openVPN клиент подключается, трафик не идет

[slimxl]

Поскажите) что ни так сделал...
чистая Ubuntu-14.04
все по инструкции

(Нажмите, чтобы показать/скрыть)

Заходим на сервер, становимся root’ом, говорим:
apt-get update
apt-get install openvpn
Раньше в OpenVPN входила утилита под названием easy-rsa, предназначенная для генерации ключей и сертификатов. Начиная с версии 2.3 эту утилиту из пакета выпилили, поэтому придется скачать и собрать ее самостоятельно:
cd /tmp
wget https://github.com/OpenVPN/easy-rsa/archive/master.zip
apt-get install unzip
unzip master.zip
cd easy-rsa-master
./build/build-dist.sh
tar xvzf ./EasyRSA-git-development.tgz
cd EasyRSA-git-development
Генерируем все необходимые ключи и сертификаты. Приготовьтесь вводить для них пароли. Так как мы настраиваем персональный VPN сервер, то, видимо, можно использовать один-единственный пароль, но подлиннее:
./easyrsa init-pki
./easyrsa build-ca
./easyrsa build-server-full server
./easyrsa build-client-full client1
./easyrsa gen-dh
Выполнение последней команды может занять несколько минут.
Переносим полученные ключи и сертификаты в каталог /etc/openvpn/:
mv ./pki/dh.pem /etc/openvpn/dh.pem
mv ./pki/private/client1.key /etc/openvpn/
mv ./pki/private/server.key /etc/openvpn/
mv ./pki/ca.crt /etc/openvpn/
mv ./pki/issued/client1.crt /etc/openvpn/
mv ./pki/issued/server.crt /etc/openvpn/
В том же каталоге создаем файл server.conf:
mode server
dev tun
server 10.128.0.0 255.255.255.0
push "redirect-gateway def1"
# важно! иначе будем ходить в DNS провайдера
push "dhcp-option DNS 8.8.8.8"
tls-server
ca ca.crt
cert server.crt
key server.key
dh dh.pem
proto tcp-server
port 1194
# клиенты видят друг друга
client-to-client
comp-lzo
keepalive 10 120
verb 4
cipher AES-256-CBC
user nobody
group nogroup
max-clients 10
Попробуем запустить OpenVPN. При запуске от вас будет требоваться ввести пароль. Соответственно, после ребута поднимать OpenVPN придется руками. Но поскольку мы настраиваем персональный VPN, вряд ли это представляет собой бОльшую проблему, чем ключи, лежащие в открытом виде, или еще хуже — сохраненные пароли. Запускаем:
service openvpn start
Проверяем:
netstat -tuwpan

выдало

Код: [Выделить]

root:~/vpn# netstat -tuwpan
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:10000           0.0.0.0:*               LISTEN      796/perl
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      692/sshd
tcp        0      0 0.0.0.0:1194           0.0.0.0:*               LISTEN      1087/openvpn
tcp        0      0 ip servera:22           moi IP:10271            ESTABLISHED 1014/0
tcp6       0      0 :::22                   :::*                    LISTEN      692/sshd
udp        0      0 0.0.0.0:10000           0.0.0.0:*                           796/perl

0 0.0.0.0:1194 так пологаю по этой строчке видно что сервер запущен?)
далее как в инструкции

(Нажмите, чтобы показать/скрыть)

На сервере открываем файл /etc/sysctl.conf и раскомментируем в нем строчку:
net.ipv4.ip_forward=1
Чтобы не пришлось перезагружаться, говорим:
echo 1 >> /proc/sys/net/ipv4/conf/all/forwarding
Затем:
iptables -A FORWARD -s 10.128.0.0/24 -j ACCEPT
iptables -A FORWARD -d 10.128.0.0/24 -m state \
  --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.128.0.0/24 \
  -j SNAT --to-source ip servera

так же по инструкции из папки /etc/openvpn/ забираю файлы client1.crt, client1.key и ca.crt: На Windows кидаю их в папку config там создаю конфиг клиента

Код: [Выделить]

client
proto tcp
dev tun
# !!! замените на настоящий ip адрес сервера
remote ip servera 1194
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
cipher AES-256-CBC
comp-lzo
verb 3сервер конфиг

Код: [Выделить]

mode server
dev tun
server 10.128.0.0 255.255.255.0
push "redirect-gateway def1"
# важно! иначе будем ходить в DNS провайдера
push "dhcp-option DNS 8.8.8.8"
tls-server
ca ca.crt
cert server.crt
key server.key
dh dh.pem
proto tcp-server
port 1194
# клиенты видят друг друга
client-to-client
comp-lzo
keepalive 10 120
verb 4
cipher AES-256-CBC
user nobody
group nogroup
max-clients 10
клиент подключается, а трафик не идет (при этом putty нормально общается с сервером) , к порту обращаемя

Код: [Выделить]

root@slimxl40:/etc/network# netstat -tuwpan
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:10000           0.0.0.0:*               LISTEN      796/perl
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      692/sshd
tcp        0      0 0.0.0.0:1194            0.0.0.0:*               LISTEN      1087/openvpn
tcp        0      0 ip servera    :1194     my ip:35862             ESTABLISHED 1087/openvpn
tcp        0    464 ip servera.102:22       my ip:14413             ESTABLISHED 1535/1
tcp        0      0 ip servera.102:22       my ip:10271             ESTABLISHED 1014/0
tcp6       0      0 :::22                   :::*                    LISTEN      692/sshd
udp        0      0 0.0.0.0:10000           0.0.0.0:*                           796/perl

лог клиента

(Нажмите, чтобы показать/скрыть)

Sat Jan 30 18:20:58 2016 OpenVPN 2.3.10 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [IPv6] built on Jan  4 2016
Sat Jan 30 18:20:58 2016 Windows version 6.1 (Windows 7)
Sat Jan 30 18:20:58 2016 library versions: OpenSSL 1.0.1q 3 Dec 2015, LZO 2.09
Enter Management Password:
Sat Jan 30 18:20:58 2016 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
Sat Jan 30 18:20:58 2016 Need hold release from management interface, waiting...
Sat Jan 30 18:20:58 2016 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
Sat Jan 30 18:20:58 2016 MANAGEMENT: CMD 'state on'
Sat Jan 30 18:20:58 2016 MANAGEMENT: CMD 'log all on'
Sat Jan 30 18:20:58 2016 MANAGEMENT: CMD 'hold off'
Sat Jan 30 18:20:58 2016 MANAGEMENT: CMD 'hold release'
Sat Jan 30 18:20:58 2016 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Sat Jan 30 18:21:02 2016 MANAGEMENT: CMD 'password [...]'
Sat Jan 30 18:21:02 2016 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Sat Jan 30 18:21:02 2016 Socket Buffers: R=[8192->8192] S=[8192->8192]
Sat Jan 30 18:21:02 2016 Attempting to establish TCP connection with [AF_INET]83.220.175.102:1194 [nonblock]
Sat Jan 30 18:21:02 2016 MANAGEMENT: >STATE:1454163662,TCP_CONNECT,,,
Sat Jan 30 18:21:03 2016 TCP connection established with [AF_INET]83.220.175.102:1194
Sat Jan 30 18:21:03 2016 TCPv4_CLIENT link local: [undef]
Sat Jan 30 18:21:03 2016 TCPv4_CLIENT link remote: [AF_INET]83.220.175.102:1194
Sat Jan 30 18:21:03 2016 MANAGEMENT: >STATE:1454163663,WAIT,,,
Sat Jan 30 18:21:03 2016 MANAGEMENT: >STATE:1454163663,AUTH,,,
Sat Jan 30 18:21:03 2016 TLS: Initial packet from [AF_INET]83.220.175.102:1194, sid=c19d4f27 52021143
Sat Jan 30 18:21:04 2016 VERIFY OK: depth=1, CN=rf
Sat Jan 30 18:21:04 2016 VERIFY OK: depth=0, CN=server
Sat Jan 30 18:21:05 2016 Data Channel Encrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Sat Jan 30 18:21:05 2016 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Sat Jan 30 18:21:05 2016 Data Channel Decrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Sat Jan 30 18:21:05 2016 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Sat Jan 30 18:21:05 2016 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
Sat Jan 30 18:21:05 2016 [server] Peer Connection Initiated with [AF_INET]83.220.175.102:1194
Sat Jan 30 18:21:06 2016 MANAGEMENT: >STATE:1454163666,GET_CONFIG,,,
Sat Jan 30 18:21:07 2016 SENT CONTROL [server]: 'PUSH_REQUEST' (status=1)
Sat Jan 30 18:21:07 2016 PUSH: Received control message: 'PUSH_REPLY,redirect-gateway def1,dhcp-option DNS 8.8.8.8,route 10.128.0.0 255.255.255.0,topology net30,ping 10,ping-restart 120,ifconfig 10.128.0.6 10.128.0.5'
Sat Jan 30 18:21:07 2016 OPTIONS IMPORT: timers and/or timeouts modified
Sat Jan 30 18:21:07 2016 OPTIONS IMPORT: --ifconfig/up options modified
Sat Jan 30 18:21:07 2016 OPTIONS IMPORT: route options modified
Sat Jan 30 18:21:07 2016 OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modified
Sat Jan 30 18:21:07 2016 ROUTE_GATEWAY 192.168.1.1/255.255.255.0 I=12 HWADDR=6c:62:6d:0a:6f:3c
Sat Jan 30 18:21:07 2016 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Sat Jan 30 18:21:07 2016 MANAGEMENT: >STATE:1454163667,ASSIGN_IP,,10.128.0.6,
Sat Jan 30 18:21:07 2016 open_tun, tt->ipv6=0
Sat Jan 30 18:21:07 2016 TAP-WIN32 device [Подключение по локальной сети 2] opened: \\.\Global\{161368B4-35C1-4CD2-92B0-49F1CEC4EC2F}.tap
Sat Jan 30 18:21:07 2016 TAP-Windows Driver Version 9.21
Sat Jan 30 18:21:07 2016 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.128.0.6/255.255.255.252 on interface {161368B4-35C1-4CD2-92B0-49F1CEC4EC2F} [DHCP-serv: 10.128.0.5, lease-time: 31536000]
Sat Jan 30 18:21:07 2016 Successful ARP Flush on interface [28] {161368B4-35C1-4CD2-92B0-49F1CEC4EC2F}
Sat Jan 30 18:21:12 2016 TEST ROUTES: 2/2 succeeded len=1 ret=1 a=0 u/d=up
Sat Jan 30 18:21:12 2016 C:\Windows\system32\route.exe ADD 83.220.175.102 MASK 255.255.255.255 192.168.1.1
Sat Jan 30 18:21:12 2016 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=20 and dwForwardType=4
Sat Jan 30 18:21:12 2016 Route addition via IPAPI succeeded [adaptive]
Sat Jan 30 18:21:12 2016 C:\Windows\system32\route.exe ADD 0.0.0.0 MASK 128.0.0.0 10.128.0.5
Sat Jan 30 18:21:12 2016 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=20 and dwForwardType=4
Sat Jan 30 18:21:12 2016 Route addition via IPAPI succeeded [adaptive]
Sat Jan 30 18:21:12 2016 C:\Windows\system32\route.exe ADD 128.0.0.0 MASK 128.0.0.0 10.128.0.5
Sat Jan 30 18:21:12 2016 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=20 and dwForwardType=4
Sat Jan 30 18:21:12 2016 Route addition via IPAPI succeeded [adaptive]
Sat Jan 30 18:21:12 2016 MANAGEMENT: >STATE:1454163672,ADD_ROUTES,,,
Sat Jan 30 18:21:12 2016 C:\Windows\system32\route.exe ADD 10.128.0.0 MASK 255.255.255.0 10.128.0.5
Sat Jan 30 18:21:12 2016 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=20 and dwForwardType=4
Sat Jan 30 18:21:12 2016 Route addition via IPAPI succeeded [adaptive]
Sat Jan 30 18:21:12 2016 Initialization Sequence Completed
Sat Jan 30 18:21:12 2016 MANAGEMENT: >STATE:1454163672,CONNECTED,SUCCESS,10.128.0.6,83.220.175.102
Sat Jan 30 18:23:30 2016 C:\Windows\system32\route.exe DELETE 10.128.0.0 MASK 255.255.255.0 10.128.0.5
Sat Jan 30 18:23:30 2016 Route deletion via IPAPI succeeded [adaptive]
Sat Jan 30 18:23:30 2016 C:\Windows\system32\route.exe DELETE 83.220.175.102 MASK 255.255.255.255 192.168.1.1
Sat Jan 30 18:23:30 2016 Route deletion via IPAPI succeeded [adaptive]
Sat Jan 30 18:23:30 2016 C:\Windows\system32\route.exe DELETE 0.0.0.0 MASK 128.0.0.0 10.128.0.5
Sat Jan 30 18:23:30 2016 Route deletion via IPAPI succeeded [adaptive]
Sat Jan 30 18:23:30 2016 C:\Windows\system32\route.exe DELETE 128.0.0.0 MASK 128.0.0.0 10.128.0.5
Sat Jan 30 18:23:30 2016 Route deletion via IPAPI succeeded [adaptive]
Sat Jan 30 18:23:30 2016 Closing TUN/TAP interface
Sat Jan 30 18:23:30 2016 SIGTERM[hard,] received, process exiting
Sat Jan 30 18:23:30 2016 MANAGEMENT: >STATE:1454163810,EXITING,SIGTERM,,

Какую информацию еще может нужно предоставить?

[kostryukov]

в конфиге сервера

Код: [Выделить]

push "route ip маска" 


и еще, посмотрите тут
начиная со строки:
push "redirect-gateway def1"

возможно ваша проблема.

[slimxl]

kostryukov,
Спасибо) заработало, неуверен что все верно..а именно не знаю зачем добавляю строку и с каким параметром)
сделал так

Код: [Выделить]

root:/etc/ppp/ip-up.d# -A POSTROUTING -s 192.168.0.0/255.255.0.0 -j MASQUERADE
-A: command not found
root:/etc/ppp/ip-up.d# -A POSTROUTING -s 10.128.0.0/255.255.0.0 -j MASQUERADE
-A: command not found
root:/etc/ppp/ip-up.d# ^C
root:/etc/ppp/ip-up.d# iptables  -A POSTROUTING -s 10.128.0.0/255.255.0.0 -j MASQUERADE
iptables: No chain/target/match by that name. выдает ошибку, я по аналогии из гайда выше решил добавить строку.. надеюсь это не кретично? но работает)
root:/etc/ppp/ip-up.d# iptables -t nat  -A POSTROUTING -s 10.128.0.0/255.255.0.0 -j MASQUERADE