Автор Тема: OpenVPN - не видно сеть за сервером, нужна помощь профи... (Прочитано 8352 раз)

rromms · « : 07 Апреля 2011, 22:34:22 »

Уважаемые господа!

На Virtualbox установил:
1. Windows XP sp3 (192.168.0.189) шлюзом у которой=>
2. Ubuntu 10.10 (LAN-192.168.0.190; WAN-192.168.1.190), на ней сервер OpenVPN (10.10.100.0/24).
3. pfSense 1.2.3 (LAN-192.168.2.70; WAN-192.168.1.200), которая шлюз у =>
4. XP sp3 (192.168.2.50), на ней клиента OpenVPN.

Мысль такая:
Связать клиента OpenVPN на Windows XP (Ip 192.168.2.50), у которой шлюз - pfSense (LAN 192.168.2.70, WAN 192.168.1.200),
с сервером OpenVPN на Ubuntu 10.10 (192.168.1.190) и получить доступ в сеть 192.168.0.0/24, представленную Windows XP sp3 (192.168.0.189) .
pfSense особо не настраивал, NAT там по умолчанию, разрешил только пинги.
Вроде бы все получилось, клиент устанавливает соединение с сервером (значок горит зеленым и логи говорят о том же), адреса присваиваются, маршруты прописываются.
Но, =>
1. Сервер не пингует клиента по адресу его сети, по "виртуальному" адресу пингует.
2. Клиент пингует сервер по всем адресам, но не может достучаться в сеть за сервером.

В общем прошу совета у гуру...

Схема этого "чуда" - во вложенном файле...

Сервер.
Конфиг:

(Нажмите, чтобы показать/скрыть)

Файл с настройками клиента в ccd:

(Нажмите, чтобы показать/скрыть)

Конфигурация интерфейсов:

(Нажмите, чтобы показать/скрыть)

Маршруты:

(Нажмите, чтобы показать/скрыть)

Пинги с сервера:

(Нажмите, чтобы показать/скрыть)

Оpenvpn-status.log

(Нажмите, чтобы показать/скрыть)

Openvpn.log

(Нажмите, чтобы показать/скрыть)

Конфигурация клиента на Windows XP sp3.
Конфиг OpenVPN клиента:

(Нажмите, чтобы показать/скрыть)

Интерфейсы на клиенте:

(Нажмите, чтобы показать/скрыть)

Маршруты на клиенте:

(Нажмите, чтобы показать/скрыть)

Пинги с клиента:

(Нажмите, чтобы показать/скрыть)

И, наконец, настройки iptables на сервере:

(Нажмите, чтобы показать/скрыть)

Заранее благодарен всем откликнувшемся!

podkovyrsty · « **Ответ #1 :** 08 Апреля 2011, 09:54:55 »

А форвардинг включен?

rromms · « **Ответ #2 :** 08 Апреля 2011, 10:00:07 »

Включен:

-A INPUT -s 10.10.100.0/24 -i tun0 -j open_vpn #---------------------------------------<== Jump на цепочку OpenVPN
=======================================================================
-A FORWARD -d 10.10.100.0/24 -o tun0 -j open_vpn #--------------------------------<== Jump на цепочку OpenVPN
-A FORWARD -s 10.10.100.0/24 -i tun0 -j open_vpn #----------------------------------<== Jump на цепочку OpenVPN
=======================================================================
-A OUTPUT -d 10.10.100.0/24 -o tun0 -j open_vpn #-----------------------------------<== Jump на цепочку OpenVPN
=======================================================================
-A open_vpn -d 10.10.100.0/24 -o tun0 -j ACCEPT # -----------------------------------<== Цепочка OpenVPN
-A open_vpn -s 10.10.100.0/24 -i tun0 -j ACCEPT # -------------------------------------<== Цепочка OpenVPN

fisher74 · « **Ответ #3 :** 08 Апреля 2011, 10:34:35 »

это правила iptables, а сам-то форвардинг включен?

Код: [Выделить]

cat /proc/sys/net/ipv4/ip_forward

rromms · « **Ответ #4 :** 08 Апреля 2011, 15:15:50 »

Форвардинг включен.
Добавил скрипт в автозагрузку, при старте он, в т.ч., включает форвардинг и загружает правила iptables.

fisher74 · « **Ответ #5 :** 08 Апреля 2011, 15:35:27 »

Пошли по порядку:

Цитировать

1. Сервер не пингует клиента по адресу его сети, по "виртуальному" адресу пингует.

