• Zarejestrowany: 2012-10-05
  • Posty: 96

Temat: openvpn luci

Witam.
Pomóżcie bo już nie daje rady.
W Luci uruchamiam openvpn według poradnika kropka w kropke https://eko.one.pl/?p=openwrt-openvpntun

Moj server 

config openvpn 'home'
    option enabled '1'
    option dev 'tun0'
    option port '1194'
    option proto 'udp'
    option log '/tmp/openvpn.log'
    option verb '3'
    option ca '/etc/openvpn/ca.crt'
    option cert '/etc/openvpn/serwer.crt'
    option key '/etc/openvpn/serwer.key'
    option server '10.8.0.0 255.255.255.0'
    option dh '/etc/openvpn/dh.pem'

Moj klient na windowsie 7

client
remote          xxxxxxxxxxxx 1194
dev             tun
proto           udp
status          current_status
resolv-retry    infinite
topology        subnet
verb            3

Logi klienta

Wed Aug 07 09:51:14 2024 library versions: OpenSSL 1.1.1k  25 Mar 2021, LZO 2.10
Wed Aug 07 09:51:14 2024 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
Wed Aug 07 09:51:14 2024 Need hold release from management interface, waiting...
Wed Aug 07 09:51:14 2024 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
Wed Aug 07 09:51:14 2024 MANAGEMENT: CMD 'state on'
Wed Aug 07 09:51:14 2024 MANAGEMENT: CMD 'log all on'
Wed Aug 07 09:51:14 2024 MANAGEMENT: CMD 'echo all on'
Wed Aug 07 09:51:14 2024 MANAGEMENT: CMD 'bytecount 5'
Wed Aug 07 09:51:14 2024 MANAGEMENT: CMD 'hold off'
Wed Aug 07 09:51:14 2024 MANAGEMENT: CMD 'hold release'
Wed Aug 07 09:51:14 2024 MANAGEMENT: >STATE:1723017074,RESOLVE,,,,,,
Wed Aug 07 09:51:15 2024 TCP/UDP: Preserving recently used remote address: [AF_INET]xxxxxxxxx:1194
Wed Aug 07 09:51:15 2024 Socket Buffers: R=[8192->8192] S=[8192->8192]
Wed Aug 07 09:51:15 2024 UDP link local (bound): [AF_INET][undef]:1194
Wed Aug 07 09:51:15 2024 UDP link remote: [AF_INET]xxxxxxxxxxx:1194
Wed Aug 07 09:51:15 2024 MANAGEMENT: >STATE:1723017075,WAIT,,,,,,
Wed Aug 07 09:51:15 2024 TLS Error: client->client or server->server connection attempted from [AF_INET]194.24.174.6:1194
Wed Aug 07 09:51:17 2024 TLS Error: client->client or server->server connection attempted from [AF_INET]194.24.174.6:1194
Wed Aug 07 09:51:21 2024 TLS Error: client->client or server->server connection attempted from
 [AF_INET] xxxxxxxx:1194

Dlaczego klient na windows woła o TLS jak ja go wogóle nie tworzyłem , w poradniku nic na ten temat nie ma.
Jak go utworzyc na serwerze ?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: openvpn luci

Połączenie po openvpn jest szyfrowane, więc stąd ten tls.

Nie zrobiłeś kropka w kropkę bo nie masz certyfikatów dla klienta - jest to w poradniku, zarówno ich generowanie jak i zrobienie pliku klienta z certyfikatami, ty masz inny konfig.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez corsair (edytowany przez corsair 2024-08-07 10:33:09)

  • Zarejestrowany: 2012-10-05
  • Posty: 96

Odp: openvpn luci

Mam tez cert klienta

client
remote        xxxx 1194
dev             tun
proto           udp
status          current_status
resolv-retry    infinite
remote-cert-tls server
topology        subnet
verb            3


ca              ca.crt
cert            test.crt
key             test.key

Cały czas klient openvpn na win7 woła o TLS i nie puści dalej. Jak moge utworzyć ten plik ta.key i mieć z tym juz spokój?

Dodałem plik ta.key z gargoyle do serwera i klienta i nic z tego log taki sam

config openvpn 'home'
    option enabled '1'
    option dev 'tun0'
    option port '1194'
    option proto 'udp'
    option log '/tmp/openvpn.log'
    option verb '3'
    option ca '/etc/openvpn/ca.crt'
    option cert '/etc/openvpn/serwer.crt'
    option key '/etc/openvpn/serwer.key'
    option server '10.8.0.0 255.255.255.0'
    option dh '/etc/openvpn/dh.pem'
    option tls_auth '/etc/openvpn/ta.key'

klient 

client
remote          xxxxx 1194
dev             tun
proto           udp
status          current_status
resolv-retry    infinite
remote-cert-tls server
topology        subnet
verb            3


ca              ca.crt
cert            test.crt
key             test.key
tls-auth        ta.key

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: openvpn luci

TLS i ta.key to nie jest to samo. Czy w ogóle otworzyłeś na firewallu port 1194 na wanie? Masz na wanie bezpośrednio ten swój adres 194.24.**?

Tu masz o generacji ta.key
https://openvpn.net/community-resources … -security/

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez corsair

  • Zarejestrowany: 2012-10-05
  • Posty: 96

Odp: openvpn luci

Jestem w sieci LAN i router jest w trybie bridge ( nie ma wan) moj ip laptop 10.10.10.30   router 10.10.10.6

2024-08-07 12:10:39 --cipher is not set. Previous OpenVPN version defaulted to BF-CBC as fallback when cipher negotiation failed in this case. If you need this fallback please add '--data-ciphers-fallback BF-CBC' to your configuration and/or add BF-CBC to --data-ciphers.
2024-08-07 12:10:39 OpenVPN 2.5.3 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Jun 17 2021
2024-08-07 12:10:39 Windows version 6.1 (Windows 7) 64bit
2024-08-07 12:10:39 library versions: OpenSSL 1.1.1k  25 Mar 2021, LZO 2.10
Enter Management Password:
2024-08-07 12:10:39 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
2024-08-07 12:10:39 Need hold release from management interface, waiting...
2024-08-07 12:10:40 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
2024-08-07 12:10:40 MANAGEMENT: CMD 'state on'
2024-08-07 12:10:40 MANAGEMENT: CMD 'log all on'
2024-08-07 12:10:40 MANAGEMENT: CMD 'echo all on'
2024-08-07 12:10:40 MANAGEMENT: CMD 'bytecount 5'
2024-08-07 12:10:40 MANAGEMENT: CMD 'hold off'
2024-08-07 12:10:40 MANAGEMENT: CMD 'hold release'
2024-08-07 12:10:40 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
2024-08-07 12:10:40 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
2024-08-07 12:10:40 TCP/UDP: Preserving recently used remote address: [AF_INET]10.10.10.6:1194
2024-08-07 12:10:40 Socket Buffers: R=[8192->8192] S=[8192->8192]
2024-08-07 12:10:40 UDP link local (bound): [AF_INET][undef]:1194
2024-08-07 12:10:40 UDP link remote: [AF_INET]10.10.10.6:1194
2024-08-07 12:10:40 MANAGEMENT: >STATE:1723025440,WAIT,,,,,,
2024-08-07 12:10:40 MANAGEMENT: >STATE:1723025440,AUTH,,,,,,
2024-08-07 12:10:40 TLS: Initial packet from [AF_INET]10.10.10.6:1194, sid=4d4cd579 6f600411
2024-08-07 12:10:40 VERIFY OK: depth=1, CN=Ca
2024-08-07 12:10:40 VERIFY KU OK
2024-08-07 12:10:40 Validating certificate extended key usage
2024-08-07 12:10:40 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
2024-08-07 12:10:40 VERIFY EKU OK
2024-08-07 12:10:40 VERIFY OK: depth=0, CN=serwer
2024-08-07 12:10:40 Control Channel: TLSv1.3, cipher TLSv1.3 TLS_CHACHA20_POLY1305_SHA256, peer certificate: 2048 bit RSA, signature: RSA-SHA256
2024-08-07 12:10:40 [serwer] Peer Connection Initiated with [AF_INET]10.10.10.6:1194
2024-08-07 12:10:41 MANAGEMENT: >STATE:1723025441,GET_CONFIG,,,,,,
2024-08-07 12:10:41 SENT CONTROL [serwer]: 'PUSH_REQUEST' (status=1)
2024-08-07 12:10:41 PUSH: Received control message: 'PUSH_REPLY,route 10.8.0.1,topology net30,ifconfig 10.8.0.6 10.8.0.5,peer-id 0,cipher AES-256-GCM'
2024-08-07 12:10:41 OPTIONS IMPORT: --ifconfig/up options modified
2024-08-07 12:10:41 OPTIONS IMPORT: route options modified
2024-08-07 12:10:41 OPTIONS IMPORT: peer-id set
2024-08-07 12:10:41 OPTIONS IMPORT: adjusting link_mtu to 1624
2024-08-07 12:10:41 OPTIONS IMPORT: data channel crypto options modified
2024-08-07 12:10:41 Data Channel: using negotiated cipher 'AES-256-GCM'
2024-08-07 12:10:41 Outgoing Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
2024-08-07 12:10:41 Incoming Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
2024-08-07 12:10:41 interactive service msg_channel=384
2024-08-07 12:10:41 ROUTE_GATEWAY 10.10.10.1/255.255.255.0 I=11 HWADDR=00:1f:3c:0b:6f:e3
2024-08-07 12:10:41 open_tun
2024-08-07 12:10:41 CreateFile failed on tap-windows6 device: \\.\Global\{2B58091B-3E8C-4FF8-8DB6-84B5F3528284}.tap
2024-08-07 12:10:41 MANAGEMENT: Client disconnected
2024-08-07 12:10:41 All tap-windows6 adapters on this system are currently in use or disabled.
2024-08-07 12:10:41 Exiting due to fatal error

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: openvpn luci

Chciał się połączyć ale "All tap-windows6 adapters on this system are currently in use or disabled.". Zrestartuj tego windowsa bo nie wiem czy ci jakieś procesy openvpn nie wiszą.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez corsair (edytowany przez corsair 2024-08-07 13:42:48)

  • Zarejestrowany: 2012-10-05
  • Posty: 96

Odp: openvpn luci

Czy utworzone klienty openvpn zostaja na serwerze w katalogu easy rsa ?  Czy mam je wszystkie skopiować do /etc/openvpn lub do /etc/config/openvpn?

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: openvpn luci

corsair napisał/a:

Czy utworzone klienty openvpn zostaja na serwerze w katalogu easy rsa ?  Czy mam je wszystkie skopiować do /etc/openvpn lub do /etc/config/openvpn?

Dziwne pytanie zadałeś. Certyfikaty to pliki, w konfigu podajesz pełne ścieżki do certyfikatów. Serwerowi certyfikaty klienta nie są do niczego potrzebne, masz je na kliencie wykorzystać. Więc czy będą w tym katalogu czy nie o to wszystko jedno.

W /etc/config/openvpn nie ma miejsca na dodanie certyfkatów, tam się ścieżki do nich podaje.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez corsair (edytowany przez corsair 2024-08-07 13:46:33)

  • Zarejestrowany: 2012-10-05
  • Posty: 96

Odp: openvpn luci

Miałem raczej na mysli nazwy klientów np plik  tomek.ovpn ale pewnie dla serwera nie ważne sa nazwy on wpuszcza klienta po certyfikatach.

Dzieki Cezary

Czy klienci  bedą widoczni w LUCI graficznie? Bo u mnie nikogo nie widać choć jestem podlączony

10 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: openvpn luci

Appka w luci chyba nie ma statusu podłączonych klientów.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

11 Odpowiedź przez PiotrekK

  • Skąd: woj. mazowieckie
  • Zarejestrowany: 2023-06-03
  • Posty: 750

Odp: openvpn luci

W LuCI nie ma statusu podpiętych klientów OVPN, ale są dostępne na sieci skrypty dodające takie informacje.

