Маршрут в сеть за OpenVPN

Настройка сетевых служб, маршрутизации, фаерволлов. Проблемы с сетевым оборудованием.
Правила форума
Убедительная просьба юзать теги [code] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
Аватара пользователя
Cancer
Гл. Кастратор
Сообщения: 1269
Зарегистрирован: 2008-03-25 12:21:36
Откуда: г. Ростов-на-Дону
Контактная информация:

Маршрут в сеть за OpenVPN

Непрочитанное сообщение Cancer » 2009-01-29 21:40:36

Доброго времени суток!
Помогите с такой проблемой. Стоит комп FreeBSD 6.4 настроен OpenVPN, схема вот такая
INTERNET--------rl1(Server_OpenVPN)rl0-----LAN_Office , но сам сервер не default gateway в сети.
Подключаюсь (из дома) к серверу OpenVPN (из LAN_Office), все отлично, но начинаю пинговать любую машину из локальной сети, пинг не проходит.
Далее беру меняю в LAN_Office на одной машине default gateway и ставлю ip адрес OpenVPN сервера. Позже подключаюсь из дома к OpenVPN серверу, пингую эту тачку (на которой поменял default gateway) пинги проходят.


Вопрос можно настроить маршрут как нить если сервер не ГЕЙТ в сети ?

Код: Выделить всё

cat /usr/local/etc/openvpn/server.conf

port 2000
proto udp
dev tun0
ca /usr/local/etc/openvpn/keys/ca.crt
cert /usr/local/etc/openvpn/keys/server.crt
key /usr/local/etc/openvpn/keys/server.key
dh /usr/local/etc/openvpn/keys/dh1024.pem
server 10.10.200.0 255.255.255.0
#push "route-gateway 10.10.200.1"
#push "dhcp-option DNS 192.168.55.1"
#push "dhcp-option WINS 192.168.55.1"
#push "redirect-gateway"
push "route 192.168.55.0 255.255.255.0"
#push "redirect-gateway def1"
client-config-dir ccd
route 10.10.200.0 255.255.255.252
tls-server
tls-auth keys/ta.key 0
tls-timeout 120
auth MD5
cipher BF-CBC
keepalive 10 120
comp-lzo
max-clients 100
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log /var/log/openvpn/openvpn.log
verb 3

Код: Выделить всё

cat /usr/local/etc/openvpn/ccd/cancer

ifconfig-push 10.10.200.2 10.10.200.1

Код: Выделить всё

Конфиг клиента на тачке с Windows

dev tun
proto udp
remote 86.xxx.xxx.xxx
port 2000
client
resolv-retry infinite
ca ca.crt
cert cancer.crt
key cancer.key
tls-client
tls-auth ta.key 1
auth MD5
cipher BF-CBC
ns-cert-type server
comp-lzo
persist-key
persist-tun
verb 3
Последний раз редактировалось Cancer 2009-01-29 22:47:56, всего редактировалось 1 раз.

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
hizel
дядя поня
Сообщения: 9031
Зарегистрирован: 2007-06-29 10:05:02
Откуда: Выборг

Re: Маршрут в сеть за OpenVPN

Непрочитанное сообщение hizel » 2009-01-29 22:44:20

заНАТить
В дурацкие игры он не играет. Он просто жуткий, чу-чу, паровозик, и зовут его Блейн. Блейн --- это Боль.

Аватара пользователя
Cancer
Гл. Кастратор
Сообщения: 1269
Зарегистрирован: 2008-03-25 12:21:36
Откуда: г. Ростов-на-Дону
Контактная информация:

Re: Маршрут в сеть за OpenVPN

Непрочитанное сообщение Cancer » 2009-01-29 23:22:43

сделал

Код: Выделить всё

nat pass on rl0 proto {tcp, udp, icmp} from any to $lan_net -> rl0

Код: Выделить всё

C:\>ping 192.168.55.1

Обмен пакетами с 192.168.55.1 по 32 байт:

Ответ от 192.168.55.1: число байт=32 время=69мс TTL=127
Ответ от 192.168.55.1: число байт=32 время=92мс TTL=127
Ответ от 192.168.55.1: число байт=32 время=86мс TTL=127

Аватара пользователя
Cancer
Гл. Кастратор
Сообщения: 1269
Зарегистрирован: 2008-03-25 12:21:36
Откуда: г. Ростов-на-Дону
Контактная информация:

Re: Маршрут в сеть за OpenVPN

Непрочитанное сообщение Cancer » 2009-01-30 0:30:13

оказалось неправильно, так как тачку потом из локальной сети не пингануть )
Петлю какую-то сделал =)

snorlov
подполковник
Сообщения: 3701
Зарегистрирован: 2008-09-04 11:51:25
Откуда: Санкт-Петербург

Re: Маршрут в сеть за OpenVPN

Непрочитанное сообщение snorlov » 2009-01-30 11:21:09

Я лично думаю никак, кроме 2-[ вариантов:
1. Прописать внутри офиса еще один постоянный маршрут на всех компьютерах
2. на основном dg переадресация запросов файрволом на сервер VPN

Аватара пользователя
Cancer
Гл. Кастратор
Сообщения: 1269
Зарегистрирован: 2008-03-25 12:21:36
Откуда: г. Ростов-на-Дону
Контактная информация:

Re: Маршрут в сеть за OpenVPN

Непрочитанное сообщение Cancer » 2009-01-30 12:34:45

snorlov писал(а):Я лично думаю никак, кроме 2-[ вариантов:
1. Прописать внутри офиса еще один постоянный маршрут на всех компьютерах
2. на основном dg переадресация запросов файрволом на сервер VPN

