» OpenVPN

vlary
я и не прошу разжевывать) просто, в линухе как всегда.. по дефолту ничто не работает, в конфиге куча лишнего, а то что нужно не документируют. читал фак, дак у меня нет тех директорий что там пишут. брал отсюда http://swupdate.openvpn.org/community/releases/openvpn-install-2.3.2-I003-i686.exe
мне тока конфиги нужны максимально простые и прогу чтоб сертификаты замутить. вам то написать от силы минут 5-10, а мне неделю ковырять

Есть модем ,проброс порта сделан, теперь нужно опенвпн настроить на двух пк один сервер другой клиент. Рабочий конфиг нужен. и посмотреть как для сервера и клиента делается маршрут. (есть адрес инета, модема 192,168,0,1 и сервера с кл-ом 192,168,1,1 и 192,168,1,2) Вроде все понятно написал..................

Сервер бридж. Для того, чтобы клиент был полноценным участником удаленной сети нужно объединить в мост локальный интерфейс сервера и интерфейс опенвпн. Правда сервер на линуксе, но конфиги в онсновном похожи.

Код:
port 443
proto tcp
dev tap
ca keys/ca.crt
cert keys/server.crt
key keys/server.key # This file should be kept secret
dh keys/dh1024.pem
ifconfig 192.168.4.50 255.255.255.0
server-bridge 192.168.4.50 255.255.255.0 192.168.4.51 192.168.4.62
client-to-client
keepalive 10 120
tls-auth keys/ta.key 0
comp-lzo
persist-key
persist-tun
verb 3

Цитата:

В общем, пока, наверное, на tun'е посижу.

Все равно решил заморочиться и поставил tap

Цитата:

Сервер на семерке с мостом вроде нормально включился. На клиенте с ХР вообще локальная сеть перестала видеться после создания моста. Ну и прокси соответственно перестал тоже не виделся =(

Решение проблемы оказалась в том, что на клиентах мост ставить было не нужно. Лол, конечно, но вдруг еще найдутся криворукие вроде меня, которым это поможет.

В общем, осталась маленькая проблема (в общем-то меня не сильно беспокоит): клиенты нормально подключаются друг к другу (слава Сатане), а сервер при этом никак не пингуется и к нему не подключиться. Ну, и сам подключаться к клиентам не может. Парадокс прям. Это где-то настраивается?

сервер
dev tun
ifconfig 192.168.1.1 192.168.1.2
secret key.txt




клиент
remote 94//////
ifconfig 192.168.1.2 192.168.1.1
secret key.txt



Какие еще настройки должны быть? Не соединяется (горит желтым) (проброс порта сделан, брэдмауэр выкл.)?

Читал, читал, запутался оканчательно.. В конфигах где стоит mode server где просто client, а где вообще не указывается. Всякие persist nobind про которые везде по разному пишут. Кому не впадлу, опишите нормальные конфиги, а то это ппц.. Значит, локальная сеть 192.168.1.0 сеть под впн 192.168.0.0 подключаться будут с локалки с сети 10.0.0.0 и с внешки, нужен tun, авторизация только по статик ключу, все должны видеть друг друга, также нужно чтобы сидели через мой шлюз

При таком конфиге клиента пишет ошибку на xp
TCP: connect to ip адрес:1194 failed, will try again in 5 seconds: Connection refused (WSAECONNREFUSED)
Отчего может быть так, порт открыт?
Пробую Через роутер один(клиент и сервер. это влияет как то).
client
dev tap
proto tcp
remote openvpnserver.example.com 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert openvpn-client01.crt
key openvpn-client01.key
ns-cert-type server
tls-auth ta.key 1
comp-lzo
verb 3

ну там нет никого - а конфиги где ?

Здправствуйте, помогите пожалуйста с такой проблемой, соединил несколько сервером через openVPN, теперь на некоторых серверах появляется ошибка о том что в сети совпадающие имена netBIOS, некоторые сервера имеют одинаковое имя SERVER, как быть?

