Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » OpenVPN

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138

Открыть новую тему     Написать ответ в эту тему

WarlockNT



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Тема в Программах



OpenVPN - свободная реализация технологии Виртуальной Частной Сети (VPN) с открытым исходным кодом для создания зашифрованных каналов типа точка-точка или сервер-клиенты между компьютерами. Она позволяет устанавливать соединения между компьютерами находящимися за NAT-firewall без необходимости изменения его настроек. OpenVPN была создана Джеймсом Йонаном (James Yonan) и распространяется под лицензией GNU GPL.

Официальный сайт
Страница загрузки
OpenVPN GUI for Windows || The Windows installers are bundled with OpenVPN-GUI
Настройка OpenVPN сервера под Windows
Документация (на английском)
OpenVPN Windows HowTo (на английском)
OpenVPN HowTo (на русском)
Документация на русском
OpenVPN for PocketPC


FAQ
Генерация сертификатов и ключей - сертификаты и ключи нужны только при TLS-аутентификации (--tls-server или --tls-client)
Как прописать сертификаты прямо в конфиг клиента.
• Разрешить запуск и остановку службы openvpnservice обычным пользователям без прав администратора можно бесплатной утилитой svcadmin (см. "Демонстрационные программы", зеркало).

Всего записей: 210 | Зарегистр. 20-01-2003 | Отправлено: 07:48 01-08-2005 | Исправлено: shrmn, 11:53 29-05-2022
rain87



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
makkonen
конфиги те же, просто не делать мост средствами ОС

----------
матрица - это система. она и есть наш враг
everyone's first vi session. ^C^C^X^X^X^XquitqQ!qdammit[esc]qwertyuiopasdfghjkl;:xwhat

Всего записей: 1744 | Зарегистр. 21-06-2006 | Отправлено: 22:47 13-12-2010
samec2011



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Привет. Подскажите, возможно ли объединить две локальные сети средствами OpenVPN имея следующее:
ЛВС1: 192.168.1.0/24  
для выхода в интернет провайдером выдан статический IP.
стоит маршрутизатор d-link dir120. На всех машинах в качестве шлюза для выхода в интернет указан IP этого маршрутизатора. Есть машина с Win2003 Server.
 
ЛВС2 (все аналогично): 192.168.1.0/24  
для выхода в интернет провайдером выдан статический IP (отличный от IP в ЛВС1).
стоит маршрутизатор d-link dir120. На всех машинах в качестве шлюза для выхода в интернет указан IP этого маршрутизатора. Есть машина с Win2003 Server.
 
ip адреса в сетях не пересекаются (в первой: 192.168.1.120 - 192.168.1.180, во второй: 192.168.1.20 - 192.168.1.80).  
 
Можно ли, ничего не меняя в структуре сетей поднять openVPN ? Хотелось бы, чтобы клиент и сервер openvpn были подняты на машинах с Win2003 Server. Но они (машины с Win2003Server) ведь "смотрят" в интенет через маршрутизаторы d-link dir120. Поэтому нужно как то, наверное, настроить port mapping на этих маршрутизаторах? Или как?  
Или же придётся убирать маршрутизаторы d-link dir120 из сетей, добавлять сетевые адаптеры в машины с Win2003Server, настраивать на них прокси-сервер (чтобы все остальные через него в интернет ходили) и только потом поднимать между этими машинами (c Win2003Server) OpenVPN ?
Принимаются любые советы.

Всего записей: 72 | Зарегистр. 14-03-2007 | Отправлено: 09:42 15-12-2010
rosalin



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
samec2011
Как мне кажется нужно настроить маршрутизатор на одной стороне, там где будет OpenVPN сервер,
мапить порт openvpn на машину с Win2003 Server, с установленным OpenVPN сервер.
 
Ну а дальше дело техники , указать в настройках openvpn маршруты , и должно заработать
 

Всего записей: 2625 | Зарегистр. 15-04-2003 | Отправлено: 10:51 15-12-2010
rain87



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
samec2011
как и сказал rosalin, надо настроить портмаппинг на одном маршрутизаторе (в той сети, в которой будет сервер овпн)
 
а дальше - поскольку адреса подсетей одинаковые, да ещё и ИП адреса не пересекаются - проще всего соединить сети мостом. если не хочется мост - можно выделить адреса каждой сети в отдельные подсети, и разрулить их маршрутизацией. дело вкуса, в общем. и потребностей

----------
матрица - это система. она и есть наш враг
everyone's first vi session. ^C^C^X^X^X^XquitqQ!qdammit[esc]qwertyuiopasdfghjkl;:xwhat

Всего записей: 1744 | Зарегистр. 21-06-2006 | Отправлено: 11:48 15-12-2010
Hkey_Current_User

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
samec2011 Вот ссылка вроде почти под твой вариант, только под линукс. И почитай там последний комментарий.  
 
Добавлено:
Похоже нашёл причину не возврата пакетов на vpn-клиента
На сервере вот такое  

Код:
root@ovpn:~# arp -a
? (192.168.1.210) at <incomplete> on br0
, где 192.168.1.210 ip клиента
Как такое лечится?
И может ли это быть из-за того, что и сервер и клиент - виртуальные машины на VMWare ESXi ?
Сеть на сервере (ubuntu 10.04) 192.168.0.0 mask 255.255.248.0 шлюз 192.168.1.20
На клиенте (win xp rus) - белый IP теста ради.
Конфиг сервера,bridge-start,  клиента, ifconfig сервера c подключённым клиетом
 
 

Всего записей: 24 | Зарегистр. 27-06-2007 | Отправлено: 11:50 15-12-2010 | Исправлено: Hkey_Current_User, 11:52 15-12-2010
rain87



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Hkey_Current_User
судя по тому, что сервер не смог найти мак клиента (а мак узнаётся бродкастом), можно предположить, что с мостом что то не так

----------
матрица - это система. она и есть наш враг
everyone's first vi session. ^C^C^X^X^X^XquitqQ!qdammit[esc]qwertyuiopasdfghjkl;:xwhat

Всего записей: 1744 | Зарегистр. 21-06-2006 | Отправлено: 21:27 15-12-2010
samec2011



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Hkey_Current_User
Несколько не то, что нужно - у меня dir 120-е маршрутизаторы стоят и в той и в другой сетях - они не поддерживают OpenWRT. Поэтому так же настроить не получится (или я не прав??).
 
rain87, rosalin
для первой сети (там где овпн сервер):
 
ip адрес маршрутизатора (локальный) 192.168.1.6
ip адрес машины с WinServer2003: 192.168.1.5
 
1. Настроил портмаппинг на маршрутизаторе (все что идёт на 1194 порт маршрутизатора - уходит на 1194 порт машины с WinServer2003).
2. Сделал мост между Сетевым адаптером и Виртуальным адаптером (который ovpn при установке создаёт) на машине с WinServer2003.
3. В этом мосте настроил протокол интернете TCP/IP:
  IP адрес 192.168.1.5, маска 255.255.255.0, шлюз 192.168.1.6, dns 192.168.1.6.
4. конфиг сервера:

Код:
mode server
port 1194
proto udp
dev tap
ca ca.crt
cert serverp.crt
key serverp.txt
dh dh1024.pem
client-to-client
;duplicate-cn
keepalive 10 120
tls-server
tls-auth ta.txt 0
cipher BF-CBC  
comp-lzo
;max-clients 100
;user nobody
;group nobody
persist-key
persist-tun
status openvpn-status.log
;log         openvpn.log
;log-append  openvpn.log
verb 3
mute 20

 
 
для второй сети (там где овнп клиент):
ip адрес маршрутизатора (локальный) 192.168.1.1
ip адрес машины с WinServer2003: 192.168.1.2
 
1. Настроил протокол интернета TCP/IP у виртуального адаптера, созданного при установке овнп:
  IP адрес 192.168.1.7, маска 255.255.255.0, шлюз 192.168.1.1, dns 192.168.1.1.
2. конфиг клиента:
 

Код:
client
dev tap
proto udp
remote 88.88.88.88 1194
;remote-random
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert serverg.crt
key serverg.txt
ns-cert-type server
tls-auth ta.txt 1
cipher BF-CBC
comp-lzo
verb 3
mute 20  

 
где: 88.88.88.88 - статический IP выданный поровайдером для сети, в которой установлен овнп сервер.
 
устанавливаю соединение через ovnpgui - на сервере - соединяется.  
устанавливаю соединение через ovnpgui - на клиенте - соединяется.  
 
НО - пинги не идут не из той, не из другой сети.
 
Что я не так делаю?

Всего записей: 72 | Зарегистр. 14-03-2007 | Отправлено: 10:58 16-12-2010 | Исправлено: samec2011, 13:08 16-12-2010
tankistua

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
а чего у тебя айпишники одинаковые в сетях?
 
Добавлено:
а, ты их забриджевать хочешь.
я не знаю насколько это реально - я через роутинг сети всегда объединяю, но для бриджинга не хвататет
 
# Configure server mode for ethernet bridging.
# You must first use your OS's bridging capability
# to bridge the TAP interface with the ethernet
# NIC interface.  Then you must manually set the
# IP/netmask on the bridge interface, here we
# assume 10.8.0.4/255.255.255.0.  Finally we
# must set aside an IP range in this subnet
# (start=10.8.0.50 end=10.8.0.100) to allocate
# to connecting clients.  Leave this line commented
# out unless you are ethernet bridging.
 
ifconfig 192.168.11.10 255.255.255.0
server-bridge 192.168.11.10 255.255.255.0 192.168.11.11 192.168.11.19

Всего записей: 9572 | Зарегистр. 15-01-2002 | Отправлено: 11:11 16-12-2010
samec2011



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
добавил в овнп-сервер конфиг:

Код:
 
mode server
port 1194
proto udp
dev tap
ca ca.crt
cert serverp.crt
key serverp.txt
dh dh1024.pem
ifconfig 192.168.1.5 255.255.255.0  
server-bridge 192.168.1.5 255.255.255.0 192.168.1.7 192.168.1.10

client-to-client
;duplicate-cn
keepalive 10 120
tls-server
tls-auth ta.txt 0
cipher BF-CBC  
comp-lzo
;max-clients 100
;user nobody
;group nobody
persist-key
persist-tun
status openvpn-status.log
;log         openvpn.log
;log-append  openvpn.log
verb 3
mute 20  
 

На клиенте стал ругаться при подключении:  
C:\Windows\system32\natsh.exe interface ip set addres Подключение по локальной сети 3 dhcp  
ERROR: netsh command failed:return error code 1  
 
установил у виртуального адаптера в настройках протокола TCP\IP автоматическое получение IP адреса - ругань прошла. Подключился.
 
Пинга нет
 
Добавлено:
а на клиенте надо мост средствами винды делать, между виртуальным и смотрящим в локалку сетевыми адаптерами? Или нет?

Всего записей: 72 | Зарегистр. 14-03-2007 | Отправлено: 11:50 16-12-2010
rain87



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
samec2011

Цитата:
 а на клиенте надо мост средствами винды делать, между виртуальным и смотрящим в локалку сетевыми адаптерами? Или нет?
конечно надо. именно это и надо делать, чтоб был мост

----------
матрица - это система. она и есть наш враг
everyone's first vi session. ^C^C^X^X^X^XquitqQ!qdammit[esc]qwertyuiopasdfghjkl;:xwhat

Всего записей: 1744 | Зарегистр. 21-06-2006 | Отправлено: 12:10 16-12-2010
samec2011



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
непойму зачем эти строчки:
 
ifconfig 192.168.1.5 255.255.255.0  
server-bridge 192.168.1.5 255.255.255.0 192.168.1.7 192.168.1.10
 
если я прописываю все IP руками???? Мне не нужно, чтобы на клиенте IP автоматом выдавался - хочется чтобы он был статический.  
Без этих строк никак???
 
Добавлено:
И ещё вопрос: Как автоматически из виндов стартовать сервер и клиента, если вдруг они "упали" или произошла перезагрузка машины?

Всего записей: 72 | Зарегистр. 14-03-2007 | Отправлено: 12:16 16-12-2010
Hrusha321

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Есть Openvpn клиент установленный на WinXP. На ключ сертификата Openvpn стоит пароль. Подскажите, есть ли возможность, чтобы пароль автоматом вводился при подключении?
Во FreeBSD помогал параметр --askpass [file]. В винде выдает такое:
Thu Dec 16 09:29:26 2010 us=823000 Cannot load private key file l:\Tools\Openvp\new\Home.key: error:06065064:digital envelope routines:EVP_DecryptFinal_ex:bad decrypt: error:0906A065:PEM routines:PEM_do_header:bad decrypt: error:140B0009: SSL routines:SSL_CTX_use_PrivateKey_file:PEM lib
Thu Dec 16 09:29:26 2010 us=823000 Error: private key password verification faied
Насколько я понимаю он хочет пароль в зашифрованном виде, как это можно сделать?
Конечно самый простой выход сбросить пароль, но тоже возникает вопрос как?

Всего записей: 3 | Зарегистр. 20-06-2006 | Отправлено: 13:47 16-12-2010
samec2011



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Hrusha321
h t t p://www.ru.kurlix.de/index.php?option=com_content&task=view&id=95&Itemid=27
 
вот тут написано как.

Всего записей: 72 | Зарегистр. 14-03-2007 | Отправлено: 13:56 16-12-2010
rain87



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
samec2011
если хочется самому назначать адреса клиентам взгляни в сторону
Цитата:
--client-config-dir dir
    Specify a directory dir for custom client config files. After a connecting client has been authenticated, OpenVPN will look in this directory for a file having the same name as the client's X509 common name. If a matching file exists, it will be opened and parsed for client-specific configuration options. If no matching file is found, OpenVPN will instead try to open and parse a default file called "DEFAULT", which may be provided but is not required.
 
    This file can specify a fixed IP address for a given client using --ifconfig-push, as well as fixed subnets owned by the client using --iroute.
 
    One of the useful properties of this option is that it allows client configuration files to be conveniently created, edited, or removed while the server is live, without needing to restart the server.
 
    The following options are legal in a client-specific context: --push, --push-reset, --iroute, --ifconfig-push, and --config.  
т.е. на сервере делаешь папку, указываешь к ней путь, и в этой папке складываешь файлики, имена которым равны common name из клиентского сертификата. и из этого файла будут подхватываться специфические настройки для каждого клиента, в том числе и ИП адреса

----------
матрица - это система. она и есть наш враг
everyone's first vi session. ^C^C^X^X^X^XquitqQ!qdammit[esc]qwertyuiopasdfghjkl;:xwhat

Всего записей: 1744 | Зарегистр. 21-06-2006 | Отправлено: 14:21 16-12-2010
Hrusha321

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
samec2011

Цитата:
Hrusha321
h t t p://www.ru.kurlix.de/index.php?option=com_content&task=view&id=95&Itemid=27
 
вот тут написано как.

Я эту статью уже читал, это не то.
Там написано как делать если у Вас логин и пароль на подключение к ВПН. А у меня пароль на сертификат - это две разные вещи.
 

Всего записей: 3 | Зарегистр. 20-06-2006 | Отправлено: 14:37 16-12-2010 | Исправлено: Hrusha321, 14:39 16-12-2010
tankistua

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
И ещё вопрос: Как автоматически из виндов стартовать сервер и клиента, если вдруг они "упали" или произошла перезагрузка машины?

ты когда ставишь openvpn у тебя сервис появляется, он задизейблен по-умолчанию.
 
фиг его знает что тебе посоветовать - не бриджую я сети

Всего записей: 9572 | Зарегистр. 15-01-2002 | Отправлено: 20:59 16-12-2010
samec2011



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
tankistua
с сервисом разобрался, спасибо.
rain87
Зачем мне вообще менять IP из овпн - если они заданы руками изначально?
Поэтому думаю, что
Цитата:
--client-config-dir dir
лишнее для меня.
 
После того, как донастроил мост на клиенте - пинги пошли, сетки друг друга стали видеть .
 
