1 Temat przez janhinio (edytowany przez janhinio 2014-01-26 00:50:44)

  • Zarejestrowany: 2014-01-23
  • Posty: 104

Temat: OpenVPN w GargoylePL - TUN -dostęp do sieci

konfiguracja z gragoyle:
http://i39.tinypic.com/2ynf5fo.jpg

mam pytania w sumie takie:

1. normalna w sieci podsiec to np. 192.168.1.0/24
a 10.8.0.0/24 to tylko w ramach punkt to punkt?

2. lacze sie do tej sieci z zewnatrz, wszystko ok, na serwer wchodze na 10.8.0.1 ok, na 192.168.1.1 - tez ok, ale do innych hostow nie mam dostepu, np. do 192.168.1.2 - nie moge wejsc

czy jest to opcja : dostep do urzadzen w sieci lan? jest dopuszczony wiec co moze byc przyczyna?

3. jak rozumiec opcje
a. klienci uzywaja vpn - do calego ruchu?
b. dostep do zasobow lokalnaych - mam rozumiec, ze do tylko do hosta jednego (serwer vpn) czy dostep do calej sieci lokalnej z vpn (bez internetu tj. w pytaniu 4)

4. jaka jest w openvpn opcja, ze po podlaczeniu uzywam internetu z sieci zdalnej,
przyklad mam adres ip: 11.11.11.11,
lacze sie do serwera vpn: 55.55.55.55, po podlaczeniu wchodze w firefoxa - i mam adres 55.55.55.55 ?

pytanie - czy da sie to zrobic bez tunelowania i ustawiania proxy w przegladarkach?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,055

Odp: OpenVPN w GargoylePL - TUN -dostęp do sieci

1. tak
2. Uruchomiłeś klienta jako administrator a nie zwykły user? Powinieneś dostać nowy wpis do routingu wskazujący na 192.168.1.0/25 przez openvpn - masz to?
3. Dokładnie to co jest napisane. Albo vpn służy do połączenia z zasobami tylko albo wszystko (łączenie z Internetem) przechodzi przez vpn.
4. Nie rozumiem pytania? Chcesz wychodzić z innym adresem niż masz? To jeszcze jakiś innych vpn w sieci znajdź i do niego się klientem podłącz.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez janhinio

  • Zarejestrowany: 2014-01-23
  • Posty: 104

Odp: OpenVPN w GargoylePL - TUN -dostęp do sieci

dodalem sobie route do docelowej sieci przez 10.8.0.1 i wtedy dziala tylko ping w sieci 192.168.0.0 do gargulca (jakis adres), a zaden inny nadal nie idzie

czy moze to byc kwestia firewallu? jest standardowy, konfigurowalem jw. screen tylko z GUI, nic nie zmienialem ale wkleje:

 cat /etc/config/firewall

config defaults
        option syn_flood '1'
        option input 'ACCEPT'
        option output 'ACCEPT'
        option forward 'REJECT'

config zone
        option name 'lan'
        list network 'lan'
        option input 'ACCEPT'
        option output 'ACCEPT'
        option forward 'REJECT'

config zone
        option name 'wan'
        list network 'wan'
        list network 'wan6'
        option input 'REJECT'
        option output 'ACCEPT'
        option forward 'REJECT'
        option masq '1'
        option mtu_fix '1'

config forwarding
        option src 'lan'
        option dest 'wan'

config rule
        option name 'Allow-DHCP-Renew'
        option src 'wan'
        option proto 'udp'
        option dest_port '68'
        option target 'ACCEPT'
        option family 'ipv4'

config rule
        option name 'Allow-Ping'
        option src 'wan'
        option proto 'icmp'
        option icmp_type 'echo-request'
        option family 'ipv4'
        option target 'ACCEPT'

