Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » OpenVPN

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138

Открыть новую тему     Написать ответ в эту тему

WarlockNT



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Тема в Программах



OpenVPN - свободная реализация технологии Виртуальной Частной Сети (VPN) с открытым исходным кодом для создания зашифрованных каналов типа точка-точка или сервер-клиенты между компьютерами. Она позволяет устанавливать соединения между компьютерами находящимися за NAT-firewall без необходимости изменения его настроек. OpenVPN была создана Джеймсом Йонаном (James Yonan) и распространяется под лицензией GNU GPL.

Официальный сайт
Страница загрузки
OpenVPN GUI for Windows || The Windows installers are bundled with OpenVPN-GUI
Настройка OpenVPN сервера под Windows
Документация (на английском)
OpenVPN Windows HowTo (на английском)
OpenVPN HowTo (на русском)
Документация на русском
OpenVPN for PocketPC


FAQ
Генерация сертификатов и ключей - сертификаты и ключи нужны только при TLS-аутентификации (--tls-server или --tls-client)
Как прописать сертификаты прямо в конфиг клиента.
• Разрешить запуск и остановку службы openvpnservice обычным пользователям без прав администратора можно бесплатной утилитой svcadmin (см. "Демонстрационные программы", зеркало).

Всего записей: 210 | Зарегистр. 20-01-2003 | Отправлено: 07:48 01-08-2005 | Исправлено: shrmn, 11:53 29-05-2022
crsstav

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
topology subnet - прописана в сервере, она появилась для того чтобы при включенном впн, можно было достучаться по rdp к компьютеру.
и пока схема использовалась для "удаленки" и выхода в инет - все работало.
 
на сервере убрал:
push "route 192.168.8.0 255.255.255.0"
push "route 192.168.111.0 255.255.255.0"
 
на клиенте2 добавил в конфиг:
route 192.168.8.0 255.255.255.0
route 192.168.111.0 255.255.255.0

Всего записей: 64 | Зарегистр. 25-06-2006 | Отправлено: 23:02 27-12-2019
MACTEP



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Как клиенты авторизуются? Смотреть в сторону ccd (client config directory). И не лениться читать документацию. У меня нет желания изучать openvpn-as и его вебморду. А лепить от вольного строчки в конфиг и смотреть результат - это плохо закончится...

Всего записей: 929 | Зарегистр. 11-04-2002 | Отправлено: 23:19 27-12-2019
crsstav

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
да понимаю. что ccd читать.
на выходные попробую переустановить на другой впс чистый openvpn.
 
 
MACTEP
спасибо. с наступающими.

Всего записей: 64 | Зарегистр. 25-06-2006 | Отправлено: 23:24 27-12-2019
MACTEP



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Вопрос об авторизации не случаен. Если используются х.509, то очень удобно создавать файлы совпадающие с полем CN клиентского сертификата, и в них прописывать параметры, которые нужно пушить конкретному клиенту и там же директива iroute, которая указывает серверу какие подсети  из объявленных в конфиге параметров route за каким из клиентов находятся.

Всего записей: 929 | Зарегистр. 11-04-2002 | Отправлено: 23:38 27-12-2019
crsstav

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
буду разбираться.на длинных выходных.
x.509 нет по умолчанию помойму в этой балалайке (openvpn-as) не он.

Всего записей: 64 | Зарегистр. 25-06-2006 | Отправлено: 23:55 27-12-2019
crsstav

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
на тестовом стенде с чистым openvpn все работает.
осталось побороть openvpn access server

Всего записей: 64 | Зарегистр. 25-06-2006 | Отправлено: 21:18 29-12-2019
karavan



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
crsstav
Цитата:
x.509 нет по умолчанию помойму в этой балалайке
Вам что надо?
Поддержка аутентификации x.509? Она есть.
Генерация необходимых ключей и сертификатов? Тогда к easy-rsa.
 

Всего записей: 1962 | Зарегистр. 02-12-2011 | Отправлено: 22:07 29-12-2019
crsstav

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
karavan

Цитата:
Вам что надо?

 
openvpn access server стоит на впс, к нему цепляется через 4гмодем+роутер(openwrt)
нужно видеть вебморду модема, и сетку за роутером.

