LINUX.ORG.RU
Форум — Admin  

Нет интернета на клиенте при подключении к серверу по OpenVpn

 , ,


0

1

Всем привет! Я в настройке OpenVpn на сервере Debian новичок, поэтому прошу помощи. У меня есть арендованный VPS сервер, на нем я планировал настроить OpenVpn и подключаясь по OpenVpn выходить в сеть. Клиент мой на Windows 7 х64 Все вроде бы настроил, по OpenVpn (версия клиента 11.12.00) подключение проходит нормально, загорается зеленым экранчик, но сразу пропадает инет полностью на машине. Ничего не пингуется и не проходит tracert c машины. При этом на самом сервере инет есть, вроде никаких ограничений от провайдера, технология Tun/Tap провайдером для сервера подключена. Информации по аналогичным проблемам в инете очень много и я не нашел решения, кроме как обратиться сюда. Скажите, какие мне необходимо выложить логи с сервера Debian, чтобы мне помогли диагностировать и решить проблему? Пока могу приложить лог подключения к OpenVpn: в нем вроде все нормально, но первые 2 строки красные: --user option is not implemented on Windows --group option is not implemented on Windows

Заранее Всем благодарен за помощь!

← Маршрутизация трафика Debian
Как создать мультизагрузочную флешку? →

Ничего не пингуется и не проходит tracert c машины.

Сам VPS-сервер пингуется? Что с маршрутизацией на клиенте и на сервере?

Serge10 ★★★★★
()
Ответ на: комментарий от Serge10

Сам сервер пингуется при включенном и не включенном OpenVpn. С маршрутизацией вроде должно быть все в порядке. Какую команду на сервере выполнить и какие логи приложить?

Memficos
() автор топика
Ответ на: комментарий от Memficos

На сервере покажите вывод команды ip route. На клиенте не знаю, как посмотреть таблицу маршрутизации - не работал никогда с этой OS :(.

Отключение файрволов влияет на ситуацию или нет?

Serge10 ★★★★★
()
Ответ на: комментарий от Deleted

Да особо никаких команд для маршрутизации выполнялось, был включен файрвол UFW, проверено, что он пропускает OpenSSH, затем был создан центр сертификации, настроены стандартные переменные в vars Созданы сертификаты, ключи и файлов шифрования для сервера (диффи-хелман и т.п) Создан сертификат и пара ключей для клиента Настроена конфигурация OpenVPN на сервере, в частности выставлены параметры: key-direction 0 cipher AES-128-CBC auth SHA256 user nobody group nogroup push «redirect-gateway def1 bypass-dhcp» push «dhcp-option DNS 208.67.222.222» push «dhcp-option DNS 208.67.220.220» Порт оставлен стандартный 1194

Для настройки перенаправления IP была выполнена всего 1 команда net.ipv4.ip_forward=1 sysctl -p

Настройка правил UFW только это # START OPENVPN RULES # NAT table rules *nat :POSTROUTING ACCEPT [0:0] # Allow traffic from OpenVPN client to eth0 -A POSTROUTING -s 10.8.0.0/8 -o venet0 -j MASQUERADE COMMIT # END OPENVPN RULES

Потом DEFAULT_FORWARD_POLICY=«ACCEPT»

Открытие порта OpenVPN ufw allow 1194/udp ufw allow OpenSSH

Команда systemctl start openvpn@server и ip addr show tun0 отработали штатно

Потом systemctl enable openvpn@server

Memficos
() автор топика
Ответ на: комментарий от Memficos

Тогда каким образом сервер будет предоставлять доступ клиентам в интернет ?
UPD: пропустил в портянке текста маскарадинг. тогда у меня нет идей чего не работает.

Deleted
()
Последнее исправление: Deleted (всего исправлений: 1)
Ответ на: комментарий от Memficos

С клиента приведите еще таблицу маршрутизации.

Serge10 ★★★★★
()

1. Выкладываем конфиги сервера и клиента
2. Выкладываем логи с сервера и клиента при подключении.
3. Выкладываем iptables-save с сервера
Все это оборачиваем в тэги [code] [/code]

anc ★★★★★
()

Ставлю поллитру жигулёвского, что у тебя после подключения vpn в таблице маршрутизации default-маршрут идёт через поднятый через vpn сетевой интерфейс(скорее всего это ppp0) ... то есть в том числе и маршрут до хоста vpn-сервера.

Пропиши для хоста vpn-серврера отдельную записть в таблице маршрутизатора на интерфейс, с которого ты получаешь интернеты (например wlan0, eth0 и пр.)