правила для пакетов с destination-адресом 192.168.2.0/24 для -o tun0 не вижу, как собственно и обратного разрешающего правила тоже не вижу.

Цитировать

2. Клиент пингует сервер по всем адресам, но не может достучаться в сеть за сервером.

правила для пакетов с destination-адресом 192.168.0.0/24 для -i tun0 не вижу, как собственно и обратного разрешающего правила тоже не вижу.

rromms · « **Ответ #6 :** 08 Апреля 2011, 18:40:51 »

Спасибо за совет! Правила добавил. Сервер начал пинговать клиента по его IP (192.168.2.50)

Однако клиент по прежнему не видит сеть за сервером:

Код: [Выделить]

C:\Documents and Settings\rromms>ping 192.168.0.189

Обмен пакетами с 192.168.0.189 по 32 байт:

Ответ от 10.10.100.1: Заданный узел недоступен.

Точно также не видно клиента из сети за сервером, пинги уходят в никуда (превышен интервал ожидания для запроса).

Такое впечатление, что между tun0 и eth1 какой-то затык и пакеты между ними не ходят.

fisher74 · « **Ответ #7 :** 08 Апреля 2011, 19:22:34 »

Показывайте действующие правила.

rromms · « **Ответ #8 :** 08 Апреля 2011, 19:34:30 »

Действущие правила:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

root@ubuntu:/home/rromms# iptables-save
# Generated by iptables-save v1.4.4 on Fri Apr  8 18:30:57 2011
*mangle
:PREROUTING ACCEPT [125:13086]
:INPUT ACCEPT [105:10069]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [101:12164]
:POSTROUTING ACCEPT [90:12637]
COMMIT
# Completed on Fri Apr  8 18:30:57 2011
# Generated by iptables-save v1.4.4 on Fri Apr  8 18:30:57 2011
*nat
:PREROUTING ACCEPT [9:984]
:OUTPUT ACCEPT [18:1329]
:POSTROUTING ACCEPT [1:217]
-A PREROUTING -i eth0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.1.151
-A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.190
COMMIT
# Completed on Fri Apr  8 18:30:57 2011
# Generated by iptables-save v1.4.4 on Fri Apr  8 18:30:57 2011
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [27:2078]
:bad_packets - [0:0]
:bad_tcp_packets - [0:0]
:icmp_packets - [0:0]
:open_vpn - [0:0]
:tcp_inbound - [0:0]
:tcp_outbound - [0:0]
:udp_inbound - [0:0]
:udp_outbound - [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -j bad_packets
-A INPUT -d 224.0.0.1/32 -j DROP
-A INPUT -s 192.168.0.0/24 -i eth1 -j ACCEPT
-A INPUT -d 192.168.0.255/32 -i eth1 -j ACCEPT
-A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -j tcp_inbound
-A INPUT -i eth0 -p udp -j udp_inbound
-A INPUT -i eth0 -p icmp -j icmp_packets
-A INPUT -i tun0 -j open_vpn
-A INPUT -m pkttype --pkt-type broadcast -j DROP
-A INPUT -j LOG --log-prefix "fp=INPUT:99 a=DROP "
-A FORWARD -j bad_packets
-A FORWARD -i eth1 -p tcp -j tcp_outbound
-A FORWARD -i eth1 -p udp -j udp_outbound
-A FORWARD -i eth1 -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.1.151/32 -i eth0 -p tcp -m tcp --dport 25 -j ACCEPT
-A FORWARD -o tun0 -j open_vpn
-A FORWARD -i tun0 -j open_vpn
-A FORWARD -j LOG --log-prefix "fp=FORWARD:99 a=DROP "
-A OUTPUT -p icmp -m state --state INVALID -j DROP
-A OUTPUT -s 127.0.0.1/32 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -s 192.168.0.190/32 -j ACCEPT
-A OUTPUT -o eth1 -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -o tun0 -j open_vpn
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -j LOG --log-prefix "fp=OUTPUT:99 a=DROP "
-A bad_packets -s 192.168.0.0/24 -i eth0 -j LOG --log-prefix "fp=bad_packets:2 a=DROP "
-A bad_packets -s 192.168.0.0/24 -i eth0 -j DROP
-A bad_packets -m state --state INVALID -j LOG --log-prefix "fp=bad_packets:1 a=DROP "
-A bad_packets -m state --state INVALID -j DROP
-A bad_packets -p tcp -j bad_tcp_packets
-A bad_packets -j RETURN
-A bad_tcp_packets -i eth1 -p tcp -j RETURN
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j LOG --log-prefix "fp=bad_tcp_packets:1 a=DROP "
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j LOG --log-prefix "fp=bad_tcp_packets:2 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j LOG --log-prefix "fp=bad_tcp_packets:3 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j LOG --log-prefix "fp=bad_tcp_packets:4 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j LOG --log-prefix "fp=bad_tcp_packets:5 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j LOG --log-prefix "fp=bad_tcp_packets:6 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j LOG --log-prefix "fp=bad_tcp_packets:7 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A bad_tcp_packets -p tcp -j RETURN
-A icmp_packets -p icmp -f -j LOG --log-prefix "fp=icmp_packets:1 a=DROP "
-A icmp_packets -p icmp -f -j DROP
-A icmp_packets -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A icmp_packets -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A icmp_packets -p icmp -j RETURN
-A open_vpn -d 10.10.100.0/24 -o tun0 -j ACCEPT
-A open_vpn -s 10.10.100.0/24 -i tun0 -j ACCEPT
-A open_vpn -d 192.168.0.0/24 -o tun0 -j ACCEPT
-A open_vpn -s 192.168.0.0/24 -i tun0 -j ACCEPT
-A open_vpn -d 192.168.2.0/24 -o tun0 -j ACCEPT
-A open_vpn -s 192.168.2.0/24 -i tun0 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 25 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 110 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 143 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 995 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 993 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 22 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 2101 -j ACCEPT
-A tcp_inbound -s 192.168.1.151/32 -p tcp -m tcp --dport 10000 -j ACCEPT
-A tcp_inbound -p tcp -j RETURN
-A tcp_outbound -p tcp -j ACCEPT
-A udp_inbound -p udp -m udp --dport 123 -j ACCEPT
-A udp_inbound -p udp -m udp --dport 2101 -j ACCEPT
-A udp_inbound -p udp -j RETURN
-A udp_outbound -p udp -j ACCEPT
COMMIT
# Completed on Fri Apr  8 18:30:57 2011