Всего записей: 64 | Зарегистр. 25-06-2006 | Отправлено: 22:17 29-12-2019
yuris

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
crsstav
Я за вас почитал документацию
По умолчанию включен нат, поэтому
Цитата:
Direct access to the VPN client IP subnet is not possible.

Нужно переключиться в режим роутинга.
Цитата:
go to VPN Settings, Should VPN clients have access to private subnets, and set the option to yes, using routing (advanced)

После этого можно добавлять маршруты до клиентских сетей на сервере.

Всего записей: 383 | Зарегистр. 19-11-2001 | Отправлено: 13:46 30-12-2019
TravelClub

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Дано: доступ к серверу по RDP через OpenVPN.
 
На парочке клиентов не устанавливается подключение. Долго-долго висит на "Защита соединения", потом выдается ошибка ""При попытке подключиться, произошла ошибка лицензирования (лицензирование прервано по таймауту). Попытайтесь подключиться к удаленному компьютеру снова." При этом если к такому клиенту подключится по TeamViewer, то RDP-соединение успешно устанавливается. Стоит только закрыть TV - происходит обрыв.  
 
Подскажите куда копать, что смотреть?

Всего записей: 12 | Зарегистр. 22-02-2010 | Отправлено: 20:29 02-04-2020
karavan



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
TravelClub
Цитата:
На парочке клиентов
Я так понял, что есть еще другие клиенты? Чем другие клиенты отличаются от проблемных? (конфигами, редакциями ОС, интернет-каналами)

Цитата:
произошла ошибка лицензирования
Надо описание сети физической с адресацией серверов, с которыми  происходит взаимодействие клиента во время аутентификации, т.е. по каким хостам раскиданы роли.
С прикладыванием конфигов серверной и клиентской частей openvpn, особое внимание на индивидуальные конфиги клиентов на стороне сервера (обычно директория ccd).
Скорее всего проблема в роутинге.

Всего записей: 1962 | Зарегистр. 02-12-2011 | Отправлено: 21:08 02-04-2020
MACTEP



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
TravelClub,
Цитата:
Подскажите куда копать, что смотреть?
Для начала подробное логирование на стороне сервера и клиента (как минимум verb 3) и смотреть туда.

Всего записей: 929 | Зарегистр. 11-04-2002 | Отправлено: 21:22 02-04-2020 | Исправлено: MACTEP, 21:53 02-04-2020
TravelClub

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Я так понял, что есть еще другие клиенты?

Есть и другие клиенты, они подключаются нормально. Всего около 20 машин. При этом конфиги одинаковы (только ключами/сертификатами отличаются), ОСи - семерки, десятки.
 

Цитата:
интернет-каналами)

Нюанс: брали проблемного клиента (ноутбук) и пробовали подключать в других точках (другой роутер/провайдер). Все получалось, без ошибок.
 
Конфиг сервера
port 1194
proto udp
dev tun
ca "ca.crt"
cert "server.crt"
key "server.key"
dh "dh1024.pem"
tls-auth "ta.key" 0
server 10.8.0.0 255.255.255.0
client-config-dir ccd
client-to-client
keepalive 10 60
comp-lzo
persist-key
persist-tun
verb 6
mute 20
 
Конфиг клиента (одинаков у всех, только ключи разные)
client
dev tun
proto udp
remote 194.xx.xxx.xx 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca "ca.crt"
cert "client7.crt"
key "client7.key"
tls-auth "ta.key" 1
comp-lzo
verb 3
 
Адрес сервера OpenVPN - 10.8.0.1
Адрес сервера 1С (на который подключаются клиенты) - 10.8.0.49
 
На стороне клиента в логах запись об успешной инициализации OpenVPN
Tue Mar 31 09:58:12 2020 Initialization Sequence Completed
 
При попытках подключения больше там ничего не появляется.

Всего записей: 12 | Зарегистр. 22-02-2010 | Отправлено: 09:28 03-04-2020
karavan



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
TravelClub
Цитата:
Адрес сервера OpenVPN - 10.8.0.1
Адрес сервера 1С (на который подключаются клиенты) - 10.8.0.49
А как объясняется нахождение сервера rdp в одной подсети с сервером vpn?
Сервер RDP в свою очередь тоже является клиентом vpn?

