» OpenVPN on Windows server_Client Mikrotik RB951G-2HnD

[more] Здравствуйте, создал лабараторный стенд в своей локалке!
Нужна помощь в настройке Микротика в качестве клиента для подключения к OpenVPN-серверу под управлением Windows server.

ip-адреса на локальных интерфейсах:
192.168.10.55 - Windows server
192.168.10.54 - WAN Mikrotika

Вышеописанные интерфейсы пингуются.



конфиг сервера:
-------------------------------- -------------------------------- ----------
proto tcp-server

dev tun
port 8888

tls-server

# local x.x.x.x

server 10.10.152.0 255.255.255.0

# ping 15
# ping-restart 60

dh c:\\openvpn\\ssl\\dh1024.pem
ca c:\\openvpn\\ssl\\ca.crt
cert c:\\openvpn\\ssl\\MAIN.crt
key c:\\openvpn\\ssl\\MAIN.key
# tls-auth c:\\openvpn\\ssl\\secret.key 0 //пока выключил, с ним не подключается

persist-tun
persist-key

tun-mtu 1500
tun-mtu-extra 32
mssfix 1450

keepalive 10 120

client-to-client

push "route 192.168.131.0 255.255.255.0"
push "route 10.10.152.0 255.255.255.0"

status c:\\openvpn\\log\\openvpn-status.log
log c:\\openvpn\\log\\openvpn.log

cipher AES-256-CBC
auth SHA1

verb 3

# route 192.168.33.0 mask 255.255.255.0 10.3.0.2 secret static.txt auth MD5 cipher DES-CBC mssfix tun-mtu 1500 persist-key persist-tun float
-------------------------------- -------------------------------- ------------------

на микротик сгенерировал и скопировал сертификат client1.crt и client1.key, также скопировал HMAC ta-ключ - secret.key, в общем на железе присутствуют:

ca.crt
ca.key
client1.crt
client1.key
secret.key

Микротик по openvpn к серверу подключается, получает IP-адрес 10.10.152.6, у сервера IP-10.10.152.1, но удаленная сторона не пингуется(с микротика пакеты на 10.10.152.1 - не ходят и наоборот).

На железе создан OpenVPN-интерфейс.

Dial-Out:

connect to: 192.168.10.55
port: 8888
mode:IP
user: openvpn
profile: default
certificate: client1
auth: sha1
aes: 256

В IP->Addresses появился интерфейс: OpenVPN 10.10.152.6(Address) 10.10.152.5(Network)

Почему пакеты по впн с 10.10.152.6 на 10.10.152.1 и наоборот не ходят???
GURUS I NEED YOUR HELP!!!!! [/more]

vladkic

Здесь https://community.openvpn.net/openvpn/wiki/Topology ответ на твой вопрос.

По умолчанию на сервере, если не указано ничего, используется топология net30, поэтому с микротика должен пинговаться 10.10.152.5, а дальше смотреть маршруты с обеих сторон.

Добавлено:
И не факт, что микротик умеет в tun-варианте топологию subnet.

[more] Благодарю за подсказку. :)

добавил в конфиг сервера: topology subnet.
устройство теперь получило IP-адрес: 10.10.152.2
а сервер 10.10.152.1

также добавил:
route-gateway 10.10.152.1
push "route 10.10.152.0 255.255.255.0"
push "route 192.168.131.0 255.255.255.0" //локальная сеть за сервреом openvpn
push "dhcp-option dns 8.8.8.8"

пинги с сервера на микротик пошли и с микротика тоже,
но теперь как решить проблему с пингами которые не ходят от пк подключенного к микротику к интерфейсу LAN, по dhcp он получил у меня IP: 192.168.88.150/24, gate: 192.168.88.1

С этого пк пингуется 192.168.88.1; 10.10.152.2
а сам сервер с впн-вским ip 10.10.152.1 - нет

пробовал добавлять маршруты и на микротике и поднял на сервере rras c добавлением маршрутов 192.168.88.0/24 10.10.152.1 (пробовал 10.10.152.2) - эффекта не дало

на микротике сейчас присутсвуют вот такие маршруты:

0.0.0.0/0 91.x.x.x reachable ether1
10.10.152.0/24 10.10.152.1 reachable openvpn
10.10.152.1 openvpn reachable pref source 10.10.152.2
91.x.x.0/x ether1 reachable pref source 91.x.x.40
192.168.88.0/24 ether2 reachable pref source 192.168.88.1
192.168.131.0/24 10.10.152.1 reachable openvpn

как теперь настроить форвардинг с пк подключенного к микротику во внутреннюю локалку опен впн сервера (192.168.131.0) [/more]

vladkic

Цитата:

пробовал добавлять маршруты и на микротике и поднял на сервере rras c добавлением маршрутов 192.168.88.0/24 10.10.152.1 (пробовал 10.10.152.2) - эффекта не дало

Маршрут нужен, но не так надо,
в конфиг сервера строки

Код:
client-config-dir ccd
route 192.168.88.0 255.255.255.0

УРАААА!!!! Заработала!!!!!!

RDP, IP-телефония, внутренние локалки с обоих сторон пингуются, общие ресурсы сети )))

Единственное в целях повышения безопасности все-таки хотелось бы до конца задачку добить и включить опцию tls auth secret.key 1 (на микротике)

пока с этой опцией никак работать не хочет, ключик был сгенерен на windows-server, так же как и все другие ключи и сертификаты...

vladkic

Цитата:

и включить опцию tls auth secret.key 1 (на микротике)

Не умеет микротик этого

немного поторопился я обрадоваться:
1. микротик через 10-15 минут обрывает соединения минут на 20 и более...

2. возможно ли как то заменить возможность tls auth, например pks ключами чтоб хоть как-то включить дополнительную защиту?
3. по поводу ip-телефонии тоже странная немного ситуация на работе 2 канала от 1-го провайдера
ip-телефония работала, попробовал из дома по впн подключиться к тому же впн серверу, локальная сеть офиса появилась, а телефония не работает, возможно ли как то реализовать опен-впн через UDP на микротике, пробовал изменить параметр proto tcp-server на udp - результата не получил...

а еще заметил - микротик на ночь выключил - утром подключился сразу, а обычно приходится долго ждать пока снова соединение восстановится.

Цитата:

пен-впн через UDP на микротике

микротик не умеет udp сесиию подниать только tcp

еще один момент - дома интернет у меня за натом провайдера, в квартире роутер под серым IP-шником, а в офисе когда эксперементировал - напрямую. Может IP-телефония из-за этого не работать, хотя по идее через тунель вообще без разницы должно быть?

Цитата:

Может IP-телефония из-за этого не работать, хотя по идее через тунель вообще без разницы должно быть?

По идее да. Вот только SIP клиент видит два айпи адреса,
локальный и VPN.
И если ему определенно не указано, какой из них использовать в SIP запросах,
может использовать локальный, о котором сервер телефонии ни слухом ни духом.