Форвардинг:

Код: [Выделить]

root@ubuntu:/home/rromms# cat /proc/sys/net/ipv4/ip_forward
1

fisher74 · « **Ответ #9 :** 08 Апреля 2011, 22:43:20 »

На машине Windows XP sp3 (192.168.0.189) покажите "route print"

rromms · « **Ответ #10 :** 08 Апреля 2011, 22:55:21 »

route print c Windows XP sp3 (192.168.0.189)

Код: [Выделить]

C:\Documents and Settings\rromms>route print
===========================================================================
Список интерфейсов
0x1 ........................... MS TCP 
0x10003 ...08 00 27 97 85 ea ...... AMD PCNET 
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0    192.168.0.190   192.168.0.189       20
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1       1
      192.168.0.0    255.255.255.0    192.168.0.189   192.168.0.189       20
    192.168.0.189  255.255.255.255        127.0.0.1       127.0.0.1       20
    192.168.0.255  255.255.255.255    192.168.0.189   192.168.0.189       20
        224.0.0.0        240.0.0.0    192.168.0.189   192.168.0.189       20
  255.255.255.255  255.255.255.255    192.168.0.189   192.168.0.189       1
Основной шлюз:       192.168.0.190
===========================================================================
Постоянные маршруты:
  Отсутствует

fisher74 · « **Ответ #11 :** 08 Апреля 2011, 23:00:53 »

Цитировать

-A open_vpn -d 192.168.0.0/24 -o tun0 -j ACCEPT
-A open_vpn -s 192.168.0.0/24 -i tun0 -j ACCEPT

Вы тут исходящий с входящим интерфейсом перепутали. Сетка 192.168.0.0/24 находится со стороны сервера относительно туннеля.
Потому правильно так

