1 Temat przez main

  • main
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2025-02-06
  • Posty: 6

Temat: mikr.us i OpenVPN

Witam,


Potrzebuje wsparcia z konfiguracją openvpn na mikr.us.

Serwer openvpn został poprawianie zainstalowany na mikrus z adresem 10.8.0.1
Klienci zostali poprawnie wygenerowani z adresacją :
klient 1 : 10.8.0.2 ( podsieć 192.168.0.1 / 255.255.255.0 )
klient 2 : 10.8.0.3 ( podsieć 192.168.6.1 / 255.255.255.0 )
klient 3 : 10.8.0.4 ( podsieć 192.168.7.1 / 255.255.255.0 )


Klienci bazujący na Gargoyle łączą się z serwerem openvpn.
Mam dostęp do klientów ( 10.8.0.2, 10.8.0.3, 10.8.0.4 )
Niestety nie mam dostępu do podsieci klientów ( 192.168.0.1, 192.168.6.1, 192.168.7.1 )


brakuje mi prawdopodobnie routingu na serwerze lub kliencie.

Czy mogę prosić o jakieś sugestie ?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: mikr.us i OpenVPN

Czyli tego nie zrobiłeś: https://eko.one.pl/?p=openwrt-openvpntu … lanklienta (oczywiście przykład jest dla openwrt, a na mikrusie masz zwykłą konfigurację w plikach, ale chodzi o fakt podania tras przez route i push odpowiednich podsieci)

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez main

  • main
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2025-02-06
  • Posty: 6

Odp: mikr.us i OpenVPN

moja obecna konfiguracja to :

port 302XX
proto udp6
dev tun
user nobody
group nogroup
persist-key
persist-tun
keepalive 10 120
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 94.140.14.14"
push "dhcp-option DNS 94.140.15.15"
push "redirect-gateway def1 bypass-dhcp"
server-ipv6 fd42:42:42:42::/112
tun-ipv6
push tun-ipv6
push "route-ipv6 2000::/3"
push "redirect-gateway ipv6"
dh none
ecdh-curve prime256v1
tls-crypt tls-crypt.key
crl-verify crl.pem
ca ca.crt
cert server_xxxx.crt
key server_xxxx.key
auth SHA256
cipher AES-128-GCM
ncp-ciphers AES-128-GCM
tls-server
tls-version-min 1.2
tls-cipher TLS-xxxxxxxx
client-config-dir /etc/openvpn/ccd
status /var/log/openvpn/status.log
verb 3
client-to-client
management 0.0.0.0 5555

czy samo dopisanie :

push='route 192.168.6.0 255.255.255.0'
route 192.168.6.0 255.255.255.0
push='route 192.168.7.0 255.255.255.0'
route 192.168.7.0 255.255.255.0

wystarczy

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: mikr.us i OpenVPN

Bez = się oczywiście. Włóż i sprawdź.

Oczywiscie klient na firewallu musi mieć zezwolone na routing vpn <> lan i ew maskaradę.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez main

  • main
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2025-02-06
  • Posty: 6

Odp: mikr.us i OpenVPN

zrobiłem test na jednym z klientów i serwerze.

Na serwerze dodałem :

port 302XX
proto udp6
dev tun
user nobody
group nogroup
persist-key
persist-tun
keepalive 10 120
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 94.140.14.14"
push "dhcp-option DNS 94.140.15.15"
push "redirect-gateway def1 bypass-dhcp"
server-ipv6 fd42:42:42:42::/112
tun-ipv6
push tun-ipv6
push "route-ipv6 2000::/3"
push "redirect-gateway ipv6"
dh none
ecdh-curve prime256v1
tls-crypt tls-crypt.key
crl-verify crl.pem
ca ca.crt
cert server_xxxx.crt
key server_xxxx.key
auth SHA256
cipher AES-128-GCM
ncp-ciphers AES-128-GCM
tls-server
tls-version-min 1.2
tls-cipher TLS-xxxxxxxx
client-config-dir /etc/openvpn/ccd
status /var/log/openvpn/status.log
verb 3
client-to-client
management 0.0.0.0 5555

push 'route 192.168.6.0 255.255.255.0'
route 192.168.6.0 255.255.255.0

na kliencie dałem :

    # uci add firewall forwarding
    # uci set firewall.@forwarding[-1].src='vpn'
    # uci set firewall.@forwarding[-1].dest='lan'
    # uci commit firewall

Efekt był taki że klient był podłączony cały czas do vpn.
podsieć u klienta straciła łączność z Internetem, dostępem do panel routera, dostęp do urządzeń wewnątrz sieci był dalej niemożliwy.

Niestety nie mam na tyle wiedzy aby zrobić to dobrze. Jeżeli mógł bym prosić o wytłumaczenie jak dla lajika.

6 Odpowiedź przez main (edytowany przez main 2025-02-06 14:49:07)

  • main
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2025-02-06
  • Posty: 6

Odp: mikr.us i OpenVPN

obecna tablica na kliencie  po restarcie do ustawień fabrycznych:

Cel                                          Interfejs (sieć)    Brama                Metryka
default/128.0.0.0                        tun0                   10.8.0.1              0
default                                       eth2 (WAN)         192.168.8.1         0
10.8.0.0/255.255.255.0              tun0                     *                       0
65.21.230.60                             eth2 (WAN)          192.168.8.1        0
128.0.0.0/128.0.0.0                    tun0                   10.8.0.1              0
192.168.6.0/255.255.255.0         br-lan (LAN)         *                       0
192.168.8.0/255.255.255.0         eth2 (WAN)          *                       0

7 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: mikr.us i OpenVPN

Dostałeś  to nawet w linku:

option masq 1

na kliencie z posiecią z strefie vpn.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

8 Odpowiedź przez main

  • main
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2025-02-06
  • Posty: 6

Odp: mikr.us i OpenVPN

config defaults
    option syn_flood '1'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'lan'
    list network 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'ACCEPT'

config zone
    option name 'wan'
    list network 'wan'
    list network 'wan6'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'
    option mtu_fix '1'

config forwarding
    option src 'lan'
    option dest 'wan'

config rule
    option name 'Allow-DHCP-Renew'
    option src 'wan'
    option proto 'udp'
    option dest_port '68'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option name 'Allow-Ping'
    option src 'wan'
    option proto 'icmp'
    option icmp_type 'echo-request'
    option family 'ipv4'
    option target 'ACCEPT'

config rule
    option name 'Allow-IGMP'
    option src 'wan'
    option proto 'igmp'
    option family 'ipv4'
    option target 'ACCEPT'

config rule
    option name 'Allow-DHCPv6'
    option src 'wan'
    option proto 'udp'
    option dest_port '546'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-MLD'
    option src 'wan'
    option proto 'icmp'
    option src_ip 'fe80::/10'
    list icmp_type '130/0'
    list icmp_type '131/0'
    list icmp_type '132/0'
    list icmp_type '143/0'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Input'
    option src 'wan'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    list icmp_type 'router-solicitation'
    list icmp_type 'neighbour-solicitation'
    list icmp_type 'router-advertisement'
    list icmp_type 'neighbour-advertisement'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Forward'
    option src 'wan'
    option dest '*'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-IPSec-ESP'
    option src 'wan'
    option dest 'lan'
    option proto 'esp'
    option target 'ACCEPT'

config rule
    option name 'Allow-ISAKMP'
    option src 'wan'
    option dest 'lan'
    option dest_port '500'
    option proto 'udp'
    option target 'ACCEPT'

config rule
    option name 'Support-UDP-Traceroute'
    option src 'wan'
    option dest_port '33434:33689'
    option proto 'udp'
    option family 'ipv4'
    option target 'REJECT'
    option enabled 'false'

config include
    option path '/etc/firewall.user'
    option reload '1'

config include
    option type 'script'
    option path '/usr/lib/gargoyle_firewall_util/gargoyle_additions.firewall'
    option family 'any'
    option reload '1'

config include 'openvpn_include_file'
    option path '/etc/openvpn.firewall'
    option reload '1'

config include 'wireguard_include_file'
    option path '/etc/wireguard.firewall'
    option reload '1'

config include 'tor_include_file'
    option path '/etc/tor.firewall'
    option reload '1'

config zone 'vpn_zone'
    option name 'vpn'
    option device 'tun0'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'ACCEPT'
    option mtu_fix '1'
    option masq '1'

config forwarding 'vpn_lan_forwarding'
    option src 'lan'
    option dest 'vpn'

config forwarding 'lan_vpn_forwarding'
    option src 'vpn'
    option dest 'lan'

9 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: mikr.us i OpenVPN

Dodałeś. Zrestartuj klienta, zmień serwera i zobacz czy podsieć ma wyjście do internetu. Albo przynajmiej czy mikrus jest osiągalny z lanu.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

10 Odpowiedź przez main

  • main
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2025-02-06
  • Posty: 6

Odp: mikr.us i OpenVPN

klient ( vpn 10.8.0.2 / lan 192.168.6.1 ) ma dostęp do mikrusa.
natomiast urządzenia z LAN 192.168.6.1 nie mają dostępu do wan

inni klienci vpn nie mają dostępu do urządzeń z sieci 192.168.6.1

obecnie tablica na kliencie 192.168.6.1 wygląda tak

Cel    Interfejs (sieć)    Brama    Metryka
default/128.0.0.0    tun0    10.8.0.1    0
default    eth2 (WAN)    192.168.8.1    0
10.8.0.0/255.255.255.0    tun0    *    0
65.21.230.60    eth2 (WAN)    192.168.8.1    0
128.0.0.0/128.0.0.0    tun0    10.8.0.1    0
192.168.6.0/255.255.255.0    tun0    10.8.0.1    0
192.168.8.0/255.255.255.0    eth2 (WAN)    *    0


brak jest

192.168.6.0/255.255.255.0         br-lan (LAN)         *                       0

11 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: mikr.us i OpenVPN

Trasę 192.168.6.0/255.255.255.0 to ty wysyłasz przez tun0. Więc źle konfig serwera openvpn i wysłałeś klientowi żeby sobie podmienił 192.168.6.0/255.255.255.0. Zmień to w serwerze openvpn.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona