Все тот же openvpn, все та же маршурутизация.

[prism]

Привет, всем уже несколько дней не могу решить данную проблему.
Описание: Есть VPS с белым адресом и с поднятым openvpn. Дома компьютер(192.168.1.121) постоянно включен и он подключен как openvpn серверу клиент.
Хочу получать доступ к домашней сети. Например из офиса или университета. Но увы не получается.
Для подключения домашнего пк используется сертификат с CN=tablet, для подключение из офиса CN=phone.
Домашняя сеть: 192.168.1.0.
VPN сеть: 10.10.10.0


serv.config:
---------------------------------------------------------
mode server
port 1194
proto udp
dev tun
ca data/ca.crt
cert data/server.crt
key data/server.key
dh data/dh1024.pem
server 10.10.10.0 255.255.255.0

ifconfig-pool-persist ipp.txt
client-config-dir /etc/openvpn/ccd
client-to-client

    push "redirect-gateway def1 bypass-dhcp"
    push "dhcp-option DNS 8.8.8.8"
    push "dhcp-option DNS 8.8.4.4"

route 192.168.1.0 255.255.255.0

keepalive 10 60
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
log /var/log/server.log
verb 4
---------------------------------------------------------

iptables на сервере(форвард включен):
---------------------------------------------------------
iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  10.10.10.0/24        0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination   
---------------------------------------------------------

cat ccd/phone
---------------------------------------------------------
ifconfig-push 10.10.10.5 10.10.10.6
route 192.168.1.0 255.255.255.0
---------------------------------------------------------

cat ccd/tablet
---------------------------------------------------------
ifconfig-push 10.10.10.21 10.10.10.2
---------------------------------------------------------

route -n (на сервере после подключения 2 клиентов)
-----------------------------------------------------------------------
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.10.10.2      0.0.0.0         255.255.255.255 UH    0      0        0 tun0
78.46.151.104   78.46.151.105   255.255.255.248 UG    0      0        0 eth0
78.46.151.104   0.0.0.0         255.255.255.248 U     0      0        0 eth0
192.168.1.0     10.10.10.2      255.255.255.0   UG    0      0        0 tun0
10.10.10.0      10.10.10.2      255.255.255.0   UG    0      0        0 tun0
0.0.0.0         78.46.151.105   0.0.0.0         UG    0      0        0 eth0
-----------------------------------------------------------------------

client.conf
---------------------------------------------------------
client
dev tun
proto udp
remote x.x.x.x 1194
nobind

persist-key
persist-tun
pkcs12 vpn.tablet.p12
dh dh1024.pem
ca ca.crt

comp-lzo
verb 3
pull
---------------------------------------------------------

IP домашнего ПК после подключения к VPN - 10.10.10.21
IP машины из офиса после подключения  VPN - 10.10.10.5

На домашнем ПК:
---------------------------------------------------------
ping 10.10.10.5 (такие большие пинги в данном случае нормальны)
----
64 bytes from 10.10.10.5: icmp_req=1 ttl=64 time=496 ms
64 bytes from 10.10.10.5: icmp_req=2 ttl=64 time=416 ms
64 bytes from 10.10.10.5: icmp_req=3 ttl=64 time=457 ms
----

traceroute 10.10.10.5
----
traceroute to 10.10.10.5 (10.10.10.5), 30 hops max, 60 byte packets
 1  10.10.10.5 (10.10.10.5)  428.680 ms  487.499 ms  708.018 ms
----


tracepath 10.10.10.5
----
 1:  10.10.10.21                                           0.124ms pmtu 1500
 1:  10.10.10.5                                          932.328ms reached
 1:  10.10.10.5                                          959.768ms reached
     Resume: pmtu 1500 hops 1 back 64
----
---------------------------------------------------------


С другого клиента (у которого CN=phone, и из этого клиента я хочу получать доступ к 192.168.1.0 сети ):
Ping идет на 10.10.10.21, но не идет на 192.168.1.121. Также не идет на любую другую машину из 192.168.1.0.

Ребята помогите кто чем может.

[xeon_greg]

cat ccd/tablet
---------------------------------------------------------
ifconfig-push 10.10.10.21 10.10.10.2
iroute 192.168.1.0 255.255.255.0

[fisher74]

+1

[prism]

cat ccd/tablet
---------------------------------------------------------
ifconfig-push 10.10.10.21 10.10.10.2
iroute 192.168.1.0 255.255.255.0

нет, вы не правы
Пользователь решил продолжить мысль 28 Октября 2012, 21:16:30:

+1

Не +1, а давайте адекватные теории.
Пользователь решил продолжить мысль 28 Октября 2012, 21:16:59:sudo iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
sudo iptables -A INPUT -p udp --dport 1194 -j ACCEPT
sudo iptables -A INPUT -i tun0 -j ACCEPT
sudo iptables -A FORWARD -i tun0 -j ACCEPT
sudo iptables -A FORWARD -o tun0 -j ACCEPT

[xeon_greg]

cat ccd/tablet
---------------------------------------------------------
ifconfig-push 10.10.10.21 10.10.10.2
iroute 192.168.1.0 255.255.255.0

нет, вы не правы
Пользователь решил продолжить мысль 28 Октября 2012, 21:16:30:

+1

Не +1, а давайте адекватные теории.

и откуда такое заключение в моей неправоте? это раз,и давать вам тут никто ничего не будет, вам советуют и не с пустого места, а уже ваше дело прислушаться или нет. ну вот выдержка примера из самого конфига, потрудились бы перевести

# EXAMPLE: Suppose the client
# having the certificate common name "Thelonious"
# also has a small subnet behind his connecting
# machine, such as 192.168.40.128/255.255.255.248.
# First, uncomment out these lines:
client-config-dir ccd
route 192.168.40.128 255.255.255.248
# Then create a file ccd/Thelonious with this line:
#   iroute 192.168.40.128 255.255.255.248
# This will allow Thelonious' private subnet to
# access the VPN.  This example will only work
# if you are routing, not bridging, i.e. you are
# using "dev tun" and "server" directives.

[prism]

cat ccd/tablet
---------------------------------------------------------
ifconfig-push 10.10.10.21 10.10.10.2
iroute 192.168.1.0 255.255.255.0

нет, вы не правы
Пользователь решил продолжить мысль 28 Октября 2012, 21:16:30:

+1

Не +1, а давайте адекватные теории.

и откуда такое заключение в моей неправоте? это раз,и давать вам тут никто ничего не будет, вам советуют и не с пустого места, а уже ваше дело прислушаться или нет. ну вот выдержка примера из самого конфига, потрудились бы перевести

# EXAMPLE: Suppose the client
# having the certificate common name "Thelonious"
# also has a small subnet behind his connecting
# machine, such as 192.168.40.128/255.255.255.248.
# First, uncomment out these lines:
client-config-dir ccd
route 192.168.40.128 255.255.255.248
# Then create a file ccd/Thelonious with this line:
#   iroute 192.168.40.128 255.255.255.248
# This will allow Thelonious' private subnet to
# access the VPN.  This example will only work
# if you are routing, not bridging, i.e. you are
# using "dev tun" and "server" directives.

Как бы, не писал бы на форуме из-за такой тривильной ошибки (забыл строчку в конфиг добавить).

cat ccd/phone
ifconfig-push ip for client
push "route 192.168.1.0 255.255.255.0" сеть которую нужно получить удаленный доступ

 cat ccd/tablet
iroute 192.168.1.0 255.255.255.0 #сеть за клиентом
ifconfig-push ip for client

[xeon_greg]

ну если эти строки там есть, значит проблема в другом месте,

push "redirect-gateway def1 bypass-dhcp"
    push "dhcp-option DNS 8.8.8.8"
    push "dhcp-option DNS 8.8.4.4"

в этом есть какая-то необходимость , получать серверный инет?,
тогда для дальнейшей диагностика нужны

Код: [Выделить]

ip r с клиентов и сервера в подключенном режиме,

Код: [Выделить]

iptables-save -c
sysctl net.ipv4.ip_forward сервера,

[prism]

ну если эти строки там есть, значит проблема в другом месте,

push "redirect-gateway def1 bypass-dhcp"
    push "dhcp-option DNS 8.8.8.8"
    push "dhcp-option DNS 8.8.4.4"

в этом есть какая-то необходимость , получать серверный инет?,
тогда для дальнейшей диагностика нужны

Код: [Выделить]

ip r с клиентов и сервера в подключенном режиме,

Код: [Выделить]

iptables-save -c
sysctl net.ipv4.ip_forward сервера,

Форвард включен.
Да, есть необходимость включать серверный инет.
Проблемма уже решена.