Цитировать

-A open_vpn -d 192.168.0.0/24 -i tun0 -j ACCEPT
-A open_vpn -s 192.168.0.0/24 -o tun0 -j ACCEPT

rromms · « **Ответ #12 :** 09 Апреля 2011, 01:12:33 »

Поменял по Вашей подсказке. Сам действительно запутался...
Ситуация улучшилась - сеть за севером теперь видит клиента, без проблем зашел на админ.шару - \\192.168.2.50\c$\.
Но клиент до сети за сервером так и не достучался.

tcpdump при пинге клиентом OpenVPN сети за сервером говорит:

Код: [Выделить]

root@ubuntu:/home/rromms# tcpdump -r /home/rromms/tcp3
reading from file /home/rromms/tcp3, link-type EN10MB (Ethernet)
00:04:55.076342 IP 192.168.2.50.rtcm-sc104 > ubuntu.WORKGROUP.rtcm-sc104: UDP, length 101
00:04:55.076470 IP 192.168.1.200.14044 > ubuntu.WORKGROUP.rtcm-sc104: UDP, length 101
00:04:55.077030 IP 10.10.100.2 > 192.168.0.189: ICMP echo request, id 512, seq 20480, length 40
00:04:59.508232 IP ubuntu.WORKGROUP.rtcm-sc104 > 192.168.1.200.14044: UDP, length 53
00:04:59.508969 IP ubuntu.WORKGROUP.rtcm-sc104 > 192.168.2.50.rtcm-sc104: UDP, length 53
00:05:00.083398 IP 192.168.2.50.rtcm-sc104 > ubuntu.WORKGROUP.rtcm-sc104: UDP, length 101
00:05:00.083755 IP 192.168.1.200.14044 > ubuntu.WORKGROUP.rtcm-sc104: UDP, length 101
00:05:00.084194 IP 10.10.100.2 > 192.168.0.189: ICMP echo request, id 512, seq 20736, length 40

т.е. на 10.10.100.2 где-то пинги теряются...

При пинге клиента из сети сервера все в порядке:

Код: [Выделить]

23:55:28.404486 IP 192.168.0.189 > 192.168.2.50: ICMP echo request, id 1, seq 30, length 40
23:55:28.404689 IP ubuntu.WORKGROUP.rtcm-sc104 > 192.168.1.200.14044: UDP, length 101
23:55:28.405211 IP ubuntu.WORKGROUP.rtcm-sc104 > 192.168.2.50.rtcm-sc104: UDP, length 101
23:55:28.406085 IP 192.168.2.50.rtcm-sc104 > ubuntu.WORKGROUP.rtcm-sc104: UDP, length 101
23:55:28.407058 IP 192.168.1.200.14044 > ubuntu.WORKGROUP.rtcm-sc104: UDP, length 101
23:55:28.407570 IP 192.168.2.50 > 192.168.0.189: ICMP echo reply, id 1, seq 30, length 40

Мозги немного кипят уже...

fisher74 · « **Ответ #13 :** 09 Апреля 2011, 08:40:26 »

на 0.189 брандмауер разрешает icmp протокол не из локальной сети?
Препятствий больше не вижу.

192.168.0.190 со стороны 192.168.2,50 предполагаю, что пингуется.

rromms · « **Ответ #14 :** 09 Апреля 2011, 11:10:44 »

Спасибо огромное за помощь!

Все получилось. WinXP (которая 192.168.0.189) мозги пудрила. Голая система с отключенным брандмауэром и на тебе...
Сделал клона из второй WinXP (которая 192.168.2.50), перенастроил и все заработало.

Теперь только записать для себя (что и как) осталось.

Форум русскоязычного сообщества Ubuntu

Автор Тема: OpenVPN - не видно сеть за сервером, нужна помощь профи... (Прочитано 8352 раз)

rromms

OpenVPN - не видно сеть за сервером, нужна помощь профи...

podkovyrsty

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

rromms

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

fisher74

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

rromms

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

fisher74

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

rromms

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

fisher74

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

rromms

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

fisher74

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

rromms

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

fisher74

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

rromms

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

fisher74

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...

rromms

Re: OpenVPN - не видно сеть за сервером, нужна помощь профи...