[more] На сервере горит зеленый значек, а клиент не работает
СЕРВЕР
dev tap
port 1194
tls-server
proto tcp
ca C:\\OpenVPN\\ssl\\ca.crt
cert C:\\OpenVPN\\ssl\\Server.crt
key C:\\OpenVPN\\ssl\\Server.key # This file should be kept secret
dh C:\\OpenVPN\\ssl\\dh1024.pem
server 192.168.10.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.10.0 255.255.255.0"
client-config-dir ccd
route 192.168.10.0 255.255.255.252
client-to-client
keepalive 10 120
tls-auth C:\\OpenVPN\\ssl\\ta.key 0
cipher AES-128-CBC # AES
comp-lzo
max-clients 10
persist-key
persist-tun
#status c:\\OpenVPN\\log\\openvpn-status.log
#log c:\\OpenVPN\\log\\openvpn.log
verb 3


КЛИЕНТ

dev tap
proto tcp
remote ip внешний 1194
route-delay 3
persist-key
persist-tun
client
tls-client
ns-cert-type server
ca C:\\OpenVPN\\ssl\\ca.crt
cert C:\\OpenVPN\\ssl\\client1.crt
key C:\\OpenVPN\\ssl\\client1.key # This file should be kept secret
tls-auth C:\\OpenVPN\\ssl\\ta.key 0
cipher AES-128-CBC
comp-lzo
tun-mtu 1500
tun-mtu-extra 32
mssfix 1450
ping-restart 60
ping 10
status C:\\OpenVPN\\log\\openvpn-status.log
log C:\\OpenVPN\\log\\openvpn.log
verb 3

выходит на клиенте ошибка
openvpn will try again in 5 seconds connection refused (wsaeconnrefused)
что неправельно тут ?
[/more]

в фаерволе закрыты порты судя по всему.

1. При авторизации только по стат ключу шифрование идет?
2. По стат ключу работает только в п2п или серве тоже?
3. L3 туннель броадкасты не поддерживает?

с каких это пор броадкаст это L3

рабочий конфиг бы . с примером. через роутер+ (маршруты как прописать)

mnbvcxz111
tls-server указывает на дополнительную авторизацию по ta ключу, на серве tls-auth ключ.ta 0 на клиенте 1. для моста dev tap параметр server не нужен, а нужен server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100 как то так. ну и естессно объединить интерфейсы в мост. определитесь что нужно и для каких целей, опишите как построена сеть, подскажу с конфигом и маршрутами

Цель удаленная общая папка для офиса.
Есть модем ,проброс порта сделан, теперь нужно опенвпн настроить на двух пк один сервер другой клиент. ((адрес сети - 192,168,0,6 маска 255,255,255,0 ( шлюз 192,168,0,1 и 192,168,0,1 днс к модему) ). Соединяю в мост на сервере и на клиенте пинга нету. видимо надо маршрут.

mnbvcxz111
пробуем
сервер
port 1122
proto udp
dev tun

ca ca.crt
cert server.crt
key server.key
dh dh1024.pem

server 192.168.2.0 255.255.255.0
client-to-client
duplicate-cn
keepalive 10 120
cipher AES-128-CBC
comp-lzo
persist-key
persist-tun

клиент
client
ca ca.crt
cert client.cert
key client.key
dev tun
proto udp
remote внешний_ип 1122
resolv-retry infinity
nobind
persist-key
persist-tun
cipher AES-128-CBC
comp-lzo
verb 3

если имя клиента при создании сертификатов другое отредакти. порт который прокинут тоже подставь. пинг должен идти

[more] Всем привет,только начал изучать OpenVPN. для первого раза взял два компа в локалке и 3g модем.сервер поднял,друг друга видят но интернет не раздается.подскажите что не так
Сервер:
port 7777
proto tcp
dev tun
ca "C:/OpenVPN/ssl/ca.crt"
cert "C:/OpenVPN/ssl/server.crt"
key "C:/OpenVPN/ssl/server.key"
dh "C:/OpenVPN/ssl/dh1024.pem"
tls-server
tls-auth "C:/OpenVPN/ssl/ta.key" 0
auth MD5
comp-lzo
route-method exe
route-delay 2
server 10.8.0.0 255.255.255.0
keepalive 10 120
;user nobody
;group nobody
persist-tun
verb 3

клиент:
client
dev tun
dev-node TAP #имя_сетевого_подключения openvpn (TAP-адаптер)
proto udp
remote 192.168.1.10 7777
resolv-retry infinite
nobind
persist-key
persist-tun
ca C:\\OpenVPN\\config\\ca.crt
cert C:\\OpenVPN\\config\\client.crt
key C:\\OpenVPN\\config\\client.key
ns-cert-type server
tls-client
tls-auth C:\\OpenVPN\\config\\ta.key 1
cipher BF-CBC
comp-lzo
verb 3
dh dh1024.pem [/more]

тоже новичек

melkiy999 В конфиге клиента не нужен dh - это только для сервера.
Не хватает опций
push "redirect-gateway def1"
push "dhcp-option DNS X.X.X.X"
push "dhcp-option DNS X.X.X.X"
в конфиге сервера и клиент просто не знает, куда его пакету надо идти.
proto у сервера и клиента отличаются, а должны быть одинаковые.
dev-node TAP - это зачем?

YikxX почему-то шлюз не раздает

melkiy999 Попробуйте так: конфиг сервера
local 192.168.1.10
port 7777
proto tcp
dev tun
cipher DES-EDE3-CBC
reneg-sec 300
dh "C:/OpenVPN/ssl/dh1024.pem"
ca "C:/OpenVPN/ssl/ca.crt"
cert "C:/OpenVPN/ssl/server.crt"
key "C:/OpenVPN/ssl/server.key"
tls-server
tls-auth "C:/OpenVPN/ssl/ta.key" 0
server 10.10.100.0 255.255.255.0
push "redirect-gateway def1"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
persist-key
persist-tun
comp-lzo
verb 3

Конфиг клиента:

client
script-security 2
dev tun
proto tcp-client
remote 192.168.1.10 7777
resolv-retry infinite
nobind
cipher DES-EDE3-CBC
tls-client
ns-cert-type server
tls-auth C:\\OpenVPN\\config\\ta.key 1
ca C:\\OpenVPN\\config\\ca.crt
cert C:\\OpenVPN\\config\\client.crt
key C:\\OpenVPN\\config\\client.key
persist-key
persist-tun
route-method exe
route-delay 3
ping 30
connect-retry 3
comp-lzo
verb 3
mute 20

И вообще, что пишет в логах у сервера и клиента? А то гадаем тут на кофейной гуще...

Добавлено:
И кстати еще. Если у вас ОС Vista или выше, то OpenVPN должен запускаться с админскими привилегиями: на серваке - через соответствующую службу, а у клиента - как обычно, через ярлык. А то будет проблема с add route
Видимо поэтому у вас клиент инет и не видит, хотя вроде все подключается.

[more] YikxX
сервер
Tue Oct 08 14:14:14 2013 Listening for incoming TCP connection on [undef]
Tue Oct 08 14:14:14 2013 TCPv4_SERVER link local (bound): [undef]
Tue Oct 08 14:14:14 2013 TCPv4_SERVER link remote: [undef]
Tue Oct 08 14:14:14 2013 MULTI: multi_init called, r=256 v=256
Tue Oct 08 14:14:14 2013 IFCONFIG POOL: base=10.8.0.4 size=62, ipv6=0
Tue Oct 08 14:14:14 2013 MULTI: TCP INIT maxclients=60 maxevents=64
Tue Oct 08 14:14:14 2013 Initialization Sequence Completed
Tue Oct 08 14:14:14 2013 MANAGEMENT: >STATE:1381227254,CONNECTED,SUCCESS,10.8.0.1,
Tue Oct 08 14:14:14 2013 TCP connection established with [AF_INET]192.168.1.100:53299
Tue Oct 08 14:14:14 2013 192.168.1.100:53299 TLS: Initial packet from [AF_INET]192.168.1.100:53299, sid=60de4a31 895f2216
Tue Oct 08 14:14:15 2013 192.168.1.100:53299 VERIFY OK: depth=1, C=RU, ST=PIter, L=PIter, O=CompPIter, emailAddress=decker@compPIter.ru
Tue Oct 08 14:14:15 2013 192.168.1.100:53299 VERIFY OK: depth=0, C=RU, ST=PIter, O=CompPIter, CN=client1, emailAddress=decker@compPIter.ru
Tue Oct 08 14:14:15 2013 192.168.1.100:53299 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Tue Oct 08 14:14:15 2013 192.168.1.100:53299 Data Channel Encrypt: Using 128 bit message hash 'MD5' for HMAC authentication
Tue Oct 08 14:14:15 2013 192.168.1.100:53299 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Tue Oct 08 14:14:15 2013 192.168.1.100:53299 Data Channel Decrypt: Using 128 bit message hash 'MD5' for HMAC authentication
Tue Oct 08 14:14:15 2013 192.168.1.100:53299 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Tue Oct 08 14:14:15 2013 192.168.1.100:53299 [client1] Peer Connection Initiated with [AF_INET]192.168.1.100:53299
Tue Oct 08 14:14:15 2013 client1/192.168.1.100:53299 MULTI_sva: pool returned IPv4=10.8.0.6, IPv6=(Not enabled)
Tue Oct 08 14:14:15 2013 client1/192.168.1.100:53299 MULTI: Learn: 10.8.0.6 -> client1/192.168.1.100:53299
Tue Oct 08 14:14:15 2013 client1/192.168.1.100:53299 MULTI: primary virtual IP for client1/192.168.1.100:53299: 10.8.0.6
Tue Oct 08 14:14:17 2013 client1/192.168.1.100:53299 PUSH: Received control message: 'PUSH_REQUEST'
Tue Oct 08 14:14:17 2013 client1/192.168.1.100:53299 send_push_reply(): safe_cap=940
Tue Oct 08 14:14:17 2013 client1/192.168.1.100:53299 SENT CONTROL [client1]: 'PUSH_REPLY,redirect-gateway def1,dhcp-option DNS 8.8.8.8,dhcp-option DNS 10.11.12.14,route 10.8.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.6 10.8.0.5' (status=1)


клиент
Tue Oct 08 14:11:12 2013 OpenVPN 2.2.2 Win32-MSVC++ [SSL] [LZO2] [PKCS11] built on Dec 15 2011
Tue Oct 08 14:11:12 2013 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Tue Oct 08 14:11:12 2013 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Tue Oct 08 14:11:12 2013 Control Channel Authentication: using 'C:/OpenVPN/ssl/ta.key' as a OpenVPN static key file
Tue Oct 08 14:11:12 2013 Outgoing Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Tue Oct 08 14:11:12 2013 Incoming Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Tue Oct 08 14:11:12 2013 LZO compression initialized
Tue Oct 08 14:11:12 2013 Control Channel MTU parms [ L:1540 D:164 EF:64 EB:0 ET:0 EL:0 ]
Tue Oct 08 14:11:12 2013 Socket Buffers: R=[8192->8192] S=[8192->8192]
Tue Oct 08 14:11:12 2013 Data Channel MTU parms [ L:1540 D:1450 EF:40 EB:135 ET:0 EL:0 AF:3/1 ]
Tue Oct 08 14:11:12 2013 Local Options hash (VER=V4): 'e6beeeed'
Tue Oct 08 14:11:12 2013 Expected Remote Options hash (VER=V4): '9183b24b'
Tue Oct 08 14:11:12 2013 Attempting to establish TCP connection with 192.168.1.10:7777
Tue Oct 08 14:11:12 2013 TCP connection established with 192.168.1.10:7777
Tue Oct 08 14:11:12 2013 TCPv4_CLIENT link local: [undef]
Tue Oct 08 14:11:12 2013 TCPv4_CLIENT link remote: 192.168.1.10:7777
Tue Oct 08 14:11:12 2013 TLS: Initial packet from 192.168.1.10:7777, sid=c935ca7e cee766bf
Tue Oct 08 14:11:13 2013 VERIFY OK: depth=1, /C=RU/ST=PIter/L=PIter/O=CompPIter/emailAddress=decker@compPIter.ru
Tue Oct 08 14:11:13 2013 VERIFY OK: depth=0, /C=RU/ST=PIter/O=CompPIter/CN=server/emailAddress=decker@compPIter.ru
Tue Oct 08 14:11:14 2013 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Tue Oct 08 14:11:14 2013 Data Channel Encrypt: Using 128 bit message hash 'MD5' for HMAC authentication
Tue Oct 08 14:11:14 2013 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Tue Oct 08 14:11:14 2013 Data Channel Decrypt: Using 128 bit message hash 'MD5' for HMAC authentication
Tue Oct 08 14:11:14 2013 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Tue Oct 08 14:11:14 2013 [server] Peer Connection Initiated with 192.168.1.10:7777
Tue Oct 08 14:11:16 2013 SENT CONTROL [server]: 'PUSH_REQUEST' (status=1)
Tue Oct 08 14:11:16 2013 PUSH: Received control message: 'PUSH_REPLY,redirect-gateway def1,dhcp-option DNS 8.8.8.8,dhcp-option DNS 10.11.12.14,route 10.8.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.6 10.8.0.5'
Tue Oct 08 14:11:16 2013 OPTIONS IMPORT: timers and/or timeouts modified
Tue Oct 08 14:11:16 2013 OPTIONS IMPORT: --ifconfig/up options modified
Tue Oct 08 14:11:16 2013 OPTIONS IMPORT: route options modified
Tue Oct 08 14:11:16 2013 OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modified
Tue Oct 08 14:11:16 2013 ROUTE: default_gateway=UNDEF
Tue Oct 08 14:11:16 2013 TAP-WIN32 device [Tap] opened: \\.\Global\{449EB9D3-E83C-4EC8-B39B-591B22A16714}.tap
Tue Oct 08 14:11:16 2013 TAP-Win32 Driver Version 9.9
Tue Oct 08 14:11:16 2013 TAP-Win32 MTU=1500
Tue Oct 08 14:11:16 2013 Notified TAP-Win32 driver to set a DHCP IP/netmask of 10.8.0.6/255.255.255.252 on interface {449EB9D3-E83C-4EC8-B39B-591B22A16714} [DHCP-serv: 10.8.0.5, lease-time: 31536000]
Tue Oct 08 14:11:16 2013 Successful ARP Flush on interface [18] {449EB9D3-E83C-4EC8-B39B-591B22A16714}
Tue Oct 08 14:11:21 2013 TEST ROUTES: 2/2 succeeded len=1 ret=1 a=0 u/d=up
Tue Oct 08 14:11:21 2013 NOTE: unable to redirect default gateway -- Cannot read current default gateway from system
Tue Oct 08 14:11:21 2013 C:\WINDOWS\system32\route.exe ADD 10.8.0.1 MASK 255.255.255.255 10.8.0.5
Tue Oct 08 14:11:21 2013 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=30 and dwForwardType=4
Tue Oct 08 14:11:21 2013 Route addition via IPAPI succeeded [adaptive]
Tue Oct 08 14:11:21 2013 Initialization Sequence Completed

[/more]

melkiy999 Попробуйте вместо push "redirect-gateway def1" поставить push "route-gateway 10.8.0.1"

Фаер на серваке есть, ничего не блочит?

YikxX пинг проходит сервера и клиента

Типа пинг на сервера в инете? Или пинг между клиентом и сервером? А tracert что кажет, а nslookup ?

Никогда не пользовался, но описание программы очень сильно заинтересовало.

Подскажите пожалуйста:

1. Возможна ли установка OpenVPN на Windows Server 2008 R2?
2. Нужны ли какие-то специальные настройки на маршрутизаторе?
3. Надежен ли OpenVPN с точки зрения безопасности?

melkiy999
не слушай всяких ламеров) будут еще полгода мурыжить сделай то сделай это в итоге интерес к программе пропадет, а зря. смотри разберем твой конфиг, а в конце объясню почему инета нет
port 7777
proto tcp вот тут будя лучше удп в твоем случае
dev tun
ca "C:/OpenVPN/ssl/ca.crt" #тут делай проще: сертификаты в папку config положи и убери путь оставь тока ca.crt
cert "C:/OpenVPN/ssl/server.crt" #также
key "C:/OpenVPN/ssl/server.key" #также
dh "C:/OpenVPN/ssl/dh1024.pem" #также
tls-server #не нужная опция. tls аунтификация идет так и так, по видимому в старой версии было иначе
tls-auth "C:/OpenVPN/ssl/ta.key" 0 #равно как и эта, ддосить с локалки тебя не будут )
auth MD5 #убрать
comp-lzo
route-method exe #никчему. есть мнение, что виста тупила
route-delay 2 #та же песня про висту
server 10.8.0.0 255.255.255.0
keepalive 10 120 #эта строка для udp соединения т.к. там нет понятия установлена связь или нет
;user nobody #линуксовые фичи
;group nobody
persist-tun
verb 3
а вот что пригодилось бы
topology subnet #грубо говоря сэкономим адресы
push "redirect-gateway" #указывает юзать шлюз сервера. без этого инет не пойдеть
push "dhcp-option DNS первичныйднс"
push "dhcp-option DNS вторичный"
без пушов днс и шлюза на винде не пойдет инет, особенность такая.
client-to-client #дабы клиенты видели друг друга
cipher AES-128-CBC #метод шифрования
persist-tun
mssfix #тестил, с этой опцией пинг на 2мс меньше )
клиент:
client
dev tun
dev-node TAP #убрать
proto udp #заметил фишку? в сервере tcp стоит
remote 192.168.1.10 7777
resolv-retry infinite
nobind
persist-key
persist-tun
ca C:\\OpenVPN\\config\\ca.crt
cert C:\\OpenVPN\\config\\client.crt
key C:\\OpenVPN\\config\\client.key
ns-cert-type server #убрать
tls-client #тоже
tls-auth C:\\OpenVPN\\config\\ta.key 1 #туда же
cipher AES-128-CBC
comp-lzo
verb 3
dh dh1024.pem
mssfix
сертификаты можно прям в конфиг вписать. а не работает еще потому, что винда не кидает пакеты между интерфейсом опенвпн и физическим. открой общий доступ инета с интерфейса где инет на впн
dimaxmaster
1. да
2. нет
3. да

Barlok88 Мальчик, хамить не надо. <вырезано цензурой> - ты даже и не слышал, что это такое, а уж как настраивается - и в помине не знаешь.
Молодец, что заметил разность протоколов в конфигах клиена и сервара - премию "Зоркий шоколадный глаз" тебе за это.

YikxX
видимо, "дядя" они у тебя также через "шоколадный глаз" настроены, раз путного совета дать не можешь