Как это сделать в терминах Win 7 не скажу, не знаю.

r_asian ★☆☆
()
Ответ на: комментарий от r_asian

OpenVpn
Ставлю поллитру жигулёвского
скорее всего это ppp0

Где забрать поллитру?

anc ★★★★★
()
Последнее исправление: anc (всего исправлений: 1)

рабочий конфиг..
лучше пользовать UDP 



    local 1.2.3.4.5             # внешний IP сервера (Инетовский IP-адрес)
    port 1194                   # порт на котором будет висеть служба OpenVPN
    proto tcp                    # протокол 
    dev tun                      # используем тип тунеля для интернет, tap для eternet
    ca ca.crt                     # наши сертификаты
    cert cafap-250.crt
    key cafap-250.key
    dh dh1024.pem
    server 10.10.10.0 255.255.255.0    # Наша виртуальная сеть (адреса, которые будут присваиваться клиентам OpenVPN)
    ifconfig-pool-persist ipp.txt              # запоминать выданные динамические адреса
    keepalive 10 120            # пинг каждые 10 секунд для поддержания канала связи
    comp-lzo              # сжатие трафика
    persist-key
    persist-tun
    log /var/log/openvpn.log                 # Путь к лог-файлу
    verb 3                                             # Уровень детализации лога.
    mute                                              # В лог будет записываться до 10 сообщений из одной категории.
    status openvpn-status.log #лог
    client-to-client
    ;push "redirect-gateway def1"  # Перенаправлять default gateway на vpn-сервер. Если не нужно - закомментировать.
    ;push "route 192.168.2.0 255.255.255.0"
    client-config-dir ccd                # Директория где хранятся настройки клиентов 
    ;user nobody
    ;group nogroup

зы зы... покажите iptables -L

yoZz
()
Ответ на: комментарий от Serge10

Отключение файрвола на клиенте не помогает

Memficos
() автор топика
Ответ на: комментарий от Memficos

У вас при подключении к VPN серверу добавляется маршрут, который указывает, что шлюзом становится ВПН сервер.

Если вам это и нужно, то настраивайте NAT на VPN сервере.

infomeh ★★
()
Ответ на: комментарий от r_asian

Не совсем понимаю как это сделать, я все-таки новичок в этом))) Меня немного смущает, что при выполнении команды ip route | grep default я получаю вот это http://prntscr.com/ok1gzp а должен получать вывод типа default via 203.0.113.1 dev wlp11s0 proto static metric 600

Memficos
() автор топика
Ответ на: комментарий от infomeh 
root@memficos:~# iptables-save
# Generated by iptables-save v1.6.0 on Thu Jul 25 14:38:50 2019
*nat
:PREROUTING ACCEPT [45332:2665009]
:POSTROUTING ACCEPT [175:10125]
:OUTPUT ACCEPT [2:144]
-A POSTROUTING -s 10.0.0.0/8 -o eth0 -j MASQUERADE
-A POSTROUTING -s 10.0.0.0/8 -o eth0 -j MASQUERADE
COMMIT
# Completed on Thu Jul 25 14:38:50 2019
# Generated by iptables-save v1.6.0 on Thu Jul 25 14:38:50 2019
*filter
:INPUT DROP [44528:2619592]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [98:6092]
:ufw-after-forward - [0:0]
:ufw-after-input - [0:0]
:ufw-after-logging-forward - [0:0]
:ufw-after-logging-input - [0:0]
:ufw-after-logging-output - [0:0]
:ufw-after-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-before-input - [0:0]
:ufw-before-logging-forward - [0:0]
:ufw-before-logging-input - [0:0]
:ufw-before-logging-output - [0:0]
:ufw-before-output - [0:0]
:ufw-logging-allow - [0:0]
:ufw-logging-deny - [0:0]
:ufw-not-local - [0:0]
:ufw-reject-forward - [0:0]
:ufw-reject-input - [0:0]
:ufw-reject-output - [0:0]
:ufw-skip-to-policy-forward - [0:0]
:ufw-skip-to-policy-input - [0:0]
:ufw-skip-to-policy-output - [0:0]
:ufw-track-forward - [0:0]
:ufw-track-input - [0:0]
:ufw-track-output - [0:0]
:ufw-user-forward - [0:0]
:ufw-user-input - [0:0]
:ufw-user-limit - [0:0]
:ufw-user-limit-accept - [0:0]
:ufw-user-logging-forward - [0:0]
:ufw-user-logging-input - [0:0]
:ufw-user-logging-output - [0:0]
:ufw-user-output - [0:0]
-A INPUT -j ufw-before-logging-input
-A INPUT -j ufw-before-input
-A INPUT -j ufw-after-input
-A INPUT -j ufw-after-logging-input
-A INPUT -j ufw-reject-input
-A INPUT -j ufw-track-input
-A FORWARD -j ufw-before-logging-forward
-A FORWARD -j ufw-before-forward
-A FORWARD -j ufw-after-forward
-A FORWARD -j ufw-after-logging-forward
-A FORWARD -j ufw-reject-forward
-A FORWARD -j ufw-track-forward
-A OUTPUT -j ufw-before-logging-output
-A OUTPUT -j ufw-before-output
-A OUTPUT -j ufw-after-output
-A OUTPUT -j ufw-after-logging-output
-A OUTPUT -j ufw-reject-output
-A OUTPUT -j ufw-track-output
-A ufw-after-input -p udp -m udp --dport 137 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 138 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 139 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 445 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 67 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 68 -j ufw-skip-to-policy-input
-A ufw-after-input -m addrtype --dst-type BROADCAST -j ufw-skip-to-policy-input
-A ufw-after-logging-input -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-forward -j ufw-user-forward
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP
-A ufw-before-input -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-input -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A ufw-before-input -j ufw-not-local
-A ufw-before-input -d 224.0.0.251/32 -p udp -m udp --dport 5353 -j ACCEPT
-A ufw-before-input -d 239.255.255.250/32 -p udp -m udp --dport 1900 -j ACCEPT
-A ufw-before-input -j ufw-user-input
-A ufw-before-output -o lo -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -j ufw-user-output
-A ufw-logging-allow -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] "
-A ufw-logging-deny -m conntrack --ctstate INVALID -m limit --limit 3/min --limit-burst 10 -j RETURN
-A ufw-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP
-A ufw-skip-to-policy-forward -j ACCEPT
-A ufw-skip-to-policy-input -j DROP
-A ufw-skip-to-policy-output -j ACCEPT
-A ufw-track-forward -p tcp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-track-forward -p udp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-track-output -p tcp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-track-output -p udp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 22 -m comment --comment "\'dapp_OpenSSH\'" -j ACCEPT
-A ufw-user-input -p udp -m udp --dport 1194 -j ACCEPT
-A ufw-user-limit -m limit --limit 3/min -j LOG --log-prefix "[UFW LIMIT BLOCK] "
-A ufw-user-limit -j REJECT --reject-with icmp-port-unreachable
-A ufw-user-limit-accept -j ACCEPT
COMMIT
# Completed on Thu Jul 25 14:38:50 2019
# Generated by iptables-save v1.6.0 on Thu Jul 25 14:38:50 2019
*mangle
:PREROUTING ACCEPT [71588:6142314]
:INPUT ACCEPT [69233:5990796]
:FORWARD ACCEPT [2355:151518]
:OUTPUT ACCEPT [20698:5721788]
:POSTROUTING ACCEPT [23053:5873306]
COMMIT
# Completed on Thu Jul 25 14:38:50 2019
# Generated by iptables-save v1.6.0 on Thu Jul 25 14:38:50 2019
*raw
:PREROUTING ACCEPT [71588:6142314]
:OUTPUT ACCEPT [20698:5721788]
COMMIT
# Completed on Thu Jul 25 14:38:50 2019
Memficos
() автор топика
Ответ на: комментарий от infomeh