config rule
        option name 'Allow-DHCPv6'
        option src 'wan'
        option proto 'udp'
        option src_ip 'fe80::/10'
        option src_port '547'
        option dest_ip 'fe80::/10'
        option dest_port '546'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-ICMPv6-Input'
        option src 'wan'
        option proto 'icmp'
        list icmp_type 'echo-request'
        list icmp_type 'echo-reply'
        list icmp_type 'destination-unreachable'
        list icmp_type 'packet-too-big'
        list icmp_type 'time-exceeded'
        list icmp_type 'bad-header'
        list icmp_type 'unknown-header-type'
        list icmp_type 'router-solicitation'
        list icmp_type 'neighbour-solicitation'
        list icmp_type 'router-advertisement'
        list icmp_type 'neighbour-advertisement'
        option limit '1000/sec'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-ICMPv6-Forward'
        option src 'wan'
        option dest '*'
        option proto 'icmp'
        list icmp_type 'echo-request'
        list icmp_type 'echo-reply'
        list icmp_type 'destination-unreachable'
        list icmp_type 'packet-too-big'
        list icmp_type 'time-exceeded'
        list icmp_type 'bad-header'
        list icmp_type 'unknown-header-type'
        option limit '1000/sec'
        option family 'ipv6'
        option target 'ACCEPT'

config include
        option path '/etc/firewall.user'
        option reload '1'

config include
        option type 'script'
        option path '/usr/lib/gargoyle_firewall_util/gargoyle_additions.firewall                                                                             '
        option family 'IPv4'
        option reload '1'

config include 'miniupnpd'
        option type 'script'
        option path '/usr/share/miniupnpd/firewall.include'
        option family 'IPv4'
        option reload '1'

config include 'openvpn_include_file'
        option path '/etc/openvpn.firewall'
        option reload '1'

config zone 'vpn_zone'
        option name 'vpn'
        option network 'vpn'
        option input 'ACCEPT'
        option output 'ACCEPT'
        option forward 'ACCEPT'
        option mtu_fix '1'
        option masq '1'

config forwarding 'vpn_lan_forwarding'
        option src 'lan'
        option dest 'vpn'

config remote_accept 'ra_openvpn'
        option zone 'wan'
        option local_port '1194'
        option remote_port '1194'
        option proto 'udp'

config forwarding 'vpn_wan_forwarding'
        option src 'vpn'
        option dest 'wan'

4. moze inaczej opisze:
serwer vpn ma publiczny adres neostrady np. 83.12.34.45, klientem wchodze z innego adresu np. 222.222.111.111, czy da sie zrobic tak, aby caly ruch internetowy szedl przez openvpn i bede widoczny jako 83.12.34.45 ?

wiem, ze mozna zrobic tunelowanie w ssh i ustawic jakis port - i wtedy to trzeba jako proxy ustawic w przeglarce, ale czy jest jakas metoda na zmiane dla wszystkich aplikacji?

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,055

Odp: OpenVPN w GargoylePL - TUN -dostęp do sieci

To się ustawia w w serwerze openvpn - jak Ci stoi tam gargoyle jako serwer to opcje masz do wyklikania w gui.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez badziewiak

  • Skąd: Chrząszczyżewoszyce Łękołody:)
  • Zarejestrowany: 2010-08-26
  • Posty: 1,808

Odp: OpenVPN w GargoylePL - TUN -dostęp do sieci

Jak jestesmy w temacie: Zwykle uzywam privoxy, na ktory mam ustawiona przegladarke w pracy. Czy moge ustawic przegladarke na adres serwera openvpn, by pozbyc sie proxy i jednoczesnie ruch byl z przegladarki tunelowany?

MiniPC 6xRJ45 2Gb, N100, 16GB DDR5, 1TB NVMe (Gargoyle)
Linksys WRT3200ACM (Gargoyle)
Tp-link 1043NDv2 (Gargoyle)

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,055

Odp: OpenVPN w GargoylePL - TUN -dostęp do sieci

No nie. Proxy a openvpn to dwie różne rzeczy.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona