» OpenVPN

Дайте плз впн потестить на работоспособность, лаги, баги и т.д. В очень вежливой и знающей форме, буду отдавать вам отчеты о тестировании ежемесячно + любые консультации!

а чего там тестить ? работает уже второй год как без проблем.

Цитата:

keepalive n m : Helper option for setting timeouts in server mode. Send ping once every n seconds, restart if ping not received for m seconds.

не совсем понятно значение слова restart
имеется в виду что если 2 минуты нет ответа на пинг процесс убивает соединение?
у меня к серверу подключается несколько клиентов,
получается что сервер должен пинговать каждые 10 секунд каждого подключенного клиента и если нет ответа 2 минуты, то убивать туннель и ждать нового подключения? или как оно работает?

ссори - не до конца разобрался. у тебя эта опция прописана где надо.

не знаю что там должно пинговаться, но лучше сервер оставить в покое и настраивать клиента.

возможно подойдет ping-restart n

в openvpn --help глянь - там много опций, интуитивно понятные

Возникла необходимость настроить туннель WinClient -> OpenVPN_Server1 -> OpenVPN_Server2 -> Internet.

Просто OpenVPN поднимался неоднократно, подскажите куда смотреть.

Fafnir777
не совсем понял, в чём вопрос заключается? смотреть, как и раньше, в мануалы и в гугль, нового пока что человечество ничего не придумало

Цитата:

а чего там тестить ? работает уже второй год как без проблем.

дак ты бот, дай в кс поиграть йопт

в добавление к посту http://forum.ru-board.com/topic.cgi?forum=8&topic=11656&start=400#19

перезапуск службы на клиенте и на сервере ничего не дает, пока у клиента остается тот же IP адрес(PPPoE) с которого устанавливается соединение OpenVPN

вот логи при verb 6

Код: Sun Aug 09 12:21:13 2009 us=29008 Current Parameter Settings:
Sun Aug 09 12:21:13 2009 us=30097 config = 'client.ovpn'
Sun Aug 09 12:21:13 2009 us=30137 mode = 0
Sun Aug 09 12:21:13 2009 us=30167 show_ciphers = DISABLED
Sun Aug 09 12:21:13 2009 us=30195 show_digests = DISABLED
Sun Aug 09 12:21:13 2009 us=30223 show_engines = DISABLED
Sun Aug 09 12:21:13 2009 us=30251 genkey = DISABLED
Sun Aug 09 12:21:13 2009 us=30279 key_pass_file = '[UNDEF]'
Sun Aug 09 12:21:13 2009 us=30307 show_tls_ciphers = DISABLED
Sun Aug 09 12:21:13 2009 us=30334 proto = 0
Sun Aug 09 12:21:13 2009 us=30362 NOTE: --mute triggered...
Sun Aug 09 12:21:13 2009 us=30405 178 variation(s) on previous 10 message(s) suppressed by --mute
Sun Aug 09 12:21:13 2009 us=30500 OpenVPN 2.0.9 Win32-MinGW [SSL] [LZO] built on Oct 1 2006
Sun Aug 09 12:21:13 2009 us=30589 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Sun Aug 09 12:21:13 2009 us=32575 Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
Sun Aug 09 12:21:13 2009 us=32617 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Sun Aug 09 12:21:13 2009 us=32637 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Sun Aug 09 12:21:13 2009 us=32666 LZO compression initialized
Sun Aug 09 12:21:13 2009 us=32764 Control Channel MTU parms [ L:1542 D:166 EF:66 EB:0 ET:0 EL:0 ]
Sun Aug 09 12:21:13 2009 us=34933 Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Sun Aug 09 12:21:13 2009 us=35008 Local Options String: 'V4,dev-type tun,link-mtu 1542,tun-mtu 1500,proto UDPv4,comp-lzo,keydir 1,cipher DES-EDE3-CBC,auth SHA1,keysize 192,tls-auth,key-method 2,tls-client'
Sun Aug 09 12:21:13 2009 us=35027 Expected Remote Options String: 'V4,dev-type tun,link-mtu 1542,tun-mtu 1500,proto UDPv4,comp-lzo,keydir 0,cipher DES-EDE3-CBC,auth SHA1,keysize 192,tls-auth,key-method 2,tls-server'
Sun Aug 09 12:21:13 2009 us=35062 Local Options hash (VER=V4): '53f7fc82'
Sun Aug 09 12:21:13 2009 us=35086 Expected Remote Options hash (VER=V4): 'b5edb94e'
Sun Aug 09 12:21:13 2009 us=35130 Socket Buffers: R=[8192->8192] S=[8192->8192]
Sun Aug 09 12:21:13 2009 us=35151 UDPv4 link local (bound): [undef]:1195
Sun Aug 09 12:21:13 2009 us=35172 UDPv4 link remote: 186.153.246.232:1195
Sun Aug 09 12:21:13 2009 us=35577 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #1 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:15 2009 us=549516 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #2 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:18 2009 us=76791 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #3 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:20 2009 us=603879 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #4 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:23 2009 us=131216 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #5 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:25 2009 us=533549 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #6 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:27 2009 us=936156 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #7 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:30 2009 us=338341 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #8 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:32 2009 us=740780 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #9 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:33 2009 us=942040 UDPv4 WRITE [42] to 186.153.246.232:1195: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #10 ] [ ] pid=0 DATA len=0
Sun Aug 09 12:21:36 2009 us=125890 NOTE: --mute triggered...

У кого есть опыт компиляции OpenVPN под Windows ?
Исходники openvpn-2.1_rc19 с оф.сайта.
Неполучается скомпилировать. Нужно с опцией ENABLE_PASSWORD_SAVE.
Добавил в config-win32.h строку #define ENABLE_PASSWORD_SAVE.
Поставил MinGW.
что еще нужно для компиляции ?
Может у кого то есть уже готовый пакет с этой опцией или кто-нибудь может скомпилить если есть опыт в этом ?

Доброго времени дня!

Есть такая проблема. Судя по всему, у меня не ходят через туннель широковещательные пакеты (не работает обзор компов). OpenVPN оформлен не мостом (по ряду причин мост не устраивает). Служба обозревателя запущена только на сервере и принудительно отключена на всех клиентах. Я явно не первый, кто с этим сталкивался.
Привожу конфиг (Windows Server 2003):

# тип интерфейса
dev tun
# Указываем серверу, что работать будем по протоколу TCP
proto tcp-server

# Порт 1194
port 1194

# признак серверной конфигурации
tls-server

#укажем ip сервера в vpn сети (иными словами – виртуальное адресное пространство между клиентом и сервером)
server 10.8.0.0 255.255.255.0

# Включаем сжатие
comp-lzo

# Метод добавления маршрута (актуально только для Windows)
route-method exe
# маршрут для сервера, чтобы видеть сети 192.168.1.x и 192.168.0.x
# однако, чтобы клиенты из этой подсети видели сеть за сервером, необходимо прописать
# разрешающее правило для самого клиента в директории ccd
route 192.168.0.0 255.255.255.0 10.8.0.2
route 192.168.1.0 255.255.255.0 10.8.0.2

# маршрут, который добавляется в таблицу КАЖДОГО клиента, чтобы видеть сеть за сервером
# если здесь он закомментирован, то используются персональные файлы клиентов
push "route 192.168.2.0 255.255.255.0"

# Правило, разрешающее работу клиентов из сети 192.168.2.0/24 с сетью за vpn-сервером.
# iroute 192.168.2.0 255.255.255.0

# Разрешает vpn-клиентам видеть друг друга
client-to-client

# Каталог с конфигурациями пользователей
# Должен быть задан предварительно
client-config-dir ccd
# Файл с описанием vpn-сетей между клиентом и сервером
# Если при старте сервера он не существует, то создается автоматически
# ifconfig-pool-persist ipp.txt

# Указываем пути для сертификатов сервера
# Сертификат для шифровки установки соединения
dh dh1024.pem
# Сертификат центра сертификации
ca ca.crt
# Сертификат сервера
cert XXX.crt
# Ключ сервера
key XXX.key

# Использование интерфейса и ключа при рестарте сервера
persist-tun
persist-key

# Защита от DOS атак (для сервера, после пути к ключу, ставим 0)
tls-auth ta.key 0

tun-mtu 1500
tun-mtu-extra 32
mssfix 1450

# Время жизни неактивной сессии
keepalive 10 120

# Пути к логам
# Лог состояния (перезаписывается ежеминутно)
# status openvpn-status.log
# Системный лог
# log openvpn.log

# Количество отладочной информации (от 0 до 9) в логах
verb 3

Все остальное - без проблем.
Подскажите, где копать, ибо 2.09 на Win XP при почти таком же конфиге все работало.

alexeySTP
копайте в сторону dev tap

phaoost
Спасибо, это очевидное решение и оно работает.
А вот с dev tun совсем ничего не выйдет???
Еще раз благодарю!

alexeySTP
afaik, нет

Добавлено:
alexeySTP
может wins какой, но я не копал да и по-моему опенвпн на венде в подсети /30 работает при dev tun, а не в /24. хотя попробуйте 2.1 рц, может там что исправили. но опять же - я не делал за ненадобностью

Добавлено:
alexeySTP
почитайте свежий ман по topology subnet

2alexeySTP
вижу что автор понял куда копать надо, но выпитое пиво заставляет вставить свои 5 копеек.

как Вы правильно догадались бродкаст пакеты у вас не ходят, но они и не будут никогда ходить если туннели к серверу 3-го уровня.

Цитата:

OpenVPN оформлен не мостом (по ряду причин мост не устраивает).

если вы хотите иметь netbios поверх OpenVPN, то это только мост (tap, туннель 2-го уровня)

P.S. я бы не использовал транспорт tcp для OpenVPN без очень веских причин.

abask
а может таки при topology subnet и client-to-client будут ходить удп бродкасты? они же там не арп, а удп, по порту 138 вроде как. я конечно не настаиваю, но я бы попробовал при надобности

Добавлено:
и кстати для тапа бридж не обязателен. если мы конечно имеем ввиду бродкасты внутри туннеля.

phaoost
а какая разница по какому порту? бродкасты - это пакеты которые идут на адреса
192.168.0.255 для одной сети
192.168.1.255 для второй сети

на сервер у которого IP 10.8.0.2 этот пакет не пойдет, т.к. клиентская машина, согласно своей таблице маршрутизации, будет отправлять его не в туннельный интерфейс, а в локальный.

но даже если извернуться и всунуть бродкаст локальной сети в туннель другой сети (представляю это извращение), то этот пакет не будет перенаправлен в другую клиентскую сеть, согласно таблице маршрутизации сервера

а если его туда перенаправить (прости меня Товальдс), то он не будет принят ни одним хостом второй сети.

вывод: если хотите иметь бродкасты - делайте единое адресное пространство.

abask
конечно, я говоріл про бродкасты внутрі туннеля а не снаружи. снаружи - только тап и бридж

OpenVPN 2.1 RC19
Аутентификация по имени/паролю. Сервер на FreeBSD, клиенты Linux и Windows. Linux-клиенты нормально читают имя/пароль из файла и соединяются. Windows-клиент говорит о том что имя/пароль нельзя брать и файла.

У кого-нибудь это работает? Или Windows-версия собрана без этой опции?

Из документации:
Note: OpenVPN will only read passwords from a file if it has been built with the --enable-password-save configure option, or on Windows by defining ENABLE_PASSWORD_SAVE in config-win32.h

rakis
всё так и есть, вин версия собирается без этой опции. причём парой сообщений выше спрашивали, как собрать овпн под виндой

rain87
Спасибо. Мой косяк, проспал пост в процессе перечитывания темы
Версия, которую они предлагают старовата. Буду пробовать собрать сам.

что то запутался в ключах и сертификатах
кому куда надо и какой
и батниками что то не генерируются сертификаты....
версия опенвпн 2.1рк19
Ось ХП сервис пак 3

GawkV
ман

Добавлено:
там для линукса пример, но под винду такие ж точно батники лежат, вроде бы

батники эти не срабатывают(((

И еще один вопросик.
С клиента все ресурсы сети сервера не только пингуются, но и нормально работают (к примеру, веб-интерфейс роутера в сети сервера).
А вот если начать пробовать достучаться до роутера в сети клиента, то получается такая ерунда - пинги проходят без проблем, однако попытка достучаться до веб-интерфейса роутера в сети клиента заканчивается неудачей. Как так может быть??? Ведь если пинги ходят, то аналогично должны идти запросы по http! Или я не прав?
Возможный сценарий - роутер в сети клиента опознает, что запрос отправлен из другой подсети и не дает веб-интерфейсу откликаться. Тогда почему от клиента проходит запрос на открытие веб-интерфейса в сети сервера???
Запутался. Помогите понять проблему.

alexeySTP
мб mssfix?

Добавлено:
Therefore, one could lower the maximum UDP packet size to 1300 (a good first try for solving MTU-related connection problems) with the following options:

--tun-mtu 1500 --fragment 1300 --mssfix

Не похоже.
У меня tap. Насколько я понял из мануала, это актуально для dev tun и tcp, а не udp.
Однако, попробовать надо.

alexeySTP
насколько вы могли понять из мануала, директивы fragment и mssfix актуальны при proto udp

Описался маленько, читать надо наоборот.

Имеется сервер на Debian 5, на котором благополучно установлен OpenVPN для доступа из одной сети в другую. Возникла необходимость прописать на машинах клиентов роуты. Когда, в конфиге сервера, число команд push переваливает за 250 (ну столько надо маршрутов), то вываливается сообщение <<Options error: Maximum length of --push buffer (2048) has been exceeded>>
Как обойти данную ошибку связанную с размером буффера?