» OpenVPN

vlary
А можешь подсказать поподробнее, как убрать из логов Need IPv6 code in mroute_extract_addr_from_packet на windows?

TeoMaksol 1. Убрать IPv6 со всех сетевых адаптеров (включая tun/tap, на сервере и клиенте)
2. Просто забить и не обращать внимания.

JRay
попробуйте радиус плагин, там всё аккуратно в таблицу складывается. только вот не знаю есть ли плагин под вашу платформу

Цитата:

C:\>openssl
WARNING: can't open config file: c:\openssl/ssl/openssl.cnf
OpenSSL>

как исправить?
PS: файл vars.bat не причем.
OpenVPN 2.2.1
server 2003 R2

Привет всем! помогите разобраца.
клиент не видит сеть за сервером.
Задача усложняеца тем что шлюз в инет виндовый 2003 (ISА 2006 сервер), а опенвпн сервер (отдельная машина на альт линуксе).
итак...
локалка: 10.11.0.0/24
сеть опен впн сервера и его клиентов: 10.11.1.0/24
IP openvpn сервера: 10.11.0.21
IP ISA server: 10.11.0.9
порт прокинут через ису tcp-шный
всё нормально соединяется, клиент пингует сервер по виртуальному интерфейсу (tun0) и сервер пингует клиента по виртуальному тоже (сервер: 10.11.1.1, клиент: 10.11.1.6),НО локалку (10.11.0.0/24) клиент не видит: результат tracert: маршрут останавливается на виртуальном интерфейсе сервера,т.е. 10.11.1.1.
маршрут в кофиге сервера прописал чтоб он выдавал его клиенту: push "route 10.11.0.0 255.255.255.0",и соответственно маршрут у клиента прописывается этот,командой route print проверил.
может что в исе надо настроить? уже весь инет перекопал...
пробовал ещё на альт линуксе жесткий маршрут прописать на локалку с виртуального интерфейса,итог: всё заглухает,не пингуется ни клиент виртуальный,ни локальные адреса.
вот такое пробовал: route add -net 10.11.0.0 netmask 255.255.255.0 gw 10.11.1.2

gabbapunk
очень похоже что на овпн серваке надо натить овпн сеть в реальную
iptables -t nat -A POSTROUTING -s 10.11.1.0/24 -j SNAT --to-source 10.11.0.21
как то так. ну и, само собой, разрешить форвардинг пакетов между интерфейсами на овпн серваке - выполнить sysctl net.ipv4.ip_forward , должно написать net.ipv4.ip_forward = 1. если 0, то сделать sysctl -w net.ipv4.ip_forward=1, и либо делать это при каждой загрузке, либо поправить эту опцию в файле /etc/sysctl.conf

rain87
да,форвардинг пакетов разрешен между интерфейсами
Спасибо,попробую...
кстати пробовал отключать вообще iptables,тоже самый эффект
т.е. предполагаешь что дело всё таки не в исе?

gabbapunk
дело точно не в исе, раз коннект проходит
Цитата:

отключать вообще iptables

не совсем понимаю, что ты под этим подразумеваешь. iptables нельзя "включить" или "выключить". это просто утилита, которая добавляет правила в netfilter ядра. по умолчанию в нём нет никаких правил

rain87
аАААА!!!! ЕЕССС!!! СПАСИБО за хитрую команду! всё получилось!!!
был сначала на sysadmins.ru,написал тамошнему инструктору,он меня грубо послал к документации OpenVPN'a и своим "великим" инструкциям,а дело то было совсем не в этом =)
ещё раз спасибо огромное! знал бы тебя лично-наградил бы чем нить обязательно!

gabbapunk
рад что помогло =)

У меня вот такая проблема
openvpn permission denied
Конфиг сервака (хотя иногда подключается)
mode server
local 192.168.1.37
port 443
proto tcp
dev tun
#dev-node Work
ca ./server-tcp/ca.crt
cert ./server-tcp/server.crt
key ./server-tcp/server.key
dh dh1024.pem
server 10.7.0.0 255.255.255.0
ifconfig-pool-persist ./server-tcp/ipp.txt
client-config-dir ./server-tcp/ccd/
push "route 10.6.0.0 255.255.255.0"
client-to-client
keepalive 10 120
comp-lzo
persist-key
persist-tun
route-method exe
route-delay 10
verb 3

Причем в логе все нормально вроде

Tue Jul 26 14:19:11 2011 OpenVPN 2.2.1 Win32-MSVC++ [SSL] [LZO2] built on Jul 1 2011
Tue Jul 26 14:19:11 2011 NOTE: your local LAN uses the extremely common subnet address 192.168.0.x or 192.168.1.x. Be aware that this might create routing conflicts if you connect to the VPN server from public locations such as internet cafes that use the same subnet.
Tue Jul 26 14:19:11 2011 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Tue Jul 26 14:19:11 2011 Diffie-Hellman initialized with 1024 bit key
Tue Jul 26 14:19:11 2011 TLS-Auth MTU parms [ L:1544 D:140 EF:40 EB:0 ET:0 EL:0 ]
Tue Jul 26 14:19:11 2011 Socket Buffers: R=[8192->8192] S=[8192->8192]
Tue Jul 26 14:19:11 2011 ROUTE default_gateway=192.168.1.1
Tue Jul 26 14:19:11 2011 TAP-WIN32 device [Подключение по локальной сети 2] opened: \\.\Global\{C45BBAE1-6F9B-4B0C-BB70-1E338ECC1A31}.tap
Tue Jul 26 14:19:11 2011 TAP-Win32 Driver Version 9.8
Tue Jul 26 14:19:11 2011 TAP-Win32 MTU=1500
Tue Jul 26 14:19:11 2011 Notified TAP-Win32 driver to set a DHCP IP/netmask of 10.7.0.1/255.255.255.252 on interface {C45BBAE1-6F9B-4B0C-BB70-1E338ECC1A31} [DHCP-serv: 10.7.0.2, lease-time: 31536000]
Tue Jul 26 14:19:11 2011 Sleeping for 10 seconds...
Tue Jul 26 14:19:21 2011 Successful ARP Flush on interface [22] {C45BBAE1-6F9B-4B0C-BB70-1E338ECC1A31}
Tue Jul 26 14:19:21 2011 C:\WINDOWS\system32\route.exe ADD 10.7.0.0 MASK 255.255.255.0 10.7.0.2
ЋЉ
Tue Jul 26 14:19:21 2011 Data Channel MTU parms [ L:1544 D:1450 EF:44 EB:135 ET:0 EL:0 AF:3/1 ]
Tue Jul 26 14:19:21 2011 Listening for incoming TCP connection on 192.168.1.37:443
Tue Jul 26 14:19:21 2011 TCPv4_SERVER link local (bound): 192.168.1.37:443
Tue Jul 26 14:19:21 2011 TCPv4_SERVER link remote: [undef]
Tue Jul 26 14:19:21 2011 MULTI: multi_init called, r=256 v=256
Tue Jul 26 14:19:21 2011 IFCONFIG POOL: base=10.7.0.4 size=62
Tue Jul 26 14:19:21 2011 IFCONFIG POOL LIST
Tue Jul 26 14:19:21 2011 Work,10.7.0.4
Tue Jul 26 14:19:21 2011 MULTI: TCP INIT maxclients=60 maxevents=64
Tue Jul 26 14:19:21 2011 Initialization Sequence Completed

Если подключаться в ручную через правую кнопку мыши разумеется при остановленой службе то

читаем Сокет бин файлд он локал адресс 192.168.1.37:443 Пермиссион денайд (WSAEACCES)

443 привелигерованный порт. у обычного юзера нет права биндится на него, только у рута

Я админ там, к тому же иногда работает!Где мне тогда чего посмотреть нужно!

ForeverRED66
если виста или вин7 и включен UAC, то надо запускать от имени всевышнего администратора

Цитата:

Tue Jul 26 22:19:56 2011 OpenVPN 2.2.1 Win32-MSVC++ [SSL] [LZO2] built on Jul 1 2011
Tue Jul 26 22:20:10 2011 IMPORTANT: OpenVPN's default port number is now 1194, based on an official port number assignment by IANA. OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
Tue Jul 26 22:20:10 2011 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Tue Jul 26 22:20:10 2011 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Tue Jul 26 22:20:10 2011 Cannot load CA certificate file CA.pem path (null) (SSL_CTX_load_verify_locations) (OpenSSL)
Tue Jul 26 22:20:10 2011 Exiting

CA.pem лежит рядом в C:\Program Files (x86)\OpenVPN\config
Пробовал писать в конфиге полный путь (C:\\Program Files (x86)\\OpenVPN\\config\\CA.pem), та же самая ошибка.
В чем дело?
Конфиг:

Цитата:

client
dev tap
remote vpn.***.net
auth-user-pass
ca CA.pem

Цитата:

если виста или вин7 и включен UAC, то надо запускать от имени всевышнего администратора

А как это сделать через правую кнопку нет запустить от администратора.
Стоит Server 2008 R2

через шедулер

Цитата:

через шедулер

Это че такое! Планировщик)?
Или виндовс повер шелл.
А как там че,там тока службу могу стопарнуть и заново запустить

Уже второй час мучаюсь с OpenVPN - не могу создать сертификаты для пользователя. Вернее они создаются и файл client1.crt пустой - 0 байт.
При создании выдает такой лог

Код: C:\Program Files\OpenVPN\easy-rsa>build-key client1
WARNING: can't open config file: /usr/local/ssl/openssl.cnf
Loading 'screen' into random state - done
Generating a 1024 bit RSA private key
.......++++++
.++++++
writing new private key to 'keys\client1.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a D
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [**]:
State or Province Name (full name) [**]:
Locality Name (eg, city) [**********]:
Organization Name (eg, company) [***]:
Organizational Unit Name (eg, section) [*******]:
Common Name (eg, your name or your server's hostname) [*******]:
Name [*******]:
Email Address [*******@gmail.com ]:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:client
WARNING: can't open config file: /usr/local/ssl/openssl.cnf
Using configuration from openssl-1.0.0.cnf
Loading 'screen' into random state - done
Check that the request matches the signature
Signature ok
The Subject's Distinguished Name is as follows
countryName RINTABLE:'**'
stateOrProvinceName RINTABLE:'**'
localityName RINTABLE:'**********'
organizationName RINTABLE:'***'
organizationalUnitName:PRINTABLE:'*******'
commonName RINTABLE:'*******'
name RINTABLE:'*******'
emailAddress :IA5STRING:'*******@gmail.com'
Certificate is to be certified until Jul 24 11:22:33 2021 GMT (3650 days)
Sign the certificate? [y/n]:y
failed to update database
TXT_DB error number 2
Не удается найти C:\Program Files\OpenVPN\easy-rsa\keys\*.old

KireevSasha
попробуй создать файлы
index.txt.old - пустой
serial.old - с содержимым 00
в папке с ключами (C:\Program Files\OpenVPN\easy-rsa\keys\)

Добавлено:
да, надеюсь, перед созданием ключа пользователя ты создал ca и dh?

Предыдущая проблема решается просто - в файле index.txt.attr нужно исправить
unique_subject = yes
на
unique_subject = no

все создалось с полуоборота. (решение нашел тут)

Теперь проблема другого плана - при подключении пишет


Код: Wed Jul 27 14:50:53 2011 WARNING: Since you are using --dev tun with a point-to-point topology, the second argument to --ifconfig must be an IP address. You are using something (255.255.255.0) that looks more like a netmask. (silence this warning with --ifconfig-nowarn)
Wed Jul 27 14:50:53 2011 There is a problem in your selection of --ifconfig endpoints [local=192.168.1.50, remote=255.255.255.0]. The local and remote VPN endpoints must exist within the same 255.255.255.252 subnet. This is a limitation of --dev tun when used with the TAP-WIN32 driver. Try 'openvpn --show-valid-subnets' option for more info.

KireevSasha
server добавь в конфиг. или client. смотря где такое выдаёт

Добавлено:
ну, судя по local=192.168.1.50, remote=255.255.255.0 это таки сервер )

Добавлено:
rain87

Цитата:

server добавь в конфиг. или client. смотря где такое выдаёт

Добавлено:
ну, судя по local=192.168.1.50, remote=255.255.255.0 это таки сервер )

Почитал из C:\Program Files\OpenVPN\bin\openvpn --show-valid-subnets
Ограничил на сервере диапазон раздаваемых IP до 192.168.1.53-54 , в конфиге client1.ovpn поправил dev tun0 на dev tap и все пошло.
Теперь конфиг client1.ovpn выглядит так

Код: remote **.***.***.** 1194
client
dev tap
proto udp
resolv-retry infinite
nobind
persist-key
persist-tun
float
ca ca.crt
cert client1.crt
key client1.key
ns-cert-type server

rain87
ещё одна проблемка... может скажешь что это может быть =)
отозвал один из сертификатов...
по мануалам выисканным из инетов прописал строку:
crl-verify /etc/openvpn/keys/crl.pem
в конфиг сервера
сертификат отозвался,но теперь любой клиент коннектясь,выдаёт такую ошибку:
Fri Jul 29 09:04:53 2011 OpenVPN 2.2.1 Win32-MSVC++ [SSL] [LZO2] built on Jul 1 2011
Fri Jul 29 09:04:53 2011 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Fri Jul 29 09:04:53 2011 LZO compression initialized
Fri Jul 29 09:04:53 2011 Control Channel MTU parms [ L:1544 D:140 EF:40 EB:0 ET:0 EL:0 ]
Fri Jul 29 09:04:53 2011 Socket Buffers: R=[8192->8192] S=[8192->8192]
Fri Jul 29 09:04:53 2011 Data Channel MTU parms [ L:1544 D:1450 EF:44 EB:135 ET:0 EL:0 AF:3/1 ]
Fri Jul 29 09:04:53 2011 Local Options hash (VER=V4): '69109d17'
Fri Jul 29 09:04:53 2011 Expected Remote Options hash (VER=V4): 'c0103fa8'
Fri Jul 29 09:04:53 2011 Attempting to establish TCP connection with IP:Port
Fri Jul 29 09:04:53 2011 TCP connection established with IP:Port
Fri Jul 29 09:04:53 2011 TCPv4_CLIENT link local: [undef]
Fri Jul 29 09:04:53 2011 TCPv4_CLIENT link remote: IP:Port
Fri Jul 29 09:04:53 2011 TLS: Initial packet from IP:Port, sid=77973a95 66003985
Fri Jul 29 09:04:54 2011 VERIFY OK: depth=1, /C=RU/ST=MO/L=*/O=*/CN=altlinux.*.local/emailAddress=*@domain.ru
Fri Jul 29 09:04:54 2011 VERIFY OK: nsCertType=SERVER
Fri Jul 29 09:04:54 2011 VERIFY OK: depth=0, /C=RU/ST=MO/O=Amma/CN=altlinux.*.local/emailAddress=*@domain.ru
Fri Jul 29 09:04:54 2011 Connection reset, restarting [-1]
Fri Jul 29 09:04:54 2011 TCP/UDP: Closing socket
Fri Jul 29 09:04:54 2011 SIGUSR1[soft,connection-reset] received, process restarting
Fri Jul 29 09:04:54 2011 Restart pause, 5 second(s)
Fri Jul 29 09:04:59 2011 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Fri Jul 29 09:04:59 2011 Re-using SSL/TLS context
Fri Jul 29 09:04:59 2011 LZO compression initialized
Fri Jul 29 09:04:59 2011 Control Channel MTU parms [ L:1544 D:140 EF:40 EB:0 ET:0 EL:0 ]
Fri Jul 29 09:04:59 2011 Socket Buffers: R=[8192->8192] S=[8192->8192]
Fri Jul 29 09:04:59 2011 Data Channel MTU parms [ L:1544 D:1450 EF:44 EB:135 ET:0 EL:0 AF:3/1 ]
Fri Jul 29 09:04:59 2011 Local Options hash (VER=V4): '69109d17'
Fri Jul 29 09:04:59 2011 Expected Remote Options hash (VER=V4): 'c0103fa8'
Fri Jul 29 09:04:59 2011 Attempting to establish TCP connection with IP:Port
Fri Jul 29 09:05:00 2011 TCP: connect to IP:Port failed, will try again in 5 seconds: Connection refused (WSAECONNREFUSED)
Fri Jul 29 09:05:06 2011 TCP: connect to IP:Port failed, will try again in 5 seconds: Connection refused (WSAECONNREFUSED)
Fri Jul 29 09:05:17 2011 SIGTERM[hard,init_instance] received, process exiting

залезаю на сервак-смотрю,интерфейс tun0 отвалился,при рестарте сервиса всё опять восстанавливается,до первого коннекта клиента,далее ошибка тажа что и вверху

Не могу совладать с OpenVPN)) необходимо настроить виндовый опенвпн!
не получается даже простенькую конфигурацию завести:

сервер:
proto tcp-server
port 5600
dev tun
ifconfig 10.8.0.1 10.8.0.2
secret key.txt

клиент:
proto tcp-client
port 5600
remote xxx.xxx.xxx.xxx // ip server OpenVPN
dev tun
ifconfig 10.8.0.2 10.8.0.1
secret key.txt

помогите с настройкой! что я делаю не так?

DJs3000 Какая-то странная у тебя конфигурация...
Делай все так, как написано здесь: OpenVPN Windows HowTo
И все наверняка получится.

vlary хотя там всё на инглише но почему-то проделав все по этому гайду у меня действительно все получилось) чудеса)

DJs3000
Цитата:

проделав все по этому гайду у меня действительно все получилось) чудеса)

Пожалуй, добавлю я ссылку на эту статейку в шапку.

Еще вопросик! стояла 2003 где был настроен опенвпн я переустановил 2008. Могу ли я на 2008 подставить конфиг и сертификаты со старой конфигурации OpenVPN и как это сделать? а то не хотелось бы людям по новой сертификаты рассылать)

DJs3000
Цитата:

Могу ли я на 2008 подставить конфиг и сертификаты со старой конфигурации OpenVPN и как это сделать?

Почему нет? Установить там OpenVPN, создать TAP интерфейсы, скопировать со старого сервера ca.crt , server.crt , server.key, dh1024.pem и клиентские конфигурации.