OpenVPN routering probleem

[Verwijderd]

Beste forumgangers,

Ik struin nu al 2 weken forums af voor het juiste antwoord.

Ik heb openvpn aan de zaak en wil een verbinding opzetten vanaf thuis naar de zaak en alle samba share kunnen benaderen.

Thuis draait windows 2000/xp en aan de zaak Linux (Debian Etch)

Alles volgens de How-To van OpenVPN gedaan.
Ik kan de server pingen op zijn lokale IP en op het TUN ip.

Thuis heb ik 172.16.5.134 GW 172.16.5.1. Tun 10.8.0.10
Office heb ik VPN server 192.168.1.2 GW 192.168.1.1 TUN 10.8.0.1
en een Samba server 192.168.1.3 GW 192.168.1.1

Ik gebruik geen IPtables of iets dergelijks.

De Config files:

# Server site OpenVPN 2.0 config file:
local 192.168.1.2
proto udp
dev tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key # This file should be kept secret
dh /etc/openvpn/easy-rsa/keys/dh1024.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.1.0 255.255.255.0"
push "redirect-gateway"
push "dhcp-option DNS 10.8.0.1"
client-to-client
keepalive 10 120
cipher AES-128-CBC # AES
comp-lzo
max-clients 20
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log-append /var/log/openvpn/openvpn.log
verb 6
mute 20

#client-side OpenVPN 2.0 config file #
client
dev tun
proto udp
remote www.foo.bar 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ed for all clients.
ca "C:\\Program Files\\OpenVPN\\config\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\config\\client1.crt"
key "C:\\Program Files\\OpenVPN\\config\\client1.key"
here.
cipher AES-128-CBC
comp-lzo
verb 3
mute 20
route 192.168.1.0 255.255.255.0

IP forwarding op de server stat op 1

Nu staat er in de How-To het volgende bij:
Expanding the scope of the VPN to include additional machines on either the client or server subnet.
***
Next, you must set up a route on the server-side LAN gateway to route the VPN client subnet (10.8.0.0/24) to the OpenVPN server (this is only necessary if the OpenVPN server and the LAN gateway are different machines).
***

Ik ga er van uit dat ik een route add moet maken, maar wat ik ook probeer, ik kom niet voorbioj de VPN server.

Kan iemand mij helpen, of een leuke link naar een betere How-To?

Alvast bedankt.

Richard.

[blade181]

Allereerst geen route optie in je client config.

Daarnaast push een route in je server config waarin je 10.8.0.0 aan je route toevoegt, simpel door alleen het netnummer en je netmask toe te voegen. Dat geldt trouwens ook voor je overige routes.

Het virtuele netwerk 10.8.0.0 waarin server en client zich bevinden dient namelijk een route te hebben naar de andere netwerken (fysieke netwerken). Als je wil dat het netwerk waarin de client zich bevindt vanaf de server te benaderen is zorg er dan voor dat je de volgende optie inschakeld:

# EXAMPLE: Suppose the client
# having the certificate common name "Thelonious"
# also has a small subnet behind his connecting
# machine, such as 192.168.40.128/255.255.255.248.
# First, uncomment out these lines:
#client-config-dir ccd
#route 10.192.168.114 255.255.255.0
# Then create a file ccd/Thelonious with this line:
# iroute 192.168.40.128 255.255.255.248
# This will allow Thelonious' private subnet to
# access the VPN. This example will only work
# if you are routing, not bridging, i.e. you are
# using "dev tun" and "server" directives.

Dit stukje hierboven legt dat uit!

Als je meerdere virtuele subnetten wilt dan maak je een nieuwe config aan met een andere poort en een ander virtueel adres bijvoorbeeld 10.9.0.0

Als laatste, het lijkt allemaal moeilijk, maar als je weet hoe de basis in elkaar zit dan krijg je het zo voor elkaar. Ik heb nu de zooi al bijna een 3/4 jaar draaien en het is een heel krachtig hulpmiddel om beveiligd en heel gemakkelijk op andere netwerken te komen. Samba, terminal services mail noem het maar op het werkt allemaal prima.

[ Voor 103% gewijzigd door blade181 op 14-01-2008 12:47 ]

[Reinstein]

Als je Client OS Vista is werkt waarschijnlijk het aanmaken van routes niet vanuit de server. Je kun ze dan het beste zelf ff toevoegen onder Vista.

[Verwijderd]

Ik ga het uitproberen.
Alvast bedankt.

[Verwijderd]

Ik heb de aanpasing er in gezet, resultaat.:
Nog het zelfde, wel ping naar 192.168.1.2 en 10.8.0.1 (server), maar niet verder.

Het is wel de bedoeling dat mijn collega's ook op deze manier kan inloggen. Ik wil dus geen vaste ip's toekennen aan clients en zo. Meerdere clienten moeten hiermee kunnen werken, met eigen certificaten natuurlijk.

Server config is nu:
port 11194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key # This file should be kept secret
dh /etc/openvpn/easy-rsa/keys/dh1024.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.1.0 255.255.255.0"
push "route 10.8.0.0 255.255.255.0"
push "redirect-gateway"
push "dhcp-option DNS 10.8.0.1"
#push "dhcp-option WINS 10.8.0.1"
client-to-client
keepalive 10 120
;tls-auth ta.key 0 # This file is secret
cipher AES-128-CBC # AES
comp-lzo
max-clients 20
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log-append /var/log/openvpn/openvpn.log
verb 6
mute 20

Route tabel op de client bevat het volgende:
10.8.0.0 255.255.255.0 10.8.0.5 10.8.0.6 1
10.8.0.4 255.255.255.252 10.8.0.6 10.8.0.6 1
10.8.0.6 255.255.255.255 127.0.0.1 127.0.0.1 1
10.255.255.255 255.255.255.255 10.8.0.6 10.8.0.6 1
192.168.1.0 255.255.255.0 10.8.0.5 10.8.0.6 1
255.255.255.255 255.255.255.255 10.8.0.6 10.8.0.6 1
Default Gateway: 10.8.0.5

Ik kan 10.8.0.5 niet pingen, ik weet ook niet waar dit ip vandaan komt. Ik denk dat OpenVPN dat zelf genereerd?

Wie heef er sugestie's......

[ Voor 6% gewijzigd door Verwijderd op 15-01-2008 08:03 ]

[blade181]

Verwijderd schreef op dinsdag 15 januari 2008 @ 08:01:
Ik heb de aanpasing er in gezet, resultaat.:
Nog het zelfde, wel ping naar 192.168.1.2 en 10.8.0.1 (server), maar niet verder.

Het is wel de bedoeling dat mijn collega's ook op deze manier kan inloggen. Ik wil dus geen vaste ip's toekennen aan clients en zo. Meerdere clienten moeten hiermee kunnen werken, met eigen certificaten natuurlijk.

Server config is nu:
port 11194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key # This file should be kept secret
dh /etc/openvpn/easy-rsa/keys/dh1024.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.1.0 255.255.255.0"
push "route 10.8.0.0 255.255.255.0"
push "redirect-gateway"
push "dhcp-option DNS 10.8.0.1"
#push "dhcp-option WINS 10.8.0.1"
client-to-client
keepalive 10 120
;tls-auth ta.key 0 # This file is secret
cipher AES-128-CBC # AES
comp-lzo
max-clients 20
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log-append /var/log/openvpn/openvpn.log
verb 6
mute 20

Route tabel op de client bevat het volgende:
10.8.0.0 255.255.255.0 10.8.0.5 10.8.0.6 1
10.8.0.4 255.255.255.252 10.8.0.6 10.8.0.6 1
10.8.0.6 255.255.255.255 127.0.0.1 127.0.0.1 1
10.255.255.255 255.255.255.255 10.8.0.6 10.8.0.6 1
192.168.1.0 255.255.255.0 10.8.0.5 10.8.0.6 1
255.255.255.255 255.255.255.255 10.8.0.6 10.8.0.6 1
Default Gateway: 10.8.0.5

Ik kan 10.8.0.5 niet pingen, ik weet ook niet waar dit ip vandaan komt. Ik denk dat OpenVPN dat zelf genereerd?

Wie heef er sugestie's......

Als je nou is de redirect-gateway optie is uitzet en het dan nog is probeert!

[ Voor 10% gewijzigd door blade181 op 15-01-2008 08:10 ]

[Verwijderd]

Dan nog steeds niet.
Ik heb dan wel connectie naar het internet, ik kan google pingen, maar dat is dan natuulijk via mijn eigen verbinding.
Het is trouwens ook de bedoeling dat alle verkeer via de zaak loopt, om de beveiliging zo sterk mogelijk te houden. Dus die optie zouden we er in moeten houden denk ik.

Ik denk dat in een route add op de server moet maken om zo het verkeer door te routeren naar de andere servers, maar ik weet eigelijk niet welke ip's in moet ingeven en hoe het commando er precies uit moet zien.
Ik heb een aantal how-to's gelezen over proxy en zo, maar dan zit elke keer die iptabel er bij, en die heb ik niet.

[pinockio]

Ik heb dit op één locatie wel voor elkaar gekregen (weet helaas niet meer hoe) en elders niet. In mijn ervaring moet je ook op de router die op de locatie van de samba server staat ook een route toevoegen. In de Draytek router die daar staat kon dat.

[Verwijderd]

In de router op de server staat alle verkeer op poort 1194 naar de vpnserver.
Als ik in de client kijk stat de default gateway op 10.8.0.5. Dat zou inhouden dat alles naar dat IP gaat.
Maar als ik de server kan pingen, zowel op eth0 als op het tun ip dan ben ik aan de andere kant.
Het zou dan alleen een route moeten ingeven om door te gaan.

Zou er een terug route van de server naar de client moeten zijn? zeg maar een route add -net .... van het server netwerk naar het vpn netwerk? en zo ja, hoe moet die regel er in debian uit zien? welke IP's?

Iemand een idee?

[ Voor 16% gewijzigd door Verwijderd op 16-01-2008 08:07 ]

[Verwijderd]

Ik heb het gevonden:

Op de samba machine die ik wil betrekken heb ik een route gemaakt:
add route -net 10.8.0.0 netmast 255.255.255.0 gw 192.168.1.2
Nu kan ik wel de samba server pingen.
Er was een route terug nodig om de VPN tunnel te vinden.

Allen bedankt voor de moeite.
Dit item kan gesloten worden.