LINUX.ORG.RU
Форум — Admin  

OpenVPN. Клиент добавляет маршруты из-за этого нет интернета

 


0

1

Всем привет.

Сервер на CentOS 7. Клиент OpenVPN GUI на Windows 10.

Конфиг OVPN

client
proto udp
remote xx.xx.254.75 1194
dev tun
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
verify-x509-name server_QL2ifJug00NMFWU7 name
auth SHA256
auth-nocache
cipher AES-128-GCM
tls-client
tls-version-min 1.2
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256
setenv opt block-outside-dns # Prevent Windows 10 DNS leak
verb 3
<ca>

route print до подключения:

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0      192.168.0.1    192.168.0.101     35
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    331
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    331
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    331
      192.168.0.0    255.255.255.0         On-link     192.168.0.101    291
    192.168.0.101  255.255.255.255         On-link     192.168.0.101    291
    192.168.0.255  255.255.255.255         On-link     192.168.0.101    291
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    331
        224.0.0.0        240.0.0.0         On-link     192.168.0.101    291
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    331
  255.255.255.255  255.255.255.255         On-link     192.168.0.101    291

route print после подключения:

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0      192.168.0.1    192.168.0.101     35
          0.0.0.0        128.0.0.0         10.8.0.1         10.8.0.2    259
         10.8.0.0    255.255.255.0         On-link          10.8.0.2    259
         10.8.0.2  255.255.255.255         On-link          10.8.0.2    259
       10.8.0.255  255.255.255.255         On-link          10.8.0.2    259
     xx.xx.254.75  255.255.255.255      192.168.0.1    192.168.0.101    291
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    331
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    331
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    331
        128.0.0.0        128.0.0.0         10.8.0.1         10.8.0.2    259
      192.168.0.0    255.255.255.0         On-link     192.168.0.101    291
    192.168.0.101  255.255.255.255         On-link     192.168.0.101    291
    192.168.0.255  255.255.255.255         On-link     192.168.0.101    291
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    331
        224.0.0.0        240.0.0.0         On-link     192.168.0.101    291
        224.0.0.0        240.0.0.0         On-link          10.8.0.2    259
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    331
  255.255.255.255  255.255.255.255         On-link     192.168.0.101    291
  255.255.255.255  255.255.255.255         On-link          10.8.0.2    259

Логи в клиенте

Sat Nov 09 21:28:02 2019 OpenVPN 2.4.8 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Oct 31 2019
Sat Nov 09 21:28:02 2019 Windows version 6.2 (Windows 8 or greater) 64bit
Sat Nov 09 21:28:02 2019 library versions: OpenSSL 1.1.0l  10 Sep 2019, LZO 2.10
Enter Management Password:
Sat Nov 09 21:28:02 2019 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
Sat Nov 09 21:28:02 2019 Need hold release from management interface, waiting...
Sat Nov 09 21:28:02 2019 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
Sat Nov 09 21:28:02 2019 MANAGEMENT: CMD 'state on'
Sat Nov 09 21:28:02 2019 MANAGEMENT: CMD 'log all on'
Sat Nov 09 21:28:02 2019 MANAGEMENT: CMD 'echo all on'
Sat Nov 09 21:28:02 2019 MANAGEMENT: CMD 'bytecount 5'
Sat Nov 09 21:28:02 2019 MANAGEMENT: CMD 'hold off'
Sat Nov 09 21:28:02 2019 MANAGEMENT: CMD 'hold release'
Sat Nov 09 21:28:02 2019 MANAGEMENT: CMD 'password [...]'
Sat Nov 09 21:28:02 2019 Outgoing Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
Sat Nov 09 21:28:02 2019 Outgoing Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
Sat Nov 09 21:28:02 2019 Incoming Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
Sat Nov 09 21:28:02 2019 Incoming Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
Sat Nov 09 21:28:02 2019 TCP/UDP: Preserving recently used remote address: [AF_INET]xx.xx.254.75:1194
Sat Nov 09 21:28:02 2019 Socket Buffers: R=[65536->65536] S=[65536->65536]
Sat Nov 09 21:28:02 2019 UDP link local: (not bound)
Sat Nov 09 21:28:02 2019 UDP link remote: [AF_INET]xx.xx.254.75:1194
Sat Nov 09 21:28:02 2019 MANAGEMENT: >STATE:1573298882,WAIT,,,,,,
Sat Nov 09 21:28:02 2019 MANAGEMENT: >STATE:1573298882,AUTH,,,,,,
Sat Nov 09 21:28:02 2019 TLS: Initial packet from [AF_INET]xx.xx.254.75:1194, sid=fb1a26a5 588b13a3
Sat Nov 09 21:28:03 2019 VERIFY OK: depth=1, CN=cn_AVomgxZ5r6500GxZ
Sat Nov 09 21:28:03 2019 VERIFY KU OK
Sat Nov 09 21:28:03 2019 Validating certificate extended key usage
Sat Nov 09 21:28:03 2019 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Sat Nov 09 21:28:03 2019 VERIFY EKU OK
Sat Nov 09 21:28:03 2019 VERIFY X509NAME OK: CN=server_QL2ifJug00NMFWU7
Sat Nov 09 21:28:03 2019 VERIFY OK: depth=0, CN=server_QL2ifJug00NMFWU7
Sat Nov 09 21:28:03 2019 Control Channel: TLSv1.2, cipher TLSv1.2 ECDHE-ECDSA-AES128-GCM-SHA256, 256 bit EC, curve: prime256v1
Sat Nov 09 21:28:03 2019 [server_QL2ifJug00NMFWU7] Peer Connection Initiated with [AF_INET]xx.xx.254.75:1194
Sat Nov 09 21:28:04 2019 MANAGEMENT: >STATE:1573298884,GET_CONFIG,,,,,,
Sat Nov 09 21:28:04 2019 SENT CONTROL [server_QL2ifJug00NMFWU7]: 'PUSH_REQUEST' (status=1)
Sat Nov 09 21:28:04 2019 PUSH: Received control message: 'PUSH_REPLY,dhcp-option DNS 213.133.98.98,dhcp-option DNS 213.133.99.99,dhcp-option DNS 213.133.100.100,redirect-gateway def1 bypass-dhcp,route-gateway 10.8.0.1,topology subnet,ping 10,ping-restart 120,ifconfig 10.8.0.2 255.255.255.0,peer-id 0,cipher AES-128-GCM'
Sat Nov 09 21:28:04 2019 OPTIONS IMPORT: timers and/or timeouts modified
Sat Nov 09 21:28:04 2019 OPTIONS IMPORT: --ifconfig/up options modified
Sat Nov 09 21:28:04 2019 OPTIONS IMPORT: route options modified
Sat Nov 09 21:28:04 2019 OPTIONS IMPORT: route-related options modified
Sat Nov 09 21:28:04 2019 OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modified
Sat Nov 09 21:28:04 2019 OPTIONS IMPORT: peer-id set
Sat Nov 09 21:28:04 2019 OPTIONS IMPORT: adjusting link_mtu to 1624
Sat Nov 09 21:28:04 2019 OPTIONS IMPORT: data channel crypto options modified
Sat Nov 09 21:28:04 2019 Outgoing Data Channel: Cipher 'AES-128-GCM' initialized with 128 bit key
Sat Nov 09 21:28:04 2019 Incoming Data Channel: Cipher 'AES-128-GCM' initialized with 128 bit key
Sat Nov 09 21:28:04 2019 interactive service msg_channel=816
Sat Nov 09 21:28:04 2019 ROUTE_GATEWAY 192.168.0.1/255.255.255.0 I=10 HWADDR=00:1c:c0:fa:56:0f
Sat Nov 09 21:28:04 2019 open_tun
Sat Nov 09 21:28:04 2019 TAP-WIN32 device [Подключение по локальной сети] opened: \\.\Global\{FF0FBC65-6A22-4BDC-89AC-570CD81F5DD1}.tap
Sat Nov 09 21:28:04 2019 TAP-Windows Driver Version 9.24 
Sat Nov 09 21:28:04 2019 Set TAP-Windows TUN subnet mode network/local/netmask = 10.8.0.0/10.8.0.2/255.255.255.0 [SUCCEEDED]
Sat Nov 09 21:28:04 2019 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.8.0.2/255.255.255.0 on interface {FF0FBC65-6A22-4BDC-89AC-570CD81F5DD1} [DHCP-serv: 10.8.0.254, lease-time: 31536000]
Sat Nov 09 21:28:04 2019 Successful ARP Flush on interface [7] {FF0FBC65-6A22-4BDC-89AC-570CD81F5DD1}
Sat Nov 09 21:28:04 2019 MANAGEMENT: >STATE:1573298884,ASSIGN_IP,,10.8.0.2,,,,
Sat Nov 09 21:28:04 2019 Blocking outside dns using service succeeded.
Sat Nov 09 21:28:10 2019 TEST ROUTES: 1/1 succeeded len=0 ret=1 a=0 u/d=up
Sat Nov 09 21:28:10 2019 C:\Windows\system32\route.exe ADD xx.xx.254.75 MASK 255.255.255.255 192.168.0.1
Sat Nov 09 21:28:10 2019 Route addition via service succeeded
Sat Nov 09 21:28:10 2019 C:\Windows\system32\route.exe ADD 0.0.0.0 MASK 128.0.0.0 10.8.0.1
Sat Nov 09 21:28:10 2019 Route addition via service succeeded
Sat Nov 09 21:28:10 2019 C:\Windows\system32\route.exe ADD 128.0.0.0 MASK 128.0.0.0 10.8.0.1
Sat Nov 09 21:28:10 2019 Route addition via service succeeded
Sat Nov 09 21:28:10 2019 Initialization Sequence Completed
Sat Nov 09 21:28:10 2019 MANAGEMENT: >STATE:1573298890,CONNECTED,SUCCESS,10.8.0.2,xx.xx.254.75,1194,,

Мне интернет через сервер к которому подключаюсь, не нужен. Мне нужен интернет через мой шлюз 192.168.0.1. Как я понял, клиент добавляет маршруты сервера, поэтому интернета нет.

Значит надо отредактировать какой-то файл, чтобы он не добавлял свои маршруты. Но не могу найти этот файл (



Последнее исправление: yatakoi (всего исправлений: 1)
← Низкая скорость по WiFi на OpenWrt
Gentoo: достаточно ли обновляться раз в месяц? →

Internet должен работать. VPN конечно добавляет маршрут, но метрика нового маршрута по умолчанию больше (259), чем метрика вашего (35).

anonymous
()
Ответ на: комментарий от anonymous

Спасибо большое за ссылку. Осталось понять, почему ничего не резолвится. DNS на сервере OpenVPN пробововал 1.1.1.1 и 8.8.8.8, пробовал и другие, но ничего. По IP всё пингуется.

ipconfig /all после подключения к OpenVPN

Неизвестный адаптер Подключение по локальной сети:

   DNS-суффикс подключения . . . . . :
   Описание. . . . . . . . . . . . . : TAP-Windows Adapter V9
   Физический адрес. . . . . . . . . : 00-FF-FF-0F-BC-65
   DHCP включен. . . . . . . . . . . : Да
   Автонастройка включена. . . . . . : Да
   Локальный IPv6-адрес канала . . . : fe80::588:752c:d0f2:9a1%7(Основной)
   IPv4-адрес. . . . . . . . . . . . : 10.8.0.2(Основной)
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Аренда получена. . . . . . . . . . : 10 ноября 2019 г. 14:13:29
   Срок аренды истекает. . . . . . . . . . : 9 ноября 2020 г. 14:13:28
   Основной шлюз. . . . . . . . . :
   DHCP-сервер. . . . . . . . . . . : 10.8.0.254
   IAID DHCPv6 . . . . . . . . . . . : 117506047
   DUID клиента DHCPv6 . . . . . . . : 00-01-00-01-25-4C-C3-98-00-1C-C0-FA-56-0F
   DNS-серверы. . . . . . . . . . . : 1.1.1.1
                                       8.8.8.8
   NetBios через TCP/IP. . . . . . . . : Включен

Адаптер Ethernet Ethernet:

   DNS-суффикс подключения . . . . . :
   Описание. . . . . . . . . . . . . : Intel(R) 82578DC Gigabit Network Connection
   Физический адрес. . . . . . . . . : 00-1C-C0-FA-56-0F
   DHCP включен. . . . . . . . . . . : Да
   Автонастройка включена. . . . . . : Да
   Локальный IPv6-адрес канала . . . : fe80::f954:2ec5:5bcd:8a97%10(Основной)
   IPv4-адрес. . . . . . . . . . . . : 192.168.0.101(Основной)
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Аренда получена. . . . . . . . . . : 6 ноября 2019 г. 21:27:57
   Срок аренды истекает. . . . . . . . . . : 11 ноября 2019 г. 13:42:47
   Основной шлюз. . . . . . . . . : 192.168.0.1
   DHCP-сервер. . . . . . . . . . . : 192.168.0.1
   IAID DHCPv6 . . . . . . . . . . . : 100670656
   DUID клиента DHCPv6 . . . . . . . : 00-01-00-01-25-4C-C3-98-00-1C-C0-FA-56-0F
   DNS-серверы. . . . . . . . . . . : 1.1.1.1
                                       8.8.8.8
yatakoi
() автор топика
Ответ на: комментарий от yatakoi

nslookup

C:\Users\allka>nslookup ya.ru
DNS request timed out.
    timeout was 2 seconds.
╤хЁтхЁ:  UnKnown
Address:  1.1.1.1

DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
*** Превышено время ожидания запроса UnKnown

Без VPN

C:\Users\allka>
C:\Users\allka>nslookup ya.ru
╤хЁтхЁ:  one.one.one.one
Address:  1.1.1.1

Не заслуживающий доверия ответ:
╚ь :     ya.ru
Addresses:  2a02:6b8::2:242
          87.250.250.242
yatakoi
() автор топика

меняйте маршруты руками или скриптом в автоматическом режиме. и тут тема не про виндоус. в линухе это поправить на порядок проще кстати.

ChAnton ★★
()
Ответ на: комментарий от ChAnton

Психанул, снёс к черту firewalld. Установил iptables и добавил правила:

iptables -t nat -I POSTROUTING 1 -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -I INPUT 1 -i tun0 -j ACCEPT
iptables -I FORWARD 1 -i eth0 -o tun0 -j ACCEPT
iptables -I FORWARD 1 -i tun0 -o eth0 -j ACCEPT
iptables -I INPUT 1 -i eth0 -p udp --dport 1194 -j ACCEPT

Работает )

yatakoi
() автор топика
Ответ на: комментарий от yatakoi

redirect-gateway так же как и dns пушит ваш сервер. Что можно увидеть в логах клиента.

PUSH_REPLY,dhcp-option DNS 213.133.98.98,dhcp-option DNS 213.133.99.99,dhcp-option DNS 213.133.100.100,redirect-gateway def1 bypass-dhcp,route-gateway 10.8.0.1,topology subnet,ping 10,ping-restart 120,ifconfig 10.8.0.2 255.255.255.0,peer-id 0,cipher AES-128-GCM'

Если оно не надо уберите на сервере.

Если нужно только для одного клиента в его конфиге, то про route вам уже написали. Для игнора DNS pull-filter ignore "dhcp-option DNS"

anc ★★★★★
()
Ответ на: комментарий от yatakoi

А чего его просить, если вы не написали, что и то и то ваше.

Вывод исходя из того, что если сервер ваш, то вы бы сами поправили настройки на сервере, а не пытались разрулить на клиенте.

Сам по себе ваш вопрос про решение на стороне клиента указывает на то, что у вас нет доступа к серверу и вы можете решать проблему только на клиентской стороне.

И психовать не надо, а нужно голову использовать.

infomeh ★★
()
Ответ на: комментарий от infomeh

Зря вы так. Не так часто ТС выкладывает культурно свои выхлопы. А вот то что первый анон написал полную фигню, могло смутить не подготовленного пользователя. Да и дальше не самые лучшие рекомендации были.

anc ★★★★★
()

Мне интернет через сервер к которому подключаюсь, не нужен. Мне нужен интернет через мой шлюз 192.168.0.1.

Так ты же подключаешся по openVPN к своему серверу для того чтоб получить доступ к чему то, к какой то сетке своей? Тогда не молчи, а в конфиге клиента и пропиши какой маршрут то хочешь поиметь.

route 172.16.1.0 255.255.255.0

Вот у меня с клиента WIN10 строчка такая. А ты молчишь потому тебе и прописывается маршрут по умолчанию ( я так думаю). Почему с бОльшей метрикой десятка тебя все же заворачивает не туда, загадка.

Как я понял, клиент добавляет маршруты сервера, поэтому интернета нет.

Ну сервер клиенту свои маршруты не покажет. Если ты хочешь чтоб был у тебя инет, маршрутизацию на сервере надо включить и фаервол покрутить.

alex_sim ★★★★
()
Ответ на: комментарий от alex_sim

Почему с бОльшей метрикой десятка тебя все же заворачивает не туда, загадка

Ещё один ыксперт где-то намек на метрику увидел...

anc ★★★★★
()
Ответ на: комментарий от alex_sim

Столбец метрика не?

Не. И предлагаю угадать почему так вам самому, ещё раз пересмотрев таблицу. Если не угадаете пишите, так и быть подскажу. Только напишите где вы в метриках разницу увидели?

anc ★★★★★
()
Последнее исправление: anc (всего исправлений: 2)
Ответ на: комментарий от alex_sim

Ну вот, вы сами догадались :) Опция def1 делит весь v4 на две подсети. Что собственно написано в мане ovpn и вы так же реально можете увидеть в выхлопе роута, там две строчки.

anc ★★★★★
()
Ответ на: комментарий от alex_sim

И таки метрика от обратного. Приоритет от меньшего. Если есть 10 и 20 то приоритет 10. Но этим заморачиваться не стоит в 2019.

anc ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Низкая скорость по WiFi на OpenWrt
Admin
Gentoo: достаточно ли обновляться раз в месяц? →