в ответ на cat /proc/sys/net/ipv4/ip_forward значение просто 1

Memficos
() автор топика
Ответ на: комментарий от Memficos

Всю портянку ufw читать тяжко, и пока не вижу смысла. Как минимум что вижу я:

-A POSTROUTING -s 10.0.0.0/8 -o eth0 -j MASQUERADE

Откуда eth0 ? Ошиблись интерфейсом ?
Но все-таки покажите выхлоп
ip a
И не «фоточками» все так же в тэгах [code]

anc ★★★★★
()
Ответ на: комментарий от infomeh

Зачем здесь столько правил?

Это ufw их генерит автоматом. Такую же не нужную портянку и с firewalld получите.

anc ★★★★★
()
Ответ на: комментарий от anc 
root@memficos:~# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: venet0: <BROADCAST,POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1500 qdisc noqueue state UNKNOWN
    link/void
    inet 127.0.0.2/32 scope host venet0
    inet 185.238.0.140/32 brd 185.238.0.140 scope global venet0:0
3: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 100
    link/none
    inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0

Блин по ходу ошибся в интерфейсе.... Хотя может еще что найдете и подскажете как исправить Заранее огромное спасибо!

Memficos
() автор топика
Ответ на: комментарий от infomeh

Все заработало!!! Спасибо огромное за помощь! До сих пор не пойму как я мог ошибиться с интерфейсом и не поменять.....

Memficos
() автор топика
Ответ на: комментарий от infomeh

Учту и буду использовать! Спасибо огромное!

Memficos
() автор топика
Ответ на: комментарий от Memficos

Это был сарказм, почитайте то такое маска сети и на что она влияет.

И что значит /8 и прочее.

Это базовые знания по IP адресации.

infomeh ★★
()
Ответ на: комментарий от infomeh

Спасибо, принял к сведению) Еще раз огромное спасибо всем!!!

Memficos
() автор топика
Ответ на: комментарий от Memficos

Хм, может и маловато, а Вы сколько рекомендуете выставить?

/0 самое то, не промахнетесь. (с) «Вредные советы»

Теперь серьезно. У вас что прописано к конфиге сервера (который вы нам не показали, поэтому мы можем только догадываться) ? Вот то и прописывайте.

anc ★★★★★
()
Ответ на: комментарий от FireFighter

Так VPS в Амстердаме и выход в интернет через него по OpenVpn и так вроде решают эту проблему

Memficos
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Маршрутизация трафика Debian
Admin
Как создать мультизагрузочную флешку? →