Так и есть, на основном DG прописал route add 10.10.200.0/24 192.168.55.xxx
так что всех клиентов обращающихся к 10.10.200.0/24 перенаправляет на тачку с OpenVPN

но вот занатить не получается :( Поможите

Вот конф pf

Код: Выделить всё

# Перва сетевая карта Локалка
int_if="rl0"

# Вторая сетевая карта Мир
ext_if="rl1"

#virt_if="tun0"

# LAN (локальная сеть)
lan_net="{192.168.55.0/24}"

NoRouteIPs = "{ 127.0.0.0/8 }"
vpn_net="{10.10.200.0/24}"


set block-policy drop
set skip on lo0

# Натим из OpenVPN в LAN
#nat pass on rl0 proto {tcp, udp, icmp} from any to $lan_net -> rl0
########nat pass on $inf_if proto {tcp, udp, icmp} from any to $lan_net -> rl0

# Натим из LAN в OpenVPN
#nat pass on tun0  proto {tcp, udp, icmp} from any to $vpn_net -> tun0
########nat pass on tun0 proto {tcp, udp, icmp} from any to rl0 -> (tun0)

# SSH -> Открыть порты для WAN => Шлюз
pass in quick on $ext_if proto { tcp, udp } from any to self port 1022
pass in quick on $ext_if proto { tcp, udp } from any to self port 2000

pass in quick on $int_if from $lan_net to any
pass out quick on $int_if from self to $lan_net
pass out quick on $ext_if from self to any keep state
block in on $ext_if from any to any

snorlov
подполковник
Сообщения: 3701
Зарегистрирован: 2008-09-04 11:51:25
Откуда: Санкт-Петербург

Re: Маршрут в сеть за OpenVPN

Непрочитанное сообщение snorlov » 2009-01-30 12:44:42

А зачем натить-то, просто на dg написать forward на VPN-сервер и маршрут не надо прописывать на dg...

Аватара пользователя
Cancer
Гл. Кастратор
Сообщения: 1269
Зарегистрирован: 2008-03-25 12:21:36
Откуда: г. Ростов-на-Дону
Контактная информация:

Re: Маршрут в сеть за OpenVPN

Непрочитанное сообщение Cancer » 2009-01-30 13:09:47

snorlov писал(а):А зачем натить-то, просто на dg написать forward на VPN-сервер и маршрут не надо прописывать на dg...

Не проходят пакеты... с DefaultGetaway на OpenVPN.

Подробнее, IP OpenVPN сервера пингует 10.10.200.1
Пинг с компа в сети у которого гейт N1, который в свою очередь перенаправляет 10.10.200.0/24 на OpenVPN сервер

Код: Выделить всё

//>ping 10.10.200.1
PING 10.10.200.1 (10.10.200.1): 56 data bytes
64 bytes from 10.10.200.1: icmp_seq=0 ttl=64 time=0.233 ms
64 bytes from 10.10.200.1: icmp_seq=1 ttl=64 time=0.195 ms
64 bytes from 10.10.200.1: icmp_seq=2 ttl=64 time=0.180 ms
64 bytes from 10.10.200.1: icmp_seq=3 ttl=64 time=0.180 ms
а вот клиентов, которые подключились к OpenVPN нифига

Код: Выделить всё

//>ping 10.10.200.2
PING 10.10.200.2 (10.10.200.2): 56 data bytes
^C
--- 10.10.200.2 ping statistics ---
2 packets transmitted, 0 packets received, 100% packet loss

Еще с сервака OpenVPN нужно же натить в локалку (так как он не DefaultGetaway в сети)

Аватара пользователя
Cancer
Гл. Кастратор
Сообщения: 1269
Зарегистрирован: 2008-03-25 12:21:36
Откуда: г. Ростов-на-Дону
Контактная информация:

Re: Маршрут в сеть за OpenVPN

Непрочитанное сообщение Cancer » 2009-01-30 20:18:33

Все заработало, все настроил ненужны никакие наты итд итп.

Ща углубился в изучение OpenVPN, почитаю более подробнее как он работает.


Cделал!!

Пришлось только добавить route на основном шлюзе
route add 10.10.200.0/24 192.168.55.10

192.168.55.10-тачка о openvpn
только почему то трассировку не пойму если честно.

Код: Выделить всё

C:\>tracert 10.10.200.2

Трассировка маршрута к 10.10.200.2 с максимальным числом прыжков 30

  1    <1 мс    <1 мс    <1 мс  192.168.55.10
  2    42 ms    41 ms    44 ms  10.10.200.2

Трассировка завершена.

Почему то она идет не через основной шлюз
Удаляю роут пинги прекращаются

Код: Выделить всё

route delete 10.10.200.0/24 192.168.55.10
вот tracert на несуществующий IP, как видно трассировка идет сначала на основной шлюз потом на машину с OpenVPN

Код: Выделить всё

C:\>tracert 10.10.200.7

Трассировка маршрута к 10.10.200.7 с максимальным числом прыжков 30

  1    <1 мс    <1 мс    <1     192.168.55.2
  2    <1 мс     *        *     192.168.55.10
  3     *        *        *     Превышен интервал ожидания для запроса.
  4     *        *        *     Превышен интервал ожидания для запроса.
  5     *        *        *     Превышен интервал ожидания для запроса.
  6  ^C

Не пойму если честно, мистика чтоль =) :bn: