» OpenVPN

Цитата:

Никак. Потому либо хранить ключ на отдельной флэшке, лучше что-то типа токена с паролем, либо защитить  паролем сам ключ.

Про защиту паролем ключа интересно. Можно поподробнее.
Спасибо.

Merlin2006
А что подробнее? Ключ в большинстве своём — это просто криптографическая последовательность хранимая в определенном формате. Собственно самый простой пример — пакет OpenVPN содержит в себе набор утилит называемых easy-rsa. Так вот скрипт ./build-key-pass как раз создаёт ключевую пару и защищает её паролем, который во время генерации запрашивает. Соответственно клиент каждый раз при подключении к серверу должен будет этот пароль вводить.
Нужно понимать, что клиент, если ему надоест вводить этот пароль может его снять с ключа и дальше пользоваться им как это происходит сейчас. Все манипуляции над ключом легко производятся при помощи openssl, например.

Alukardd
Цитата:

Нужно понимать, что клиент, если ему надоест вводить этот пароль может его снять с ключа и дальше пользоваться им как это происходит сейчас.

Так в общем-то давно известно, что юзер в 10 раз опаснее хакера
И то, что секурность обратно пропорциональна удобству.
Потому юзера необходимо ставить в условия, когда он будет колоться, плакать,
но продолжать есть кактус вводить пароль.
Merlin2006
Один из вариантов - хранение ключа на токене, как я уже писал.
Там все просто: хочешь обратиться к содержимому - введи пин-код.
Три раза ввел неправильно - до свидания, неси токен админу.
Вот только все "взрослые" вещи, как правило, небесплатны.
OpenVPN and the Aladdin eToken on Windows

Здравствуйте.Такая проблема.У меня модем от Ростелеком и у него нет белого айпи.На модеме следующие настройки:
айпи-192.168.1.4
маска-255.255.255.0
шлюз-192.168.1.1
днс-212.14.192.8
212.14.192.135
Но есть в городе сервер VPN через который я выхожу в местную городскую сеть.В настройка подключения VPN в параметре TCP\IPv4 у меня прописан постоянный IP адресс 10.5.50.239 и при подключении к VPN он таким же и остаётся.Сам адрес VPN сервера 10.5.50.237.Как я понял мой IP адресс который у меня имеется при подключении к VPN(10.5.50.239)является белым для городской сети в которую я выхожу через PPTP.Так вот как при помощи программы OpenVPN создать сервер что бы люди из сетей которые мне доступны через VPN PPTP могли подключиться к моему OpenVPN Серверу???Какой должен быть конфиг итд?Помогите пожалуйста.

mexaht
Цитата:

что бы люди из сетей которые мне доступны через VPN PPTP могли подключиться к моему OpenVPN Серверу?

Зачем? Что ты им сможешь предложить?
Богатую файлопомойку в сети 192.168.1.0/24?
Цитата:

Какой должен быть конфиг итд?

Полистай тему. Конфигов было море. Многие из них ты можешь себе просто скопипастить.
Изменив тамошний айпишник на свой.

[more] Здравствуйте, подмогите с проблемой:
Пингуется опенвпн сервер, но сеть за ним - нет. Скорее всего что то с маршрутизацией замудрил.
конфиг сервера:

dev tun
proto tcp-server
tls-server
port 7777
server 10.10.10.0 255.255.255.0
route 10.10.10.1 255.255.255.0
push "route 10.10.10.0 255.255.255.0"
push "route 192.168.1.0 255.255.255.0"
comp-lzo
persist-key
persist-tun
dh C:\\OpenVPN\\ssl\\dh1024.pem
ca C:\\OpenVPN\\ssl\\ca.crt
cert C:\\OpenVPN\\ssl\\Server.crt
key C:\\OpenVPN\\ssl\\Server.key
tls-auth C:\\OpenVPN\\ssl\\ta.key 0
tun-mtu 1500
tun-mtu-extra 32
mssfix 1450
keepalive 10 120
status C:\\OpenVPN\\log\\openvpn-status.log
log C:\\OpenVPN\\log\\openvpn.log
verb 3

конфиг клиента:
client
dev tun
proto tcp
remote 176.96.хх.хх 7777
pull
redirect-gateway def1
tls-client
ca ca.crt
cert client1.crt
key client1.key
tls-auth ta.key 1
comp-lzo
tun-mtu 1500
tun-mtu-extra 32
mssfix 1450
ping-restart 60
ping 10
verb 3

Забыл добавить - всё на винде.
[/more]

Clone606 Если твой OpenVPN сервер не является в той сети шлюзом по умолчанию,
то компы и не обязаны пинговаться.
Чтобы они пинговались, необходимо на них прописать маршрут к твоему клиенту
через OpenVPN сервер. Как-то так:
route add 10.10.10.0 mask 255.255.255.0 192.168.1.X
где 192.168.1.X - айпишник OpenVPN сервера в той сетке.
Либо используй dev tap вместо dev tun (подключение типа бридж).

Clone606
это лишнее

Цитата:

route 10.10.10.1 255.255.255.0
push "route 10.10.10.0 255.255.255.0"

а дальше, сервер OVPN в сети 192.168.1.0/24 имеет какой-то адрес, и если он не является шлюзом по умолчанию для машин этой сети, то на шлюзе должен быть статикой прописан маршрут на сеть 10.10.10.0/24 через ip (192.168.1.Х) OVPN сервера. Только тогда OVPN клиенты смогут получать ответы от машин сети 192.168.1.0/24.
Если OVPN сервер для сети 192.168.1.0/24 шлюз по умолчанию, все должно работать.

PlastUn77 и vlary
Спасибо за подсказку, теперь хоть знаю куда копать то)
Сервер ovpn не является шлюзом сети

upd. попробовал добавить строчку как советовал vlary, не помогло.
Копаю в сторону шлюза. но завтра.

Clone606
Цитата:

попробовал добавить строчку как советовал  vlary, не помогло.

Убедись, что на том компе, на котором стоит OpenVPN сервер, включен роутинг.
Убедись, что на компе, который ты пытаешься пинговать, выключен/правильно настроен фаервол,
что никакие кашпировский или симантек не блокируют входящие пакеты.

Добрый день.

Использую Openvpn сервер в личных целях, порой помогая знакомым за динамическими ip, ну и для внутренней LAN в старых игрушках.

Сервер на дебиане
dev tap
client-config-dir /etc/openvpn/ccd
ifconfig 10.0.1.1 255.255.255.0
ifconfig-pool 10.0.1.2 10.0.1.254
push "route 10.0.1.0 255.255.255.0"

На клиентских машинах никаких настроек сети в конфигах нет, сами клиенты берут конфиги из /etc/openvpn/ccd в виде файла с именем используемого ключа, в котором только:
ifconfig-push 10.0.1.2 255.255.255.0

сейчас таких машин набралось порядка 40 шт, и не очень хочется чтобы некоторые клиенты видели остальных.

вопрос:
Как реализовать такую схему?
Адрес 10.0.1.15 видит только 10.0.1.2 и 10.0.1.17
Адрес 10.0.1.2 видит всю сеть

Или немного другую (не знаю возможно ли)
Адрес 10.0.1.2 видит всю сеть
Все остальные видят только себя

Цитата:

Как реализовать такую схему?

Настроить в iptables правила для FORWARD

получается что видимость 10,0,1,1 (сервер) должна быть в любом случае

DarkMasterW
Цитата:

Ну думаю запущу по-старинке:
/etc/openvpn/server.conf

Я думаю, даже в старину никто не запускал программу
путем запуска ее файла конфигурации

[more] На сервере установлен OS X Mavericks с OpenVPN (Tunnelblick) (easy-rsa) 2.2.1

Клиент OpenVPN (GUI) на Windows 7

Клиенту нужно через Интернет ходить в сеть-Инет сервера . Адрес сервера естественно статичный.

Конфиг сервера

port 1194
proto udp
dev tap
ca /etc/openvpn/easy-rsa/2.0/keys/ca.crt
cert /etc/openvpn/easy-rsa/2.0/keys/server.crt
key /etc/openvpn/easy-rsa/2.0/keys/server.key
dh /etc/openvpn/easy-rsa/2.0/keys/dh1024.pem
ifconfig-pool-persist /etc/openvpn/ipp.txt
server-bridge 192.168.2.2 255.255.255.0 192.168.2.224 192.168.2.254
push "route 65.105.72.140 255.255.252.0"
script-security 2
up /etc/openvpn/scripts/up.sh
learn-address /etc/openvpn/scripts/routes.sh
client-to-client
duplicate-cn
keepalive 10 60
comp-lzo
persist-key
persist-tun
verb 3

Файла routes.sh нету, сделали на будущее

А вот в up.sh такое содержимое

/usr/sbin/sysctl -w net.link.ether.inet.proxyall=1

/usr/sbin/sysctl -w net.inet.ip.forwarding=1

/sbin/ifconfig bridge0 addm tap0

Конфиг клиента

client
dev tap
proto udp
remote 65.105.72.140 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
comp-lzo
verb 3

У сервера сетевые настройки
IP адрес 65.105.72.140
Маска подсети 255.255.252.0
Шлюз 65.105.72.1

Помогите пожалуйста разобраться, сам запутался! [/more]

filatovdm86
Цитата:

push "route 65.105.72.140 255.255.252.0"

Что это за чушь? Это как барон Мюнхаузен себя за волосы тащил.
push "route х.х.х.х" используется тогда, когда нужно прописать маршруты
к сетям за VPN сервером, а не к самому серверу.
Поскольку используется dev tap, то доступ клиента к сети 192.168.2.0 будет автоматически.

[more] Убрал строчку!

А как направить весь трафик клиента к шлюзу сервера?

А то он идет 'PUSH_REPLY,route-gateway 192.168.2.2'

Пробовал push "redirect-gateway", направляет 192.168.1.1

Sat Jul 12 17:50:04 2014 PUSH: Received control message: 'PUSH_REPLY,route-gateway 192.168.2.2,ping 10,ping-restart 60,ifconfig 192.168.2.225 255.255.255.0'
Sat Jul 12 17:50:04 2014 OPTIONS IMPORT: timers and/or timeouts modified
Sat Jul 12 17:50:04 2014 OPTIONS IMPORT: --ifconfig/up options modified
Sat Jul 12 17:50:04 2014 OPTIONS IMPORT: route-related options modified
Sat Jul 12 17:50:04 2014 TAP-WIN32 device [Подключение по локальной сети 2] opened: \\.\Global\{79881574-DFC0-4EFB-A0DB-FEA78E597C22}.tap
Sat Jul 12 17:50:04 2014 TAP-Win32 Driver Version 9.6
Sat Jul 12 17:50:04 2014 TAP-Win32 MTU=1500
Sat Jul 12 17:50:04 2014 Notified TAP-Win32 driver to set a DHCP IP/netmask of 192.168.2.225/255.255.255.0 on interface {79881574-DFC0-4EFB-A0DB-FEA78E597C22} [DHCP-serv: 192.168.2.0, lease-time: 31536000]
Sat Jul 12 17:50:04 2014 Successful ARP Flush on interface [20] {79881574-DFC0-4EFB-A0DB-FEA78E597C22}
Sat Jul 12 17:50:09 2014 TEST ROUTES: 0/0 succeeded len=-1 ret=0 a=0 u/d=down
Sat Jul 12 17:50:09 2014 Route: Waiting for TUN/TAP interface to come up...
Sat Jul 12 17:50:14 2014 TEST ROUTES: 0/0 succeeded len=-1 ret=1 a=0 u/d=up
Sat Jul 12 17:50:14 2014 Initialization Sequence Completed
Sat Jul 12 17:50:49 2014 TCP/UDP: Closing socket
Sat Jul 12 17:50:49 2014 Closing TUN/TAP interface
Sat Jul 12 17:50:49 2014 SIGTERM[hard,] received, process exiting [/more]

filatovdm86
Цитата:

