Forum Debian Users Gang

przemub · 2012-12-16 17:34:09

Witam :).

Wynajmuję VPSa z zainstalowanym Debianem Squeeze. Chciałbym go zastosować jako bramkę do mojego komputera domowego, który z zewnątrz ma zablokowane wszystkie porty (Orange...).

W tym celu zainstalowałem na serwerze OpenVPN i skonfigurowałem go wspomagając się tym poradnikiem - http://centos.net.pl/2012/10/26/centos-6-openvpn-2- … dows-7linux/. Następnie połączyłem się z mojego komputera (Debian Wheezy) przez NetworkManagera.

I tu zaczynają się schody - Internet działa świetnie, lecz wszystkie pakiety giną podczas prób spingowania z serwera adresu 10.8.0.6, który OpenVPN przydziela klientowi. Tu moje pytanie - co pozmieniać, by całość działała?

Konfiguracja serwera (/etc/openvpn/server.conf):

Kod:

port 1194
proto udp
dev tun
ca keys/ca.crt
cert keys/klucz_serwer.crt
key keys/klucz_serwer.key
dh keys/dh1024.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3

Połączenia VPSa:

Kod:

root@vpsbuta:~# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:16:3e:e4:63:d5  
          inet addr:188.116.54.147  Bcast:188.116.54.255  Mask:255.255.255.0
          inet6 addr: 2a02:ee0:2:aaaa::a1b9:14d9/64 Scope:Global
          inet6 addr: fe80::216:3eff:fee4:63d5/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:533579 errors:0 dropped:0 overruns:0 frame:0
          TX packets:20664 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:116899555 (111.4 MiB)  TX bytes:4141903 (3.9 MiB)
          Interrupt:7 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:28 errors:0 dropped:0 overruns:0 frame:0
          TX packets:28 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:4466 (4.3 KiB)  TX bytes:4466 (4.3 KiB)

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  
          inet addr:10.8.0.1  P-t-P:10.8.0.2  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:2547 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2675 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:285343 (278.6 KiB)  TX bytes:2026213 (1.9 MiB)

Połączenia klienta:

Kod:

przemub@komp-przemka-deb:~$ sudo ifconfig 
eth0     Link encap:Ethernet  HWaddr 00:1d:7d:74:f5:4b  
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
          Interrupt:42 Base address:0x4000 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:178 errors:0 dropped:0 overruns:0 frame:0
          TX packets:178 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:14057 (13.7 KiB)  TX bytes:14057 (13.7 KiB)

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  
          inet addr:10.8.0.6  P-t-P:10.8.0.5  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:2664 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2648 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:2025351 (1.9 MiB)  TX bytes:316661 (309.2 KiB)

wlan0     Link encap:Ethernet  HWaddr 00:0e:8e:10:5d:a9  
          inet addr:192.168.1.163  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::20e:8eff:fe10:5da9/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:5648 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6459 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:3549420 (3.3 MiB)  TX bytes:1163085 (1.1 MiB)

Z góry dzięki za pomoc :).

Jacekalex · 2012-12-16 18:54:08

Ja bym włączył interfejsy tap zamiast tun.
tap - to wirtualna karta sieciowa, wtedy masz tunel 2-kierunkowy, który działa jak normalne połączenie sieciowe, realizowane przez vpn.

Podobny tunel możesz zestawić używając ssh:
http://dug.net.pl/tekst/148/tunel_vpn__przez_ssh/

Pozdrawiam
;-)

paoolo · 2012-12-16 19:03:09

tun, tun... a teraz uwaga: na VPS'ie masz zmodyfikowane jajco (takie od dostawcy VPS'a :) User-story: mam w użyciu tunel między kompem a własnym (faktycznym, namacalnym serwerem, na którym wiem co jest i mogę serwer dotknąć) i

Kod:

paoolo@lenovo:~$ ping 192.168.2.1
PING 192.168.2.1 (192.168.2.1) 56(84) bytes of data.
64 bytes from 192.168.2.1: icmp_req=1 ttl=64 time=228 ms
64 bytes from 192.168.2.1: icmp_req=2 ttl=64 time=251 ms
^C
--- 192.168.2.1 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1000ms
rtt min/avg/max/mdev = 228.466/240.147/251.828/11.681 ms

paoolo@lenovo:~$ ssh root@192.168.2.1
root@192.168.2.1's password: 
Linux ibm 3.2.0-4-686-pae #1 SMP Debian 3.2.32-1 i686

Last login: Sun Dec 16 10:27:14 2012 from 192.168.2.6
root@ibm:~# ping 192.168.2.6
PING 192.168.2.6 (192.168.2.6) 56(84) bytes of data.
64 bytes from 192.168.2.6: icmp_req=1 ttl=64 time=67.1 ms
64 bytes from 192.168.2.6: icmp_req=2 ttl=64 time=65.9 ms
^C
--- 192.168.2.6 ping statistics ---
3 packets transmitted, 2 received, 33% packet loss, time 2001ms
rtt min/avg/max/mdev = 65.919/66.540/67.162/0.672 ms
root@ibm:~#

Wniosek: ciulo w obie strony. No teraz połączenie między tym serwerem a VPS'em (inny tunel, serwer na VPS'ie).

Kod:

root@ibm:~# ping 10.0.10.1
PING 10.0.10.1 (10.0.10.1) 56(84) bytes of data.
^C
--- 10.0.10.1 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 2015ms

root@ibm:~# ssh root@10.0.10.1
root@10.0.10.1's password: 
Linux VPS 2.6.32-028stab099.3 #1 SMP Wed Mar 7 15:20:22 MSK 2012 x86_64

Last login: Sun Dec 16 18:59:43 2012 from 10.0.10.5
root@VPS:~# ping 10.0.10.5
PING 10.0.10.5 (10.0.10.5) 56(84) bytes of data.
ping: sendmsg: Operation not permitted
ping: sendmsg: Operation not permitted
ping: sendmsg: Operation not permitted
ping: sendmsg: Operation not permitted

--- 10.0.10.5 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 3000ms

root@VPS:~#

No i gdzie leży pies? Jajco na VPS'ie jest bardzo specyficzne, ale nie chcę go ruszać, bo jest związane z platformą na której jest odpalony VPS.

P.s. przydałoby się kolorowanie kodu...

Ostatnio edytowany przez paoolo (2012-12-16 19:04:34)

przemub · 2012-12-16 20:01:11

Jacekalex napisał(-a):
Podobny tunel możesz zestawić używając ssh:
http://dug.net.pl/tekst/148/tunel_vpn__przez_ssh/

Świetny pomysł. Szkoda, że wcześniej nie trafiłem, bo nie musiałbym się tak mordować ;).

paoolo napisał(-a):
tun, tun... a teraz uwaga: na VPS'ie masz zmodyfikowane jajco (takie od dostawcy VPS'a :)

Możliwe, ale przed chwilą apt-get dist-upgrade zasysało mi z oficjalnego repozytorium paczkę linux-image-2.6.32-5-amd64. Więc już nie wiem ;).

paoolo · 2012-12-16 22:43:27

@przemub: a restart VM maszynki był? samo się nie uruchomi ;) zresztą, sprawdź nim to zrobisz, czy nie masz vps-specific kernela. Na obecnie używanym VPS'ie pewnym modułów sieciowych nie ma (bo VPS nie ma służyć jako tranzyt :P co jest bardzo zrozumiałe). Ale.. tunele działają ;) w ogóle OpenVPN ma coś bardzo fajnego i nie miałem czasu z czego to wynika, ale.. gdy padły mi trasy routingu na maszynie, gdzie miałem klienta, nadal mogłem używać tunelu, pomimo braku domyślnej bramy :) magic.

przemub · 2012-12-17 18:53:04

@paoolo: Eee... Gdzieś po drodze musiał być :P. Mam wirtualizację Xen, więc kernel jest "mój". BTW, usługodawca oferuje nawet gotową konfigurację OpenVPN (odpłatnie, oczywiście) więc popyt musi być ;).

Zresztą, wystarczyła zmiana urządzenia po obu stronach na tap i wszystko śmiga jak należy. Dzięki.

Forum Debian Users Gang

Ogłoszenie

#1 2012-12-16 17:34:09

przemub - Nowy użytkownik

Dostęp do klienta z serwera OpenVPN

Kod:

Kod:

Kod:

#2 2012-12-16 18:54:08

Jacekalex - Podobno człowiek...;)

Re: Dostęp do klienta z serwera OpenVPN

#3 2012-12-16 19:03:09

paoolo - Oldtimer

Re: Dostęp do klienta z serwera OpenVPN

Kod:

Kod:

#4 2012-12-16 20:01:11

przemub - Nowy użytkownik

Re: Dostęp do klienta z serwera OpenVPN

Jacekalex napisał(-a):

paoolo napisał(-a):

#5 2012-12-16 22:43:27

paoolo - Oldtimer

Re: Dostęp do klienta z serwera OpenVPN

#6 2012-12-17 18:53:04

przemub - Nowy użytkownik

Re: Dostęp do klienta z serwera OpenVPN

Stopka forum