Ubuntu herinstallatie, openvpn werkt niet meer

[Gijs007]

Ik heb zojuist ubuntu server 15.04 geïnstalleerd op mijn Hyper-v virtuele machine.
Ik heb hier op openvpn geïnstalleerd door middel van: sudo apt-get install bridge-utils openvpn libssl-dev openssl

Daarna heb ik de openvpn instellingen van mijn oude virtuele machine met ubuntu 14.10 gekopieerd en overgezet naar mijn nieuwe machine.

Verder heb ik het /etc/sysctl.conf bestand aangepast zodat net.ipv4.ip_forward = 1 geen comment meer is.

Na een reboot zou het nu moeten werken, ik kan de server bereiken via openvpn en ik krijg een IP.
Echter kan ik geen websites bezoeken en kan ik niet pingen.. maar ik heb geen idee waarom dit nu nog niet werkt..

Update: mogelijk chmod vergeten voor de batch bestanden

[ Voor 4% gewijzigd door Gijs007 op 23-04-2015 17:19 ]

[CAPSLOCK2000]

Werkt het nu wel?

[Gijs007]

Nope, heb mijn syslog doorlopen en kwam de volgende melding tegen: Apr 23 18:11:35 vpn-france systemd-udevd[340]: Could not generate persistent MAC address for tap0: No such file or directory

Heb toen tap0 auto aan mijn interfaces configuratie toegevoegd en een herstart gedaan.
Nu krijg ik de melding: unknown interface tap0

[Hero of Time]

Heb je ook al op die error gezocht (openvpn no tap interface)? Kan je een tap0 interface maken? Negeer even die 'unknown interface' error.

[Gijs007]

Ik kwam het volgende tegen: https://forums.opensuse.o...k-interface-%28TUN-TAP%29

Ik heb toen, deze commando's uitgevoerd:
modprobe tun (geen output)

tunctl -t tap0
Geeft als output: TUNSETIFF: Device or resource busy

[Gijs007]

Openvpn log: http://pastebin.com/cNEVvXQE
syslog: http://pastebin.com/Jbfw95G4

[Hero of Time]

Hier moet je iig nog even naar kijken. Niet fatal, maar wel een security ding:

code:

Fri Apr 24 01:07:07 2015 us=839134 WARNING: file 'server.key' is group or others accessible
Fri Apr 24 01:07:07 2015 us=839364 WARNING: file 'ta.key' is group or others accessible

Verders maakt hij netjes een tap0 aan:

code:

Fri Apr 24 01:07:07 2015 us=839742 TUN/TAP device tap0 opened
Fri Apr 24 01:07:07 2015 us=839811 /sbin/ip link set dev tap0 up mtu 1500
Fri Apr 24 01:07:07 2015 us=840713 /sbin/ip addr add dev tap0 10.149.50.1/24 broadcast 10.149.50.255

En dan is 't allemaal in orde. Paar minuten later stop je 'm weer:

code:

Fri Apr 24 01:07:07 2015 us=842185 Initialization Sequence Completed
Fri Apr 24 01:16:08 2015 us=693690 event_wait : Interrupted system call (code=4)
Fri Apr 24 01:16:08 2015 us=693876 TCP/UDP: Closing socket
Fri Apr 24 01:16:08 2015 us=693913 Closing TUN/TAP interface
Fri Apr 24 01:16:08 2015 us=693941 /sbin/ip addr del dev tap0 10.149.50.1/24
RTNETLINK answers: Operation not permitted
Fri Apr 24 01:16:08 2015 us=694655 Linux ip addr del failed: external program exited with error status: 2
Fri Apr 24 01:16:08 2015 us=705033 SIGTERM[hard,] received, process exiting

Nu vind ik die 'Operation not permitted' wel interessant, met de regel eronder. Waarom zou je die melding krijgen? Je voert 't allemaal met root rechten uit, anders mag je geen interface maken, routes toevoegen etc.

Gisteravond liet je OpenVPN nog geen 2 minuten draaien, minuutje later start je 'm weer en laat je 'm draaien. Maar het log zegt verders niets of er ergens iets mis is gegaan. Volgens het log is alles in orde.

Wat wel opvalt in de syslog is het volgende:

code:

Apr 23 22:53:04 vpn-france ntpdate[867]: step time server 91.189.94.4 offset -1.342616 sec
Apr 23 22:53:04 vpn-france systemd[1]: message repeated 6 times: [ Time has been changed]
...
Apr 23 22:56:49 vpn-france systemd[1]: message repeated 89 times: [ Time has been changed]

Dat gebeurt wel heel vaak en is niet goed. ntpdate hoort niet zo vaak de tijd te synchroniseren en elke keer een seconde tijd verschil zal vast ook niet helpen met het stabiel houden van de VPN verbinding.

[Gijs007]

Hero of Time schreef op zaterdag 25 april 2015 @ 10:21:
Hier moet je iig nog even naar kijken. Niet fatal, maar wel een security ding:

code:

Fri Apr 24 01:07:07 2015 us=839134 WARNING: file 'server.key' is group or others accessible
Fri Apr 24 01:07:07 2015 us=839364 WARNING: file 'ta.key' is group or others accessible

Verders maakt hij netjes een tap0 aan:

code:

Fri Apr 24 01:07:07 2015 us=839742 TUN/TAP device tap0 opened
Fri Apr 24 01:07:07 2015 us=839811 /sbin/ip link set dev tap0 up mtu 1500
Fri Apr 24 01:07:07 2015 us=840713 /sbin/ip addr add dev tap0 10.149.50.1/24 broadcast 10.149.50.255

En dan is 't allemaal in orde. Paar minuten later stop je 'm weer:

code:

Fri Apr 24 01:07:07 2015 us=842185 Initialization Sequence Completed
Fri Apr 24 01:16:08 2015 us=693690 event_wait : Interrupted system call (code=4)
Fri Apr 24 01:16:08 2015 us=693876 TCP/UDP: Closing socket
Fri Apr 24 01:16:08 2015 us=693913 Closing TUN/TAP interface
Fri Apr 24 01:16:08 2015 us=693941 /sbin/ip addr del dev tap0 10.149.50.1/24
RTNETLINK answers: Operation not permitted
Fri Apr 24 01:16:08 2015 us=694655 Linux ip addr del failed: external program exited with error status: 2
Fri Apr 24 01:16:08 2015 us=705033 SIGTERM[hard,] received, process exiting

Nu vind ik die 'Operation not permitted' wel interessant, met de regel eronder. Waarom zou je die melding krijgen? Je voert 't allemaal met root rechten uit, anders mag je geen interface maken, routes toevoegen etc.

Gisteravond liet je OpenVPN nog geen 2 minuten draaien, minuutje later start je 'm weer en laat je 'm draaien. Maar het log zegt verders niets of er ergens iets mis is gegaan. Volgens het log is alles in orde.

Wat wel opvalt in de syslog is het volgende:

code:

Apr 23 22:53:04 vpn-france ntpdate[867]: step time server 91.189.94.4 offset -1.342616 sec
Apr 23 22:53:04 vpn-france systemd[1]: message repeated 6 times: [ Time has been changed]
...
Apr 23 22:56:49 vpn-france systemd[1]: message repeated 89 times: [ Time has been changed]

Dat gebeurt wel heel vaak en is niet goed. ntpdate hoort niet zo vaak de tijd te synchroniseren en elke keer een seconde tijd verschil zal vast ook niet helpen met het stabiel houden van de VPN verbinding.

Het werkt inmiddels allemaal, op mijn oude host kreeg ik geen iptables rule terug, dus ik dacht dat ik die niet nodig had

Wat betreft dat ntupdate, mijn Ubuntu 15.04 server draait als virtuele server in Hyper-v. Mogelijk heeft dat er iets mee te maken?

[Hero of Time]

Ja, vooral als je de Hyper-V tools hebt geïnstalleerd. Best practise is dat als je een OS als VM draait, je geen NTP sync moet gebruiken omdat het niet accuraat de tijd kan bewaren voor je. Voornamelijk ook omdat 't niet mogelijk is om de 'hardware' klok in te stellen. De guest krijgt constant de tijd van de host via de tools en als je dan NTP gaat draaien in de VM, zal die altijd proberen te corrigeren als de Host niet 100% gelijk loopt. Dat laatste is een utopie en zal daarom nooit gebeuren. Daarom is 't ook nutteloos om NTP te gebruiken in een VM.

[Gijs007]

Hero of Time schreef op zaterdag 25 april 2015 @ 22:27:
Ja, vooral als je de Hyper-V tools hebt geïnstalleerd. Best practise is dat als je een OS als VM draait, je geen NTP sync moet gebruiken omdat het niet accuraat de tijd kan bewaren voor je. Voornamelijk ook omdat 't niet mogelijk is om de 'hardware' klok in te stellen. De guest krijgt constant de tijd van de host via de tools en als je dan NTP gaat draaien in de VM, zal die altijd proberen te corrigeren als de Host niet 100% gelijk loopt. Dat laatste is een utopie en zal daarom nooit gebeuren. Daarom is 't ook nutteloos om NTP te gebruiken in een VM.

Ahh okay, dus ik kan het beste NTP sync uitschakelen. Ik heb zelf geen Hyper-v tools geïnstalleerd, gaat dat automatisch bij de nieuwere ubuntu versies?

Overigens kan ik volgens sommige artikelen beter de Time Synchronisatie van Hyper-V uitschakelen:
http://blogs.msmvps.com/e...-virtualized-environment/

Welke source heb jij voor de best practise?

[ Voor 13% gewijzigd door Gijs007 op 26-04-2015 17:49 ]

[Hero of Time]

Niet echt direct een bron, meer iets wat MS aanraad voor hun OS als 't virtueel draait. Ik heb 't geëxtrapoleerd naar Linux. Je zou idd de host sync uit kunnen zetten. Nu twijfel ik of de best practise analyser van MS op 2008R2 het had over internet sync of host sync.

Hoe dan ook, 2 sync opties tegelijk aan hebben is niet verstandig. Beetje hetzelfde als meer dan 1 anti-virus pakket actief hebben, die gaan elkaars quarantaine scannen en vind dan telkens een virus als daar eentje in staat.