И сново OpenVPN (Intrenet не доступен)

[screeble]

Доброго времени суток,

Прочел несколько похожих тем на Вашем форуме но никак не могу их адаптировать под свою ситуацию.
Вообщем проблема такая. Есть сервер который расположен в другой стране (UBUNTU) и на нем поднят OpenVPN. Есть клиент (UBUNTU) который к нему успешно конектится в результате чего созадется туннель, но на клиенте нет выхода в Internet.

Необходимая информация:

Серверная часть:

server.conf

(Нажмите, чтобы показать/скрыть)

#network variables
mode server
port 1194
proto udp
dev tap

#certificates&security
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/openvpn/easy-rsa/keys/dh1024.pem

plugin /usr/lib/openvpn/openvpn-auth-pam.so common-auth
client-cert-not-required
username-as-common-name
auth MD5
duplicate-cn

#forwarding
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1"

client-to-client

#logs
status openvpn-status.log
log openvpn.log
verb 5

keepalive 10 60

client-config-dir /etc/openvpn/client-config

ifconfig -a

(Нажмите, чтобы показать/скрыть)

eth1      Link encap:Ethernet  HWaddr 14:da:e9:93:b4:05 
          inet addr:192.168.1.10  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::16da:e9ff:fe93:b405/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1246707 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1740319 errors:0 dropped:0 overruns:0 carrier:1
          collisions:0 txqueuelen:1000
          RX bytes:353329880 (353.3 MB)  TX bytes:1516090971 (1.5 GB)
          Interrupt:44

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:1602 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1602 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:181604 (181.6 KB)  TX bytes:181604 (181.6 KB)

tap0      Link encap:Ethernet  HWaddr 86:c6:c6:4b:10:2c 
          inet addr:10.8.0.1  Bcast:10.8.0.255  Mask:255.255.255.0
          inet6 addr: fe80::84c6:c6ff:fe4b:102c/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:943 errors:0 dropped:0 overruns:0 frame:0
          TX packets:178 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:115121 (115.1 KB)  TX bytes:30315 (30.3 KB)

route -n

(Нажмите, чтобы показать/скрыть)

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.1.0     0.0.0.0         255.255.255.0   U     1      0        0 eth1
10.8.0.0        0.0.0.0         255.255.255.0   U     0      0        0 tap0
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 eth1
0.0.0.0         192.168.1.1     0.0.0.0         UG    0      0        0 eth

cat /proc/sys/net/ipv4/ip_forward

(Нажмите, чтобы показать/скрыть)

1

iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.10 on Wed Oct  5 13:55:03 2011
*nat
:PREROUTING ACCEPT [943:111953]
:INPUT ACCEPT [363:50558]
:OUTPUT ACCEPT [185073:11623977]
:POSTROUTING ACCEPT [185114:11626594]
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Wed Oct  5 13:55:03 2011
# Generated by iptables-save v1.4.10 on Wed Oct  5 13:55:03 2011
*filter
:INPUT ACCEPT [1329876:362624862]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1520059:1623497984]
-A FORWARD -s 10.8.0.0/24 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Wed Oct  5 13:55:03 2011

Клиентская часть:

client.conf

(Нажмите, чтобы показать/скрыть)

client
remote develop.no-ip.org
port 1194
dev tap
proto udp
resolv-retry infinite
ca ca.crt
auth-user-pass
auth MD5
persist-tun
redirect-gateway def1
script-security 2

openvpn --config client.conf

(Нажмите, чтобы показать/скрыть)

Wed Oct  5 14:49:12 2011 OpenVPN 2.1.0 i686-pc-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [MH] [PF_INET6] [eurephia] built on Jul 12 2010
Enter Auth Username:******
Enter Auth Password:
Wed Oct  5 14:49:24 2011 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Wed Oct  5 14:49:24 2011 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Wed Oct  5 14:49:32 2011 UDPv4 link local (bound): [undef]
Wed Oct  5 14:49:32 2011 UDPv4 link remote: [AF_INET]178.74.248.230:1194
Wed Oct  5 14:49:33 2011 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Wed Oct  5 14:49:37 2011 [Test-Server] Peer Connection Initiated with [AF_INET]178.74.248.230:1194
Wed Oct  5 14:49:40 2011 TUN/TAP device tap0 opened
Wed Oct  5 14:49:40 2011 /sbin/ifconfig tap0 10.8.0.2 netmask 255.255.255.0 mtu 1500 broadcast 10.8.0.255
Wed Oct  5 14:49:40 2011 Initialization Sequence Completed