Всего записей: 1962 | Зарегистр. 02-12-2011 | Отправлено: 10:16 03-04-2020
Maximus777

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Со стороны проблемного клиента надо попробовать законнектиться по RDP. Что-то типа такого:

Код:
telnet 10.8.0.49 3389

Можно, вообще, посмотреть, какие порты открыты:

Код:
nmap -Pn 10.8.0.49

И ещё, в ccd что прописано?

Всего записей: 674 | Зарегистр. 27-07-2007 | Отправлено: 10:34 03-04-2020
MACTEP



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Если мы говорим о 20 клиентах, то использование топологии net30 мне не кажется рациональным, хотя это и не является критичным (пока расходуется только порядка 30% адресов). Компрессия с сегодняшними реалиями уже также выглядит анахронизмом. По сути, вопрос karavan абсолютно резонный, так как при подключенных одновременно 20 клиентах будут задействованы адреса до 10.8.0.82 включительно, а значит адрес 10.8.0.49 окажется внутренним адресом одного из туннелей.

Всего записей: 929 | Зарегистр. 11-04-2002 | Отправлено: 10:40 03-04-2020
TravelClub

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
karavan

Цитата:
А как объясняется нахождение сервера rdp в одной подсети с сервером vpn?

Так настроили до меня. Аж в 2010 г.
 
Система нормально работала, пока не стали переводить сотрудников на удаленку в связи с известными событиями. Вот и стали выплывать проблемы.
 
Да, сервер RDP тоже является клиентом OpenVPN.
 
В ccd лежат файлы с названиями сертификатов клиентов (но не все).
 
Содержимое файла server82 для сервера 1С
ifconfig-push 10.8.0.49 10.8.0.50
 
З.Ы. На одной из проблемных точек организовали подключение ч/з 3G-модем. Подключение устанавливается, человек работает.

Всего записей: 12 | Зарегистр. 22-02-2010 | Отправлено: 12:56 03-04-2020
karavan



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
TravelClub
Цитата:
Так настроили до меня
Если в подчиненной тебе области наблюдаешь полную ахинею и абсурд, для которых ни у кого нет внятных причин и объяснений - ПЕРЕДЕЛЫВАЙ.
 
 
Добавлено:

Цитата:
Да, сервер RDP тоже является клиентом OpenVPN

А в этом есть смысл? Они находятся в разных физических сетях?

Всего записей: 1962 | Зарегистр. 02-12-2011 | Отправлено: 13:41 03-04-2020
TravelClub

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
karavan
Оба сервера в одной сети.
сервер OpenVPN- 192.168.0.199
сервер 1С - 192.168.0.250

Всего записей: 12 | Зарегистр. 22-02-2010 | Отправлено: 14:41 03-04-2020
MACTEP



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
karavan,
Цитата:
наблюдаешь полную ахинею и абсурд... ПЕРЕДЕЛЫВАЙ.
Полностью солидарен.
Что лично меня напрягает в приведенной конструкции. Вроде как логике не противоречит, но... Вот что примерно должно быть на стороне сервера:
Код:
tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1500
        options=80000<LINKSTATE>
        inet 10.8.0.1 --> 10.8.0.2 netmask 0xffffffff
        groups: tun
        Opened by PID ...
Это правда *nix, но не принципиально. В этом случае первый клиент получит адрес 10.8.0.6 и гейт в туннель 10.8.0.5, если это будет автоматом и для его CN нет отдельной конфигурации в ccd. Также будет и со всеми остальными (10.8.0.10 --> 10.8.0.9, 10.8.0.14 --> 10.8.0.13, etc.) В этом случае, как по мне, так логично было бы для терминального серванта с RDP сделать
Код:
ifconfig-push 10.8.0.50 10.8.0.49
, т.е. сделать для RDP 10.8.0.50:3389. И потом, тот кто строил, похоже рассчитывал, что до .49 адреса клиенты не доберутся, а сейчас он перекрывается диапазоном адресов для новых клиентов. Значит существует вероятность возникновения ситуации, когда адрес сервера займет другой клиент и чтобы этого избежать имеет смысл описать в ccd всех клиентов. Как-то так...    
 
 

Всего записей: 929 | Зарегистр. 11-04-2002 | Отправлено: 15:00 03-04-2020
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » OpenVPN


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru