[Javkens]

#openwrt #openvpn

Jestem na etapie konfiguracji sieci OpenVPN z routerem opartym na najnowszym OpenWRT
Udało mi się skonfigurować serwer VPS i router, aby łączył się do tej sieci. Niestety nie jestem jakimś specem i nie radzę sobie z konfiguracją site to site. Czy jest to jakiś Mirek specjalista, który chętnie wyjaśniłby mi parę rzeczy? Najlepiej przez Skype, gdzie mógłbym pokazać w czym mam dokładnie problem.
Odwdzięczę się plusem/flachą/kodem na pyszne ;)

[rawilson]

@Javkens: co chcesz osiągnąć? To aby urządzenia z obydwu sieci się widziały? W czym masz problem?

[Javkens]

Jak na załączonym obrazku.
Na serwerze VPS gdzie mam VPN utworzyłem profil .ovpn, za pomocą którego łącze się routerem do VPN.
Problem w tym, że nie wiem jak powinny być tam skonfigurowane interfejsy. Chciałbym to po prostu zrozumieć.

Skonfigurowałem tak, że z sieci routera mogłem pingować 10.8.0.1, ale innych urządzeń podpiętych do serwera vpn już nie. Dodatkowo, logując się przez ssh do vpna, nie mogę pingować wewnętrznej sieci routera. Próbowałem ustawiać iroute,

[Javkens]

@rawilson: up

[Dobry_Ziemniak]

@Javkens: zobacz tu
https://www.eko.one.pl/?p=openwrt-openvpntun

konkretnie rozdziały "Dostęp do sieci LAN klienta" i "Dostęp do sieci LAN za serwerem"
to jest kwestia ustawień firewalla, tylko że to wszystko musisz zrobić na VPS, skoro on jest serwerem

[Javkens]

@Dobry_Ziemniak: dzięki. też tam trafiłem na parę dyskusji i staram się jakoś uporać z tym wszystkim. mało wiem o administracji sieciami, więc idzie topornie, ale mam nadzieję do przodu.

[Dobry_Ziemniak]

@Javkens: mi też to nie wychodziło na początku, kiedyś zrobiłem raz wg. tego poradnika, że wszystko działało i potem przez parę lat nic nie zmieniałem po prostu :)

[Dobry_Ziemniak]

@Javkens: a jak zależy Ci na bezpieczeństwie to bardzo polecam webinar od sekuraka
https://www.youtube.com/watch?v=JwJ13HXuRZs
Jest długi i miejscami nudny, ale warto zobaczyć sposoby konfiguracji, bo tam jest cała masa opcji, nie każdy zna wszystko.

[Javkens]

@Dobry_Ziemniak: o dzięki. pytanie czy nie lepiej najpierw nauczyć sie trochę bardziej linuxa? bo jak na razie jestem na poziomie sprawnego poruszania się po shellu.

[Dobry_Ziemniak]

@Javkens: myślę, że przy takich zadaniach i problemach jak ten, będziesz stopniowo i z konieczności uczył się linuxa, ale na pewno warto ogarnąć jak najwięcej podstaw na początku

[Javkens]

to jest kwestia ustawień firewalla

@Dobry_Ziemniak: tak się z tym męcze i się zastanawiam. Jeśli na serwerze wyłącze firewalla, to nie powinno działać?

[Dobry_Ziemniak]

@Javkens: nie tędy droga, to kwestia ustawienia odpowiedniej strefy i routingu dla OpenVPN i otwarcia portów, ale nic nie pisałeś co masz na serwerze i jak jest skonfigurowany firewall i interfejsy sieciowe?

[Javkens]

@Dobry_Ziemniak:
ROUTER
`netstat -r
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
default 192.168.1.1 0.0.0.0 UG 0 0 0 wlan0
10.8.0.0 10.8.0.1 255.255.255.0 UG 0 0 0 tun0
10.8.0.0 * 255.255.255.0 U 0 0 0 tun0
10.8.1.0 * 255.255.255.0 U 0 0 0 br-lan
192.168.1.0 * 255.255.255.0 U 0 0 0 wlan0

uci show firewall
firewall.@defaults[0]=defaults
firewall.@defaults[0].synflood='1'
firewall.@defaults[0].input='ACCEPT'
firewall.@defaults[0].output='ACCEPT'
firewall.@defaults[0].forward='ACCEPT'
firewall.@zone[0]=zone
firewall.@zone[0].name='lan'
firewall.@zone[0].input='ACCEPT'
firewall.@zone[0].output='ACCEPT'
firewall.@zone[0].forward='ACCEPT'
firewall.@zone[0].network='lan'

[Javkens]

VPS:
netstat -r
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
default publicIP 0.0.0.0 UG 0 0 0 ens3
10.8.0.0 0.0.0.0 255.255.255.0 U 0 0 0 tun0
10.8.1.0 10.8.0.13 255.255.255.0 UG 0 0 0 tun0
localnet 0.0.0.0 255.255.255.0 U 0 0 0 ens3
root@vpn:~# ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), deny (routed)
New profiles: skip

To Action From
-- ------ ----

[Dobry_Ziemniak]

@Javkens:

na routerze spróbuj do pliku /etc/config/firewall w strefie (zone) vpn dodać na końcu
option masq '1'

a z routingiem brakuje chyba jednej trasy lokalnej, czyli tej opcji push na 192.168.1.0 , sprawdź uci show openvpn
jeżeli nie ma takiego wpisu to dodaj (oczywiście dostosuj nazwę taką jak pokazuje uci bo nie wiem jaką ustawiłeś)
uci add_list openvpn.push='route 192.168.1.0 255.255.255.0'

i zapisz zmiany poleceniem
uci commit openvpn

potem restart openvpn i