ifconfig -a

(Нажмите, чтобы показать/скрыть)

eth0      Link encap:Ethernet  HWaddr 08:00:27:34:45:c4 
          inet addr:10.0.2.15  Bcast:10.0.2.255  Mask:255.255.255.0
          inet6 addr: fe80::a00:27ff:fe34:45c4/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:30621 errors:0 dropped:0 overruns:0 frame:0
          TX packets:18919 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:36375308 (36.3 MB)  TX bytes:1517445 (1.5 MB)

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:145 errors:0 dropped:0 overruns:0 frame:0
          TX packets:145 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:12389 (12.3 KB)  TX bytes:12389 (12.3 KB)

tap0      Link encap:Ethernet  HWaddr 82:2f:30:bf:ed:72 
          inet addr:10.8.0.2  Bcast:10.8.0.255  Mask:255.255.255.0
          inet6 addr: fe80::802f:30ff:febf:ed72/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1 errors:0 dropped:0 overruns:0 frame:0
          TX packets:194 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:42 (42.0 B)  TX bytes:13458 (13.4 KB)

ping -c4 10.8.0.1

(Нажмите, чтобы показать/скрыть)

PING 10.8.0.1 (10.8.0.1) 56(84) bytes of data.
64 bytes from 10.8.0.1: icmp_req=1 ttl=64 time=454 ms
64 bytes from 10.8.0.1: icmp_req=2 ttl=64 time=460 ms
64 bytes from 10.8.0.1: icmp_req=3 ttl=64 time=437 ms
64 bytes from 10.8.0.1: icmp_req=4 ttl=64 time=465 ms

ping -c4 8.8.8.8

(Нажмите, чтобы показать/скрыть)

PING 8.8.8.8 (8.8.8. 56(84) bytes of data.

--- 8.8.8.8 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 3004ms

Где я налажал, подскажите пожалуйста???

[fisher74]

Если посмотреть на route -n на клиенте, то увилите, что default-маршрут не туда смотрит.
Добавьте опцию pull в клиентский конфиг. И после рестарта сервиса показывайте route

[screeble]

Вот результат (route -n):

(Нажмите, чтобы показать/скрыть)

pixel@ubuntu:~$ route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
178.74.248.230  10.0.2.2        255.255.255.255 UGH   0      0        0 eth0
10.8.0.0        0.0.0.0         255.255.255.0   U     0      0        0 tap0
10.0.2.0        0.0.0.0         255.255.255.0   U     1      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 eth0
0.0.0.0         10.8.0.1        128.0.0.0       UG    0      0        0 tap0
128.0.0.0       10.8.0.1        128.0.0.0       UG    0      0        0 tap0
0.0.0.0         10.0.2.2        0.0.0.0         UG    0      0        0 eth0

pixel@ubuntu:~$ cat /etc/openvpn/client.conf
client
remote develop.no-ip.org
port 1194
dev tap
proto udp
resolv-retry infinite
ca ca.crt
auth-user-pass
auth MD5
persist-tun
redirect-gateway def1
script-security 2
pull

Спасибо

[fisher74]

Не совсем понятно - всё стало ОК?

[screeble]

К сожалению нет

Может проблема в IpTables?

[fisher74]

Нет. Там никаких запретов и с маскарадом всё нормально
Попробуйте на клиенте

Код: [Выделить]

sudo route delete 0.0.0.0 netmask 0.0.0.0 gw 10.0.2.2 dev eth0
ping -c4 8.8.8.8

[screeble]

Когда удалил:

sudo route del -net 0.0.0.0 netmask 0.0.0.0 gw 10.0.2.2 dev eth0

route -n

(Нажмите, чтобы показать/скрыть)

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
188.72.65.190   10.0.2.2        255.255.255.255 UGH   0      0        0 eth0
10.0.2.0        0.0.0.0         255.255.255.0   U     1      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 eth0

Результат:
/etc/openvpn# ping -c4 8.8.8.8
connect: Network is unreachable

root@ubuntu:/etc/openvpn# openvpn --config client.conf
Wed Oct  5 16:55:29 2011 OpenVPN 2.1.0 i686-pc-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [MH] [PF_INET6] [eurephia] built on Jul 12 2010
Enter Auth Username:moscow
Enter Auth Password:
Wed Oct  5 16:55:38 2011 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Wed Oct  5 16:55:38 2011 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Wed Oct  5 16:55:38 2011 RESOLVE: Cannot resolve host address: develop.no-ip.org: [HOST_NOT_FOUND] The specified host is unknown.
Wed Oct  5 16:55:38 2011 RESOLVE: Cannot resolve host address: develop.no-ip.org: [HOST_NOT_FOUND] The specified host is unknown.
Wed Oct  5 16:55:43 2011 RESOLVE: Cannot resolve host address: develop.no-ip.org: [HOST_NOT_FOUND] The specified host is unknown.
Wed Oct  5 16:55:48 2011 RESOLVE: Cannot resolve host address: develop.no-ip.org: [HOST_NOT_FOUND] The specified host is unknown.

Нашел такое правило на форуме: iptables -t nat -A POSTROUTING -s 10.8.0.0/8 -o ИСХ_ИНТЕРФЕЙС -j SNAT --to-source ТВОЙ_БЕЛЫЙ_IP

Может мне следует добавить его?

[fisher74]

А всё... увидел грабельки.
У Вас на сервере используется eth1, а в iptables маскарадите eth0.
pull оставляем и меняем правило

sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Если у Вас статический адрес, то можете

Код: [Выделить]

sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/8 -o eth1 -j SNAT --to-source ваш_статический_ип

[screeble]

Спасибо, fisher74,

интеренета на клиенте пока еще нет  но надежды остаются:)
Вообщем теперь таблица выглядит так:

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.10 on Thu Oct  6 10:54:12 2011
*filter
:INPUT ACCEPT [8013:5681943]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [7388:5812529]
-A FORWARD -s 10.8.0.0/24 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Thu Oct  6 10:54:12 2011
# Generated by iptables-save v1.4.10 on Thu Oct  6 10:54:12 2011
*nat
:PREROUTING ACCEPT [23:3219]
:INPUT ACCEPT [1:42]
:OUTPUT ACCEPT [1580:99197]
:POSTROUTING ACCEPT [1580:99197]
-A POSTROUTING -s 10.0.0.0/8 -o eth1 -j SNAT --to-source 178.74.248.230
COMMIT
# Completed on Thu Oct  6 10:54:12 2011

178.74.248.230 это мой статический IP.

На всякий случай (route -n клиента)

(Нажмите, чтобы показать/скрыть)

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
178.74.248.230  10.0.2.2        255.255.255.255 UGH   0      0        0 eth0
188.72.65.190   10.0.2.2        255.255.255.255 UGH   0      0        0 eth0
10.8.0.0        0.0.0.0         255.255.255.0   U     0      0        0 tap0
10.0.2.0        0.0.0.0         255.255.255.0   U     1      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 eth0
0.0.0.0         10.8.0.1        128.0.0.0       UG    0      0        0 tap0
128.0.0.0       10.8.0.1        128.0.0.0       UG    0      0        0 tap0
0.0.0.0         10.0.2.2        0.0.0.0         UG    0      0        0 eth0

[fisher74]

ifconfig -a ещё с сервера посмотреть бы

[screeble]

Да конечно я вроде выложил его в своем первом посте:

(Нажмите, чтобы показать/скрыть)

ifconfig -a
eth1      Link encap:Ethernet  HWaddr 14:da:e9:93:b4:05 
          inet addr:192.168.1.10  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::16da:e9ff:fe93:b405/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:761260 errors:0 dropped:0 overruns:0 frame:0
          TX packets:970799 errors:0 dropped:0 overruns:0 carrier:1
          collisions:0 txqueuelen:1000
          RX bytes:405978200 (405.9 MB)  TX bytes:768388133 (768.3 MB)
          Interrupt:44

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:2000 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2000 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:245931 (245.9 KB)  TX bytes:245931 (245.9 KB)

tap0      Link encap:Ethernet  HWaddr f2:4e:c5:5d:18:d4 
          inet addr:10.8.0.1  Bcast:10.8.0.255  Mask:255.255.255.0
          inet6 addr: fe80::f04e:c5ff:fe5d:18d4/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:427 errors:0 dropped:0 overruns:0 frame:0
          TX packets:55 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:43580 (43.5 KB)  TX bytes:7325 (7.3 KB)

[fisher74]

Да, извините.. "гол в мои ворота"

Для Вашего сервера (по его мнению) внешним адресом является 192.168.1.10 (видимо в DMZ)
потому правило должно звучать так

Код: [Выделить]

sudo iptables -t nat -A POSTROUTING -s 10.0.0.0/8 -o eth1 -j SNAT --to-source 192.168.1.10

[screeble]

Спасибо,

Изменил как посоветовали, к сожалению результат тот же.

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.10 on Thu Oct  6 12:31:02 2011
*filter
:INPUT ACCEPT [759:408120]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [786:490572]
-A FORWARD -s 10.8.0.0/24 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Thu Oct  6 12:31:02 2011
# Generated by iptables-save v1.4.10 on Thu Oct  6 12:31:02 2011
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [172:10760]
:POSTROUTING ACCEPT [172:10760]
-A POSTROUTING -s 10.0.0.0/8 -o eth1 -j SNAT --to-source 192.168.1.10
COMMIT
# Completed on Thu Oct  6 12:31:02 2011

Но заметил странную вещь

Когда с клиента пингую внутренний IP сервера то все проходит:

ping -c4 192.168.1.10

(Нажмите, чтобы показать/скрыть)

PING 192.168.1.10 (192.168.1.10) 56(84) bytes of data.
64 bytes from 192.168.1.10: icmp_req=1 ttl=64 time=258 ms
64 bytes from 192.168.1.10: icmp_req=3 ttl=64 time=94.5 ms
64 bytes from 192.168.1.10: icmp_req=4 ttl=64 time=94.6 ms

Но вот когда хочу пройти дальше например IP адрес роутера 192.168.1.1:

 ping -c4 192.168.1.1

(Нажмите, чтобы показать/скрыть)

PING 192.168.1.1 (192.168.1.1) 56(84) bytes of data.

--- 192.168.1.1 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 3016ms

следовательно можно сделать вывод что пакеты не проходят дальше сервера, хотя фаерволов на сервере нет.

Есть идеи?
Пользователь решил продолжить мысль 06 Октября 2011, 14:58:42:добавил следующую строку и теперь сайты пингуются но только по IP адресу а по доменему имени почему то нет:

Код: [Выделить]

[b]-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT[/b]
уже совсем близко...

(Нажмите, чтобы показать/скрыть)

pixel@ubuntu:~$ ping -c4 google.com
ping: unknown host google.com

 ping -c4 74.125.232.18
PING 74.125.232.18 (74.125.232.18) 56(84) bytes of data.
64 bytes from 74.125.232.18: icmp_req=1 ttl=55 time=146 ms
64 bytes from 74.125.232.18: icmp_req=2 ttl=55 time=143 ms
64 bytes from 74.125.232.18: icmp_req=3 ttl=55 time=143 ms
64 bytes from 74.125.232.18: icmp_req=4 ttl=55 time=195 ms

pixel@ubuntu:~$ traceroute 74.125.232.18
traceroute to 74.125.232.18 (74.125.232.18), 30 hops max, 60 byte packets
 1  10.8.0.1 (10.8.0.1)  111.198 ms  105.080 ms  104.554 ms
 2  * * *
 3  * * *
 4  * * *
 5  * * *
 6  * * *
 7  * * *
 8  * * *
 9  * * *
10  * * *
11  * * *
12  * * *
13  * * *
14  * * *
15  * * *
16  * * *
17  * * *
18  * * *
19  * * *
20  * * *
21  * * *
22  * * *
23  * * *

Пользователь решил продолжить мысль 06 Октября 2011, 15:32:07:может проблема здесь:

/etc/resolv.conf

# Generated by NetworkManager
nameserver 212.188.4.10
nameserver 195.34.32.116
nameserver 192.168.0.1

 
Пользователь решил продолжить мысль 06 Октября 2011, 15:37:18:Да именно, мы сделали это!!!!

Спасибо!!!!!!!!!!!!!!!!!!!!!!

на клиенте применил тот же файл что и на сервере и все!!!

-------------
# Generated by NetworkManager
nameserver 192.168.1.1
-------------

fisher74 Вам отдельное спасибо!!!