Korzystam z: MF286D; Kernel 6.12.60 r32225 i AW1000; Kernel 6.12.94 r35323
Wypełnij ankietę. Poprawiamy tłumaczenie LuCI. Szczegóły w tym poście

12 Odpowiedź przez corsair (edytowany przez corsair 2024-09-25 18:56:49)

  • Zarejestrowany: 2012-10-05
  • Posty: 96

Odp: openvpn luci

PiotrekK napisał/a:

W LuCI nie ma statusu podpiętych klientów OVPN, ale są dostępne na sieci skrypty dodające takie informacje.

Szukałem ale nie mogę znaleźć niestety tego skryptu

Znalazłem taki
https://github.com/sebabordon/openwrt-t … me-ov-file

ale po  starcie skryptu dostaje błedy:

root@OpenWrt:~# /etc/openvpn/client-status.sh
/etc/openvpn/client-status.sh: line 4: syntax error: unexpected redirection

13 Odpowiedź przez PiotrekK

  • Skąd: woj. mazowieckie
  • Zarejestrowany: 2023-06-03
  • Posty: 750

Odp: openvpn luci

Jest tutaj:
https://github.com/sebabordon/openwrt-tools/

Korzystam z: MF286D; Kernel 6.12.60 r32225 i AW1000; Kernel 6.12.94 r35323
Wypełnij ankietę. Poprawiamy tłumaczenie LuCI. Szczegóły w tym poście

14 Odpowiedź przez corsair

  • Zarejestrowany: 2012-10-05
  • Posty: 96

Odp: openvpn luci

PiotrekK napisał/a:

Jest tutaj:
https://github.com/sebabordon/openwrt-tools/

Niestety sypie błedami a na skryptach sie nie znam .

15 Odpowiedź przez PiotrekK

  • Skąd: woj. mazowieckie
  • Zarejestrowany: 2023-06-03
  • Posty: 750

Odp: openvpn luci

Doinstaluj pakiet: bash

Korzystam z: MF286D; Kernel 6.12.60 r32225 i AW1000; Kernel 6.12.94 r35323
Wypełnij ankietę. Poprawiamy tłumaczenie LuCI. Szczegóły w tym poście

16 Odpowiedź przez PiotrekK

  • Skąd: woj. mazowieckie
  • Zarejestrowany: 2023-06-03
  • Posty: 750

Odp: openvpn luci

wpisz: 

root@OpenWrt:~# bash /etc/openvpn/client-status.sh
Korzystam z: MF286D; Kernel 6.12.60 r32225 i AW1000; Kernel 6.12.94 r35323
Wypełnij ankietę. Poprawiamy tłumaczenie LuCI. Szczegóły w tym poście

17 Odpowiedź przez corsair (edytowany przez corsair 2024-09-25 20:18:15)

  • Zarejestrowany: 2012-10-05
  • Posty: 96

Odp: openvpn luci

Ok .Dzieki
Skrypt sie ładuje nic nie wypluwa .
Tylko gdzie w GUI znajde status klientów vpn?
W system ->przegląd nie ma nic.

Plik openvpn.htm kleiłem  do /usr/lib/lua/luci/view/admin_status/ obok luaindex.htm

EDIT.
Działa . Trzeba utworzyć katalog index
/usr/lib/lua/luci/view/admin_status/index/openvpn.htm
Dziekuje bardzo za pomoc Piotrekk

18 Odpowiedź przez PiotrekK

  • Skąd: woj. mazowieckie
  • Zarejestrowany: 2023-06-03
  • Posty: 750

Odp: openvpn luci

Bardzo proszę.
Instrukcje czasami są tak proste, że pomija się ważne rzeczy :-)

Korzystam z: MF286D; Kernel 6.12.60 r32225 i AW1000; Kernel 6.12.94 r35323
Wypełnij ankietę. Poprawiamy tłumaczenie LuCI. Szczegóły w tym poście