какой сети получает адрес клиент
2. На клиенте, если это вин7 не настроен фаервол. 7-ка не пропускает конекты из других подсетей, кажысь.
3. Какой адрес сервера.
4. подсеть локалки.

1. клиент получает айпи с сети 10.0.0.0/24
2. файрвол нет, не трогал
3. адрес сервера eth0 10.0.0.103 255.255.255.0 (основной интернет) а eth1 10.2.37.188 255.255.254.0  (локалка)
4. подсеть который я хочу видеть  это  10.2.36.0/23

Сайт ruziev.ulugbek

6 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]
ruziev.ulugbek пишет:

10.2.36.0/23

а через какой интерфейс можно попасть в эту подсеть. У вас же на сервере про ету сеть в маршрутах ничего не упоминаетса. Значит ещё у вас должен быть какойто шлюз в эту сеть. Верно????

Trouble  in WINDOWS reboot, trouble in UNIX be root.

7 Ответ от ruziev.ulugbek (23.05.2014 07:37:04 отредактировано ruziev.ulugbek)

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]

а через какой интерфейс можно попасть в эту подсеть. У вас же на сервере про ету сеть в маршрутах ничего не упоминаетса. Значит ещё у вас должен быть какойто шлюз в эту сеть. Верно????

самого сервера могу попасть в эту интерфейс, а с клиента не получается, клиент видеть оба интерфейс сервера 10.0.0.103 eth0 и 10.2.36.188 eth1

Сайт ruziev.ulugbek

8 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Так я спрашываю Вас. Эта подсеть в которую вам нужно попасть 10.2.36.0/23 находитса за каким интерфейсом???? Это локалка??? Нарисуйте схему пожалуйста относительно вашего ВПН сервера.

Trouble  in WINDOWS reboot, trouble in UNIX be root.

9 Ответ от ruziev.ulugbek (23.05.2014 10:15:07 отредактировано ruziev.ulugbek)

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]
kisil пишет:

Так я спрашываю Вас. Эта подсеть в которую вам нужно попасть 10.2.36.0/23 находитса за каким интерфейсом???? Это локалка??? Нарисуйте схему пожалуйста относительно вашего ВПН сервера.

смотрите,  cisco раздает 10.2.36.0/23. а роутор 10.0.0.0/24
впн сервер:
eth0 получает айпи от роутора   (основной, интернет идет через этот интерфейс)
address 10.0.0.103
netmask 255.255.255.0
gateway 10.0.0.1
eth1 получает от cisco (локалка)
address 10.2.36.188
netmask 255.255.254.0
я хочу чтоб eth0 интерфейсу были доступны за eth1
то есть,  с роутора (eth0), увидеть клиентов который находится за cisco (eth1)

Сайт ruziev.ulugbek

10 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Что то у вас не вьяжетса.

ruziev.ulugbek пишет:

адрес сервера eth0 10.0.0.103 255.255.255.0 (основной интернет) а eth1 10.2.37.188 255.255.254.0  (локалка)

А тут вы пишыте

ruziev.ulugbek пишет:

eth1 получает от cisco (локалка)
address 10.2.36.188
netmask 255.255.254.0

Так какая у вас локалка, раберитесь????
Это во первых. Во вторых. У вас адрес сервера

ruziev.ulugbek пишет:

eth0 получает айпи от роутора   (основной, интернет идет через этот интерфейс)
address 10.0.0.103
netmask 255.255.255.0
gateway 10.0.0.1

И клиенты получают адреса с той же сети. Так не может быть.

ruziev.ulugbek пишет:

1. клиент получает айпи с сети 10.0.0.0/24

Отдавайте адреса клиентам например из 10.0.1.0/24.
И вот тогда проверяйте роботу. А ещё покажыте

 Консоль:
iptables -S

Trouble  in WINDOWS reboot, trouble in UNIX be root.

11 Ответ от ruziev.ulugbek

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]

openvpn
___                                                                    dhcp сервера
|      |  __eth0 10,0,0,103______________ роутор 10,0,0,0/24__________клиенты 10,0,0,15 до 10,0,0,254       
|      |
|      | __eth1 10,2,36,188_______________циско 10,2,36,/23 ___________ клиенты 10,2,36,20 до 10,2,37,254
|      |
|___| __tun0 192.168.50.0/24                                       

опенвпн клиент - ipv4 10.0.0.110 - tun 192.168.50.10

ping  с впн сервера:
ping 10.2.36.188 ответ есть
ping 10.2.36.1 ответ есть 
ping 10.0.0.103   ответ есть
ping 10.0.0.1 ответ есть

ping с опенвпн клиента
ping 10.2.36.188 ответ есть
ping 10.2.36.1-10.2.37.254 превышен интервал ожидания для запросов
ping 10.0.0.103 ответ есть
ping 10.0.0.1 - 10.0.0.254 превышен интервал ожидания для запросов

Сайт ruziev.ulugbek

12 Ответ от ruziev.ulugbek

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]
ruziev.ulugbek пишет:

адрес сервера eth0 10.0.0.103 255.255.255.0 (основной интернет) а eth1 10.2.37.188 255.255.254.0  (локалка)

А тут вы пишыте

ruziev.ulugbek пишет:

eth1 получает от cisco (локалка)
address 10.2.36.188
netmask 255.255.254.0

Так какая у вас локалка, раберитесь????

я поменял 10,2,37,188 на 36,188

Сайт ruziev.ulugbek

13 Ответ от kisil (23.05.2014 10:40:04 отредактировано kisil)

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Так ТС ответьте нормально. С вашего рисунка получаетса, что клиенты ВПН сервера получают получают адреса из сети

ruziev.ulugbek пишет:

tun0 192.168.50.0/24

Верно. Покажыте ваш iptables -S с ВПН сервера. И вам нужно чтобы ВПН-клиенты  видели компы в сети 10.0.0.0/24 и 10.2.36.0/23. Верно.

ruziev.ulugbek пишет:

ping с опенвпн клиента

А покажытено на ВПН-клиенте

 Консоль:
ipconfig /all

Trouble  in WINDOWS reboot, trouble in UNIX be root.

14 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]
ruziev.ulugbek пишет:

я поменял 10,2,37,188 на 36,188

Хорошо. Понял.

Trouble  in WINDOWS reboot, trouble in UNIX be root.

15 Ответ от ruziev.ulugbek (23.05.2014 10:59:04 отредактировано ruziev.ulugbek)

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]

основной сервера (домен, телефония и.т.д.) и клиенты сидит на 10,2,36,0/23. а это сетка у меня за прокси сервером, там определенные ограничения для клиентов.

у меня есть еще один канал который не за прокси то есть обычный белый айпи, я его настроил через обычный  роутор, а роутор раздает сетку 10,0,0,0/24

мне часто придется попасть к домену и т.д. а сервера же у меня на другом сетке а я сам сижу на другом, воот,  для этого мне нужно переключить кабель,  это ладно не сложно переключат сетку,   проста иногда некоторый люди работает в офисе  допоздна я уже то время буду дома, мне придется ехать на работу если там возникает кое какие проблемы, а проблема то одна, только перезагрузит маршрутизатора, попасть маршрутизатору по wan  не получится потому что его надо перезагрузить. по этому я хочу по локалку попасть на него.

если у меня получится я поменяю 10,0,0,103 на белый айпи или проста проброс портов

Сайт ruziev.ulugbek

16 Ответ от kisil (23.05.2014 11:07:51 отредактировано kisil)

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]
ruziev.ulugbek пишет:

основной сервера (домен, телефония и.т.д.) и клиенты сидит на 10,2,36,0/23. а это сетка у меня за прокси сервером, там определенные ограничения для клиентов.

у меня есть еще один канал который не за прокси то есть обычный белый айпи, я его настроил через обычный  роутор, а роутор раздает сетку 10,0,0,0/24

мне часто придется попасть к домену и т.д. а сервера же у меня на другом сетке а я сам сижу на другом, воот,  для этого мне нужно переключить кабель,  это ладно не сложно переключат сетку,   проста иногда некоторый люди работает в офисе  допоздна я уже то время буду дома, мне придется ехать на работу если там возникает кое какие проблемы, а проблема то одна, только перезагрузит маршрутизатора, попасть маршрутизатору по wan  не получится потому что его надо перезагрузить. по этому я хочу по локалку попасть на него.

если у меня получится я поменяю 10,0,0,103 на белый айпи или проста проброс портов

Это всё понятно. вы не ответили на мой вопрос:

kisil пишет:

Так ТС ответьте нормально. С вашего рисунка получаетса, что клиенты ВПН сервера получают получают адреса из сети
ruziev.ulugbek пишет:

   

 tun0 192.168.50.0/24

Верно. Покажыте ваш iptables -S с ВПН сервера. И вам нужно чтобы ВПН-клиенты  видели компы в сети 10.0.0.0/24 и 10.2.36.0/23. Верно.
ruziev.ulugbek пишет:

   

 ping с опенвпн клиента

А покажытено на ВПН-клиенте

 Консоль:
ipconfig /all

Trouble  in WINDOWS reboot, trouble in UNIX be root.

17 Ответ от ruziev.ulugbek

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]
kisil пишет:

И клиенты получают адреса с той же сети. Так не может быть.

ruziev.ulugbek пишет:

1. клиент получает айпи с сети 10.0.0.0/24

Отдавайте адреса клиентам например из 10.0.1.0/24.
И вот тогда проверяйте роботу. А ещё покажыте

я имел виду своего компьютера, то есть опенвпн клиента

Сайт ruziev.ulugbek

18 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Подключитесь к ВПН серверу и покажыте на клиенте вывод

 Консоль:
ipconfig /all

Trouble  in WINDOWS reboot, trouble in UNIX be root.

19 Ответ от ruziev.ulugbek

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]
kisil пишет:

Так ТС ответьте нормально. С вашего рисунка получаетса, что клиенты ВПН сервера получают получают адреса из сети

ruziev.ulugbek пишет:

tun0 192.168.50.0/24

Верно. Покажыте ваш iptables -S с ВПН сервера. И вам нужно чтобы ВПН-клиенты  видели компы в сети 10.0.0.0/24 и 10.2.36.0/23. Верно.

ruziev.ulugbek пишет:

ping с опенвпн клиента

А покажытено на ВПН-клиенте

 Консоль:
ipconfig /all


да верно, 10.0.0.0/24 не обязательно,  самый главный 10.2.36.0/23.

Сайт ruziev.ulugbek

20 Ответ от ruziev.ulugbek

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]
kisil пишет:

Подключитесь к ВПН серверу и покажыте на клиенте вывод

 Консоль:
ipconfig /all



 Консоль:

Ethernet  adapter Подключения по локальной сети 2:

DNS-суффикс подключения . . . . . :
Описание . . . . . . . . . . . . . . . :  TAP-Windows Adapter V9
Физический адрес. . . . . . . . . . . . . :  00-FF-25-BB-30-45
DHCP включен  . . . . . . . . . . . . . . . :  Да
Автонастройка включена. . . . . . . :  Да
IPv4-адрес. . . . . . . . . . . . . . . . . . . : 192.168.50.10<Основной>
Маска подсети. . . . . . . . . . . . . . . . : 255.255.255.252
Основной шлюз . . . . . . . . . . . . . . . :
DHCP-сервер. . . . . . . . . . . . . . . . . . : 192.168.50.9

DNS-серверы. . . . . . . . . . . . . . . . . . : 192.168.50.1
NetBios через TCP/IP . . . . . . . . . . . : Включен


Сайт ruziev.ulugbek

21 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

У вас cisco то хоть пропускает через себя запросы из сети 192.168.50.0. Скорее всего что тут загвоздка.
Сделайте на сервере НАТ для вашего ВПН-клиента, тогда в запросах ВПН-клиента будет подменятса адрес на адрес сервера 10,2,36,188, что то типа этого

 Консоль:
iptables -t nat -A POSTROUTING -s 192.168.50.10 -o eth1 -j SNAT --to-source  10.2.36.188

Trouble  in WINDOWS reboot, trouble in UNIX be root.
+ ruziev.ulugbek

22 Ответ от ruziev.ulugbek

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]
kisil пишет:

У вас cisco то хоть пропускает через себя запросы из сети 192.168.50.0. Скорее всего что тут загвоздка.
Сделайте на сервере НАТ для вашего ВПН-клиента, тогда в запросах ВПН-клиента будет подменятса адрес на адрес сервера 10,2,36,188, что то типа этого

 Консоль:
iptables -t nat -A POSTROUTING -s 192.168.50.10 -o eth1 -j SNAT --to-source  10.2.36.188

пинги пошли, но! после перезагрузки придется сделать вывод iptables -t nat -A POSTROUTING -s 192.168.50.10 -o eth1 -j SNAT --to-source  10.2.36.188 
то что вы написали, куда нужно прописать эту команду чтоб автоматический поднялся

Сайт ruziev.ulugbek

23 Ответ от ruziev.ulugbek

  • Зарегистрирован: 21.05.2014
  • Сообщений: 14
  • Репутация : [ 0 | 0 ]
ruziev.ulugbek пишет:
kisil пишет:

У вас cisco то хоть пропускает через себя запросы из сети 192.168.50.0. Скорее всего что тут загвоздка.
Сделайте на сервере НАТ для вашего ВПН-клиента, тогда в запросах ВПН-клиента будет подменятса адрес на адрес сервера 10,2,36,188, что то типа этого

 Консоль:
iptables -t nat -A POSTROUTING -s 192.168.50.10 -o eth1 -j SNAT --to-source  10.2.36.188

пинги пошли, но! после перезагрузки придется сделать вывод iptables -t nat -A POSTROUTING -s 192.168.50.10 -o eth1 -j SNAT --to-source  10.2.36.188 
то что вы написали, куда нужно прописать эту команду чтоб автоматический поднялся

СПАСИБО ВАМ ОГРОМНО!!!   всё получилось

Сайт ruziev.ulugbek

24 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Я не пользуюсь Дебианом, точно сказать не могу. Вот тут читайте

Trouble  in WINDOWS reboot, trouble in UNIX be root.

25 Ответ от AntiduPb (02.06.2014 16:06:39 отредактировано AntiduPb)

  • AntiduPb
  • AntiduPb
  • Пользователь
  • Неактивен
  • Откуда: Stavropol
  • Зарегистрирован: 12.01.2014
  • Сообщений: 181
  • Репутация : [ 8 | 0 ]
ruziev.ulugbek пишет:

пинги пошли, но! после перезагрузки придется сделать вывод iptables -t nat -A POSTROUTING -s 192.168.50.10 -o eth1 -j SNAT --to-source  10.2.36.188
то что вы написали, куда нужно прописать эту команду чтоб автоматический поднялся

apt-get install iptables-persistent

сохранить настройки 

/etc/init.d/iptables-persistent save
Конечно, это работает в Gentoo!