Вопрос остался, последний по этой теме:
Когда сервер соединяется - соединения: реальный сетевой адаптер, виртуальный сетевой адаптер, мост между ними - все становятся в состояние "Подключено".
 
Когда клиент соединяется  - соединения: реальный сетевой адаптер - "Подключено", виртуальный сетевой адаптер - "Сетевой кабель не подключен", мост между ними - "Подключено".
 
Так вот, собственно: то что на клиенте виртуальный адаптер (tap) постоянно (и до и после соединения) находится в состоянии "сетевой кабель не подлключен" - это нормально? Или так быть не должно?
 
Добавлено:
Hrusha321

Цитата:
Конечно самый простой выход сбросить пароль, но тоже возникает вопрос как?

OpenVPN Gui->Change Password ??

Всего записей: 72 | Зарегистр. 14-03-2007 | Отправлено: 21:30 16-12-2010
rain87



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Hrusha321
Цитата:
--askpass [file]
    Get certificate password from console or file before we daemonize.
 
    For the extremely security conscious, it is possible to protect your private key with a password. Of course this means that every time the OpenVPN daemon is started you must be there to type the password. The --askpass option allows you to start OpenVPN from the command line. It will query you for a password before it daemonizes. To protect a private key with a password you should omit the -nodes option when you use the openssl command line tool to manage certificates and private keys.
 
    If file is specified, read the password from the first line of file. Keep in mind that storing your password in a file to a certain extent invalidates the extra security provided by using an encrypted key (Note: OpenVPN will only read passwords from a file if it has been built with the --enable-password-save configure option, or on Windows by defining ENABLE_PASSWORD_SAVE in config-win32.h).  
очевидно, придётся пересобирать овпн с этой опцией, насколько помню, по дефолту она выключена
 
Добавлено:
samec2011
Цитата:
 Так вот, собственно: то что на клиенте виртуальный адаптер (tap) постоянно (и до и после соединения) находится в состоянии "сетевой кабель не подлключен" - это нормально? Или так быть не должно?  
раз всё работает, какая разница какую иконку винда выводит?

----------
матрица - это система. она и есть наш враг
everyone's first vi session. ^C^C^X^X^X^XquitqQ!qdammit[esc]qwertyuiopasdfghjkl;:xwhat

Всего записей: 1744 | Зарегистр. 21-06-2006 | Отправлено: 22:18 16-12-2010
Hrusha321

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
samec2011

Цитата:
OpenVPN Gui->Change Password ??

Так не позволяет сбрасывать на пустой пароль, пишет что надо как минимум 8 символов
 
rain87

Цитата:
очевидно, придётся пересобирать овпн с этой опцией, насколько помню, по дефолту она выключена  

У меня собрано с этой опцией, потому что если эта опция не включена, то он пишет, что пароль из файла брать нельзя, а не такую ошибку как у меня.
 
Кстати по пути вопрос, как собирать из исходников в винде?

Всего записей: 3 | Зарегистр. 20-06-2006 | Отправлено: 09:14 17-12-2010 | Исправлено: Hrusha321, 09:20 17-12-2010
rain87



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Hrusha321
по поводу сброса вот нашёл
Цитата:
It should be possible to remove the passphrase with a simple `openssl (rsa|dsa) -in private.key -out privatekey-without-passphrase.key' with RSA or DSA depending on the type of the private key used.
а по поводу ошибки даже хз. судя по всему, просто пароль неправильный. проверь, чтоб там не было пробелов, лишних переносов строк и тп
 
Добавлено:

Цитата:
 Кстати по пути вопрос, как собирать из исходников в винде?  
ну я не уверен, но думаю аналогично тому как и под линуксом - mingw32-make ) единственное но - для сборки ТАП драйвера потребуется виндоус ДДК. и наверное ТАП соберётся только вижуал студией

----------
матрица - это система. она и есть наш враг
everyone's first vi session. ^C^C^X^X^X^XquitqQ!qdammit[esc]qwertyuiopasdfghjkl;:xwhat

Всего записей: 1744 | Зарегистр. 21-06-2006 | Отправлено: 10:17 17-12-2010
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » OpenVPN


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru