• Zarejestrowany: 2016-06-13
  • Posty: 46

Temat: Tunel VPN do podglądu obrazu z kamer za routerem LTE

Witam

Mam problem z tunelem VPN na Openvpn, mam wszystko skonfigurowane oprócz routingu.
Korzystałem z http://kb.rootbox.com/instalacja-i-konf … werklient/ do konfiguracji serwera i http://eko.one.pl/?p=openwrt-openvpntun  do konfiguracji klienta.
Klient to MR3420 z modemem E3372 Hilink, wewnętrzny adres to 192.168.1.1
Serwer to debian 7 który stoi za routerem z natem (forewarding dla UTP jest) z IP zewnętrznym 95.171.197.XX, Wewnetrzny IP serwera to 10.0.0.1.

Certyfikaty mam we właściwym miejscu, tylko o co chodzi z tls?

# Konfiguracja tls-auth
ns-cert-type server
key-direction 1

<tls-auth>
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
-----END OpenVPN Static key V1-----
</tls-auth>

1. Dodam że nie generowałem  klucza HMAC, wiec mam wyrzucić to z konfiguracji?
2.W takim razie co tutaj podać w konfiguracji klienta uci set openvpn.malgosia.remote_cert_tls=server  ?


Założenie jest takie:
ma być dostęp do rejestratora przez internet po wpisaniu 95.171.197.XX:9000 > 10.0.0.1:9000 > przekierowanie przez tunel VPN do wewnętrznego adresu 192.168.1.254:9000

ma być dostęp do konfiguracji routera przez internet po wpisaniu 95.171.197.XX:9001 > 10.0.0.1:9001 > przekierowanie przez tunel VPN do wewnętrznego adresu 192.168.1.1

ma być dostęp do rejestratora przez internet po wpisaniu 95.171.197.XX:9002 > 10.0.0.1:9002 > przekierowanie przez tunel VPN do wewnętrznego adresu 192.168.1.254

Główne pytanie: co i jak przekierować żeby to działało jak należy?

Może niepotrzebnie wklepałem to na serwerze:

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -F POSTROUTING
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Z góry dzięki za pomoc smile

2 Odpowiedź przez khain

  • khain
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-09-15
  • Posty: 328

Odp: Tunel VPN do podglądu obrazu z kamer za routerem LTE

tls-auth to jest dodatkowe uwierzytelnienie klienta za pomocą klucza ta.key
Najlepiej zrobić to tak:
Dla serwera

tls-auth              /etc/openvpn/ta.key 0

Dla klienta

tls-auth              /etc/openvpn/ta.key 1
TP-Link TL-WDR3600 v1.5 -  OpenWrt Chaos Calmer 15.05.1 with Luci +Microsoft LifeCam VX-3000
RaspberryPi 2 - OMV Stone Burner 2.0.15 +Creative SB Play +Medion OR24V +DVB-T Media-Tech MT4163  +MP00202AC +3xDS18B20 +HIH-4000-002 +MPXHZ6115A +Samsung SPF-85H +D-Link DUB-H7

3 Odpowiedź przez manmartin (edytowany przez manmartin 2016-06-16 15:49:46)

  • Zarejestrowany: 2016-06-13
  • Posty: 46

Odp: Tunel VPN do podglądu obrazu z kamer za routerem LTE

Tylko skąd mam wziąć ten klucz?

I jak skonfigurować routing?

4 Odpowiedź przez khain

  • khain
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-09-15
  • Posty: 328

Odp: Tunel VPN do podglądu obrazu z kamer za routerem LTE

To wyrzuć tę opcję, ona nie jest obowiązkowa albo wygeneruj klucz https://openvpn.net/index.php/open-sour … l#security
Routing ustaw za pomocą opcji w konfigu serwera: push route(wysyła info do klientów o routingu do podsieci za serwerem) lub route (informuje serwer o routingu do podsieci za klientem)

TP-Link TL-WDR3600 v1.5 -  OpenWrt Chaos Calmer 15.05.1 with Luci +Microsoft LifeCam VX-3000
RaspberryPi 2 - OMV Stone Burner 2.0.15 +Creative SB Play +Medion OR24V +DVB-T Media-Tech MT4163  +MP00202AC +3xDS18B20 +HIH-4000-002 +MPXHZ6115A +Samsung SPF-85H +D-Link DUB-H7

5 Odpowiedź przez manmartin

  • Zarejestrowany: 2016-06-13
  • Posty: 46

Odp: Tunel VPN do podglądu obrazu z kamer za routerem LTE

Mógłbyś kolego podrzuić jakiś temat temat dokładnie opisujący tworzenie takiego routingu na debianie (serwer), albo napisać dokładnie jak to zrobić? Na kliencie openwrt nie muszę robić żadnego routngu?

6 Odpowiedź przez khain

  • khain
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-09-15
  • Posty: 328

Odp: Tunel VPN do podglądu obrazu z kamer za routerem LTE

Info o sieci za serwerem push "route 192.168.0.0 255.255.255.0"
Info o sieci za klientem route 192.168.0.0 255.255.255.0
Dodaj te opcje do konfigu serwera i zrób forwarding lan<->vpn
Jeśli wyślesz (za pomocą push) info o routingu do podsieci serwera, to w konfigu klienta nie dodajesz opcji routingu.

TP-Link TL-WDR3600 v1.5 -  OpenWrt Chaos Calmer 15.05.1 with Luci +Microsoft LifeCam VX-3000
RaspberryPi 2 - OMV Stone Burner 2.0.15 +Creative SB Play +Medion OR24V +DVB-T Media-Tech MT4163  +MP00202AC +3xDS18B20 +HIH-4000-002 +MPXHZ6115A +Samsung SPF-85H +D-Link DUB-H7

7 Odpowiedź przez manmartin

  • Zarejestrowany: 2016-06-13
  • Posty: 46

Odp: Tunel VPN do podglądu obrazu z kamer za routerem LTE

VPN działa, serwer pinguje 192.168.1.1 i wzajemnie, tylko gdy openVPN jest uruchomiony Openwrt kieruje wszystko w tunel przez co nie ma dostępu do internetu.

Jak dokładnie zrobić forewarding LAN do VPN tak aby po połączeniu się do 10.0.0.1:9000 przekierowało mnie do 192.168.1.10:9000 ?
I jednocześnie żeby mieć dostęp do całej sieci wpisując normalnie 192.168.1.1


Zrobiłem tylko to:
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -F POSTROUTING
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Konfiguracja serwera wygląda tak:

dev tun                         # rodzaj interfejsu
local 10.0.0.1                       # IP serwera (zamiast xxx podajemy adres IP serwera)
proto udp                       # uzywany protokol
port 1194                       # uzywany port
server 10.8.0.0 255.255.255.0   # klasa IP dla tunelu VPN
ca ca.crt                       # plik certyfikatu CA
cert Hackeddomain.crt         # plik certyfikatu serwera
key Hackeddomain.key          # plik klucza prywatnego serwera
dh dh2048.pem                   # plik z parametrami algorytmu Diffiego-Hellmana
max-clients 100                 # maksymalna ilosc klientow
persist-tun                     # podtrzymuje interfejs TUN w stanie UP podczas restartu
persist-key                     # zapamietuje klucz
keepalive 10 120                # utrzymuje polaczenie
cipher AES-256-CBC              # ustawienie algorytmu szyfrowania
comp-lzo                        # wlaczenie kompresji
verb 1                          # poziom logowania
user nobody            # uzytkownik na potrzeby OpenVPN
group nogroup            # grupa na potrzeby OpenVPN
push "redirect-gateway def1"    # przekierowanie calego ruchu przez VPN
push "dhcp-option DNS 8.8.8.8"  # konfiguracja DNS dla DHCP
push "dhcp-option DNS 8.8.4.4"  # konfiguracja DNS dla DHCP
client-config-dir ccd
route 192.168.1.0 255.255.255.0
push "route 192.168.1.0 255.255.255.0"


log openvpn.log                 # pliki logĂłw serwera OpenVPN
status openvpn-status.log


# Konfiguracja tls-auth         # klucz HMAC
key-direction 0
<tls-auth>
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
XXXXXXXXXXXXXXXXXXXXXXXXXX
-----END OpenVPN Static key V1-----
</tls-auth>



Po dodaniu tej linii nic się nie zmieniło (bez tego też działało) push "route 192.168.1.0 255.255.255.0"

8 Odpowiedź przez manmartin

  • Zarejestrowany: 2016-06-13
  • Posty: 46

Odp: Tunel VPN do podglądu obrazu z kamer za routerem LTE

Ogólnie wygląda to tak że na ruterze z stałym IP mam przekierowanie do 10.0.0.1:9000 > tun0 >10.8.0.1 >10.8.0.6 > 192.168.1.10:9000

Mój router to HG8245A, na którym nie można ustawić domyślnej trasy routingu (Można, ale tylko do WAN). Tak więc gdy chcę dostać się z jakiegokolwiek komputera już po przekierowaniu jako bramę mam ustawić adres mojego serwera?

9 Odpowiedź przez manmartin

  • Zarejestrowany: 2016-06-13
  • Posty: 46

Odp: Tunel VPN do podglądu obrazu z kamer za routerem LTE

Już śmiga, wszystko działa tak jak należy.