А как направить весь трафик клиента к шлюзу сервера?

"redirect-gateway def1 bypass-dhcp"
Ссылка

[more] Что-то OpenVPN дюже лютый для настойки, просто адский сложно с ним!

Как написано в инструкции у меня уже сделано же в файле up.sh
Так же когда настраиваю в интерфейсе Сети мост согласно этой инструкции http://habrahabr.ru/post/206322/ ругается что адрес уже используется! Сервер в дата центре стоит, может в этом проблема что нужно другую адресацию использовать? Но адреса то частные же использую!

Конфиг сервера переделанный

port 1194
proto udp
dev tap
ca /etc/openvpn/easy-rsa/2.0/keys/ca.crt
cert /etc/openvpn/easy-rsa/2.0/keys/server.crt
key /etc/openvpn/easy-rsa/2.0/keys/server.key
dh /etc/openvpn/easy-rsa/2.0/keys/dh1024.pem
ifconfig-pool-persist /etc/openvpn/ipp.txt
server-bridge 10.0.2.2 255.0.0.0 10.0.2.224 10.0.2.254
push "redirect-gateway def1 bypass-dhcp"
script-security 2
up /etc/openvpn/scripts/up.sh
learn-address /etc/openvpn/scripts/routes.sh
client-to-client
duplicate-cn
keepalive 10 60
comp-lzo
persist-key
persist-tun
verb 3 [/more]

Добавлено:
Тут он есть

bridge0:
    member: en2 flags=3<LEARNING,DISCOVER>
     ifmaxaddr 0 port 6 priority 0 path cost 0
    member: tap0 flags=3<LEARNING,DISCOVER>
     ifmaxaddr 0 port 10 priority 0 path cost 0
    media: <unknown type>
    status: inactive
tap0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500

Добавлено:
Всеравно в инет через сервер не ходит! (((((

Почему трафик ходит не п2п а через сервер? Причем сервис на машине клиента даже не пытается стучаться по адресам напрямую. Клиенты под виндой.
Конфиг сервера:

Код: port -----
proto udp
dev tap
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key
dh /etc/openvpn/dh2048.pem
server 10.40.10.0 255.255.255.0
topology p2p
push "topology p2p"
ifconfig-pool-persist ipp.txt
client-to-client
keepalive 10 120
tls-auth ta.key 0
cipher AES-128-CBC
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /etc/openvpn/openvpn-status.log
log /etc/openvpn/openvpn.log
verb 3

Вопрос еще актуален.

DarkMasterW
А как он должен по Вашему мнению напрямую ходить? OpenVPN не умеет Full-Mesh (может это когда-то измениться?).

Список Full-Mesh VPN решений

а суть опций p2p тогда в openVpn в чем заключается?

DarkMasterW
А где у него p2p опции? оО
Если Вы о той строчке что у Вас есть — client-to-client, так это разрешение ходить трафику по OpenVPN адресам между клиентами, но через сервер.

А что касается красивого имени топологии p2p, то если прочитать официальную страничку, то получается что все чем p2p отличается от subnet — это тем, что можно использовать ещё +2 адреса (подсеть и широковещательный).

Цитата:

А что касается красивого имени топологии p2p, то если прочитать официальную страничку, то получается что все чем p2p отличается от subnet — это тем, что можно использовать ещё +2 адреса (подсеть и широковещательный).

Мде... других слов просто нет...

filatovdm86
Цитата:

Всеравно в инет через сервер не ходит!

Ибо криво все настроено!
С какой радости у клиента айпи 192.168.2.0, если сетка у тебя 192.168.1.0?
Интерфейс у тебя dev tap , вот и выдавай клиентам адреса из локалки.
И будут они спокойно видеть всю локалку, и ходить наружу через шлюз 192.168.1.1.

день добрый

есть
ubuntu 12.04 LTS
на ней iptables dns pptpd squid

eth0-wan
eth1-lan (192.168.8.0/24)
wlan1-lan(для резерва)
loopback


поставил openvpn
конфиг такой:

server.conf
port 23041
proto udp
dev tun

ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key
dh /etc/openvpn/keys/dh1024.pem

mode server
server 10.8.0.0 255.255.255.0
route 10.8.0.0 255.255.255.252/0
push "route 192.168.8.0 255.255.255.0"

client-to-client
ifconfig-pool-persist ipp.txt
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
log /var/log/openvpn.log
verb 3
___________________________________

client-cfg:

remote XX.XX.XX.XX 23041
client
dev tun
proto udp
nobind
user nobody
group nogroup
persist-key
persist-tun
ca c:\\keys\\ca.crt
cert c:\\keys\\k32.crt
key c:\\keys\\k32.key
comp-lzo
verb 3
mute 10
#redirect-gateway
show-net-up


iptables:

-A INPUT -i eth0 -d XX.XX.XX.XX/32 -p udp -m udp --dport 23041 -j ACCEPT
-A INPUT -i tun0 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
-A FORWARD -s 10.8.0.0/24 -d 192.168.8.0/24 -i tun0 -j ACCEPT
-A FORWARD -o tun0 -s 192.168.8.0/24 -d 10.8.0.0/24 -j ACCEPT

локалка ходит "наружу" ч..з SNAT
на всякий если спросите форвардинг включен

что в реальности:
клиент цепляется успешно(ip 10.8.0.10, шлюз 10.8.0.9), icmp ходят от клиента к хостам 192.168.8.0/24 замечательно
клиент может открывать/цеплять шары или принтеры - всё гуд

есть хост 192.168.8.101 на нём есть самба + на нём есть http
вот подключиться к самбе я могу, а к http не могу
на клиенте маршруты прописаны.

приводить ipconfig /all

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 10.63.240.1 10.63.241.40 4245
0.0.0.0 0.0.0.0 On-link 89.129.12.240 21
10.0.0.0 255.0.0.0 10.63.240.1 10.63.241.40 4246
10.8.0.0 255.255.255.0 10.8.0.9 10.8.0.10 4256
10.8.0.8 255.255.255.252 On-link 10.8.0.10 4511
10.8.0.10 255.255.255.255 On-link 10.8.0.10 4511
10.8.0.11 255.255.255.255 On-link 10.8.0.10 4511
10.63.240.0 255.255.248.0 On-link 10.63.241.40 4501
10.63.241.40 255.255.255.255 On-link 10.63.241.40 4501
10.63.247.255 255.255.255.255 On-link 10.63.241.40 4501
78.107.38.7 255.255.255.255 10.63.240.1 10.63.241.40 4246
78.107.196.0 255.255.252.0 10.63.240.1 10.63.241.40 4246
89.129.12.240 255.255.255.255 On-link 89.129.12.240 276
127.0.0.0 255.0.0.0 On-link 127.0.0.1 4531
127.0.0.1 255.255.255.255 On-link 127.0.0.1 4531
127.255.255.255 255.255.255.255 On-link 127.0.0.1 4531
192.168.1.0 255.255.255.0 On-link 192.168.1.1 4501
192.168.1.1 255.255.255.255 On-link 192.168.1.1 4501
192.168.1.255 255.255.255.255 On-link 192.168.1.1 4501
192.168.8.0 255.255.255.0 10.8.0.9 10.8.0.10 4256
192.168.83.0 255.255.255.0 On-link 192.168.83.1 4501
192.168.83.1 255.255.255.255 On-link 192.168.83.1 4501
192.168.83.255 255.255.255.255 On-link 192.168.83.1 4501
224.0.0.0 240.0.0.0 On-link 127.0.0.1 4531
224.0.0.0 240.0.0.0 On-link 192.168.83.1 4502
224.0.0.0 240.0.0.0 On-link 192.168.1.1 4502
224.0.0.0 240.0.0.0 On-link 10.63.241.40 4502
224.0.0.0 240.0.0.0 On-link 10.8.0.10 4511
224.0.0.0 240.0.0.0 On-link 89.129.12.240 21
233.32.240.0 255.255.255.0 10.63.241.40 10.63.241.40 4246
255.255.255.255 255.255.255.255 On-link 127.0.0.1 4531
255.255.255.255 255.255.255.255 On-link 192.168.83.1 4501
255.255.255.255 255.255.255.255 On-link 192.168.1.1 4501
255.255.255.255 255.255.255.255 On-link 10.63.241.40 4501
255.255.255.255 255.255.255.255 On-link 10.8.0.10 4511
255.255.255.255 255.255.255.255 On-link 89.129.12.240 276
============================================================


что ему еще надо то блин горелый ?
клиента проверял на ростелекоме и билайне - результат вышеописанный
подключаемся ч..з 3G от МТС и всё работает

помогите кто чем может

Kernell32
Цитата:

вот подключиться к самбе я могу, а к http не могу
на клиенте маршруты прописаны.

1.На 192.168.8.101 прописан маршрут к 10.8.0.10?
2. На фаерволе 192.168.8.101 настроены разрешения для 10.8.0.10?
3. Почему не использовать вместо tun tap, выдавать клиентам адреса из 192.168.8.0
и не мучиться?

vlary
благодарствую за отклик

читал что tap больше для бриджинга подходит
читал faq openvpn, что тот же netbios делает broadcast и комфортно работает на tap
читал как вы и сказали чтоб не тянуть кота за яйца и давать в том же диапазоне

как выше говорил есть еще pptpd с которым я горя не знал. выдавал из того же диапазона. сказал юзеру чтоб запускал батник для добавления маршрутов(статичные почему то не шли, пришлось каждый раз добавлять/удалять) и все были довольны наравне с android(о нём ниже)... внешний ip у пользователя по тех причинам пропал перешли на openvpn с его "пряниками"

по мануалам и отзывам выходит так что и на tun как то всё собирается у людей и юзают пускай тот же rdp(возможно "как я" netbios), а зная как udp неприхотлив решил на нём потра??ться.... уже вдоволь хватило

дополнение::: по этой схеме подключил планшет на android(долго парился но сделал и сертификаты и прочее и эта сволочь нормально всё открывает находясь в чужой wifi или ч..з симкарту мегафона).

1 и 2 нет не прописан(android и 'mts' действительно каким то чудом это делают без прописей на 101

3. при переходе на tap синтаксис сильно сменится ?


p..s как многим "любителям" мне нет надобности чтоб кто то ползал в инет. Всё что надо это шифрованный доступ к внтуренним "потрохам" корп. сетки

я был бы сильно благодарен если вы посоветуйте книжку для ликбеза который образовался

Kernell32
Цитата:

при переходе на tap синтаксис сильно сменится ?

Практически нет.
Цитата:

я был бы сильно благодарен если вы посоветуйте книжку для ликбеза который образовался

Да какая там книга? Вот одна страница, с картинками:
OpenVPN Bridging with Windows HOWTO
ЗЫ: Как же задолбали эти контекстные ссылки на ключевые слова, которые уродуют нормальную ссылку,
и приходится постоянно лечить ее добавлением пробелов...