Przeglądałem wiele tematów podobnych do moich ale żaden nie był identyczny. Na wstępie przedstawię moją architekturę:
Opis OpenVPN - połączenie szyfrowane ssl (certyfikaty). Połączenie kończy się sukcesem.
Otóż, posiadam klienta OpenVPN po drugiej stronie sieci Wan, którym łączę się z serwerem.
Dane klienta:
- Windows7 (firewall - wyłączony)
- Interfejs openvpn (uruchamiany ze zgodnością Windows Vista SP1) jako administrator
- Adres sieci 192.168.10.0/24
- Wirtualny interfejs 10.8.0.6 (ping wysyłany na adres 10.8.0.1)
- (jak będę w pracy to zamieszczę, bo teraz jestem w domu i nie mam dostępu).
Kod: Zaznacz cały
route print
Kod: Zaznacz cały
dev tun
client
remote dyndns.tzo.net
proto udp
port 170XX
nobind
ca cacert.pem
cert user.crt
key user.key
comp-lzo
verb 3
- System Debian 6.0.3 bodajże.
- Openssl i openVPN zainstalowany z repozytorium.
- Serwer posiada 2 karty sieciowe (2 NIC):
pierwsza karta z int eth0 posiada dostęp do sieci wewnętrznej LAN (10.11.X.X)
druga karta z int eth1 posiada dostęp do rutera brzegowego (tutaj dłuższy opis) (adres int eth1 192.168.X.X). Do tej kary podpięty jest ruter co posiada dyndns (działający).
Ruter ten ma wyłączone DMZ oraz firewall. Ma ustawiane przekierowanie na odpowiedni adres i port tak, że wszystko co dostaje na wejściu przerzuca od razu na eth1 serwera.
Przekierowanie w serwerze ustawione na "1" (w jakimś pliku odkomentowałem to) - Firewall serwera (nie rozbudowywałem go)
Kod: Zaznacz cały
#!/bin/bash #------- forwardownie echo "1" > /proc/sys/net/ipv4/ip_forward #------- pingowanie echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all #------- zmienne ip="iptables" #------- czyszczenie starych regul, NAT'ow i filtrow $ip -F $ip -F -t nat $ip -F -t filter $ip -X $ip -X -t nat $ip -X -t filter #------- Polityka bezpieczenstwa (dzialania) $ip -P FORWARD DROP #$ip -P INPUT DROP $ip -P OUTPUT ACCEPT # FTP - jezeli chce je odblokowac #$ip -A INPUT -p tcp --dport 21 -j ACCEPT #$ip -A INPUT -p udp --dport 21 -j ACCEPT $ip -A INPUT -i lo -j ACCEPT $ip -A FORWARD -o lo -j ACCEPT #------- zezwolenie na laczenie sie z naszym serverem na portach kolejno SSH, VPN $ip -A INPUT -p tcp --dport 22 -j ACCEPT $ip -A INPUT -p udp --dport 22 -j ACCEPT $ip -I INPUT -i eth1 -p udp -d 192.168.2.X --dport 170XX -j ACCEPT # ####################################################################### # Ruch ICMP # odbieranie oraz odpowiadanie na wszystkie komunikaty z kazdej sieci, # interfejsu oraz hosta $ip -A INPUT -p icmp -j ACCEPT #wejscie $ip -A OUTPUT -p icmp -j ACCEPT #wyjscie $ip -A INPUT -p icmp --icmp-type echo-request -j ACCEPT $ip -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT # ####################################################################### # Forwardowanie ruchu z tun0 na 10.11.0.0 $ip -A FORWARD -i tun0 -s 10.8.0.0/24 -d 10.11.0.0/24 -j ACCEPT # ####################################################################### # NAT dla 10.8.0.0 #$ip -t nat -A PREROUTING -p udp -d 10.8.0.0 -j DNAT --to 10.11.0.0 #$ip -t nat -A POSTROUTING -d 10.11.0.0 -j MASQUERADEKod: Zaznacz cały
root@debian:/usr/local/etc/openvpn# ls cacert.pem dh1024.pem openvpn.conf serverkey.pem_bezhasla ccd ipp.txt servercert.pem
Plik konfiguracyjny serwera:
Kod: Zaznacz cały
dev tun #rodzaj interfejsu
local 192.168.X.X #adres IP serwera - eth1 (czyli ten na który kieruje ruch router brzegowy)
proto udp #protokol transportowy tunelu
port 170XX
user openvpn
group openvpn
ca cacert.pem #certyfikat CA
cert servercert.pem #certyfikat serwera
key serverkey.pem_bezhasla #klucz prywatny serwera
dh dh1024.pem #plik z parametrami protokolu D-H
ifconfig 10.8.0.1 10.8.0.2
server 10.8.0.0 255.255.255.0 #klasa adresowa, przydzielamy IP klientom
ifconfig-pool-persist ipp.txt #zawiera info o przydzielonych adresach IP
client-config-dir ccd #katalog z plikami specyficznych usu uzyt
keepalive 10 120
comp-lzo #algorytm kompresji
push "route 192.168.X.X 255.255.255.0" #trasa do sieci 'firmowej' / chyba nie gula
Kod: Zaznacz cały
../ccd.txt -ls
ifconfig-push 10.8.0.0 10.11.0.0
Lukasz 10.8.0.4 masq forward 10.11.32[tcp^all]10.11.0.0[tcp^all]
Kod: Zaznacz cały
../ipp.txt -lsKod: Zaznacz cały
Lukasz 10.8.0.4
Kod: Zaznacz cały
ifconfig 10.8.0.1 10.8.0.2.Opis problemu
(+) - działa
(-) - nie działa
[INDENT](+) Połączenie VPN - zestawione
(+) Serwer VPN uruchomiony pokazuje ruch po połączeniu klienta
(+) Sygnał ping z klienta na adres 10.8.0.6 i 10.8.0.1 odbija się.
(+) ping na serwerze 10.8.0.1 odbija się
(-) serwer nie może spingować 10.8.0.4, 10.8.0.6, 10.8.0.2
(-) Klient nie może wysłać sygnału ping do eth0, czyli brak dostępu do sieci wewnętrznej LAN [/INDENT]
Już trzeci tydzień z tym walczę i nie powiem, jestem zmęczony. Jestem początkującym w tej dziedzinie (a ta usługa ma dotyczyć mojej pracy inżynierskiej). Pytanie może, jak na laika, ale jest osobą, która byłaby w stanie pomóc początkującemu zrobić dostęp do tej wewnętrznej sieci LAN? To mój pierwszy post z tym pytaniem, w sieci (oczywiście szperałem i szukałem włączając to forum, ale odpowiedzi nie były dla mnie pomocne). Jeżeli mam umieścić logi to jakie i skąd - postaram się jutro je z pracy pozbierać.
Pozdrawiam i liczę, że ktoś znajdzie czas na pomoc. Zico
