[j.....s]

#informatyka #komputery #sieci #debian #linux

Mirki - router oparty na debianie blokuje mi połączenie VPN. Jakiś protip, które porty otworzyć i przekierować w NAT?

[FalseIdeas]

@jurny_juhas: ...co to za typ VPN i z której strony inicjujesz?

[j.....s]

@FalseIdeas: OpenVPN, jestem klientem i próbuję połączyć się z serwerem VPN w firmie. Router na debianie jest z mojej strony.

[FalseIdeas]

@jurny_juhas: ...ale przeciez to tunel po SSLu, pojedyncze polaczenie, wiec jest malo wymagajace... blukujesz porty w kierunku na zewnątrz? Skąd wiesz, że to wina routera a nie problem z negocjacją? Jakieś logi z klienta czy inny tcpdump?

[j.....s]

@FalseIdeas: żadnego portu nie blokuję.

Logi:


Thu Oct 23 08:34:46 2014 library versions: OpenSSL 1.0.1j 15 Oct 2014, LZO 2.05


Enter Management Password:


Thu Oct 23 08:34:54 2014 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this


Thu Oct 23 08:34:54 2014 Control Channel Authentication: using 'tls-auth-router.key' as a OpenVPN static key file


Thu Oct 23 08:34:54 2014 UDPv4 link local: [undef]


Thu Oct

[FalseIdeas]

@jurny_juhas: ...z tych logów niewiele wynika, poza tym ze nie moze wynegocjowac polaczenia. Jak nie blokujesz portów w kierunku na zewnątrz to linux nie bedzie niczemu winny. A konfiguracje klienta masz prawidłową, z innej sieci Ci to działa? Na pewno po UDP i na pewno dobre haslo/certyfikat? Jak sie da to sobie odpal klienta w trybie debug, zeby mozna bylo cos wyczytac z tych logow...

[Pies_]

@jurny_juhas: Ja bym Ci proponował na dowolnym innym serwerze odpalić netcata na udp i porcie 1194, od siebie połączyć się do niego telnetem i zobaczyć czy komunikacja idzie w obie strony. Jak nie, to musisz to poprawić, jak tak to wina pewnie czegoś w robocie.

[j.....s]

@FalseIdeas: już wiem, że to nie kwestia z mojej strony. Spróbowałem połączyć się z VPN przez telefon (zrobiłem teethering na laptopa) i też nie chce działać. Kwestia więc zostaje po stronie serwera vpn i administratora sieci.

[j.....s]

@Pies_: j.w.

[Nawry]

@jurny_juhas: A możesz w ogóle pingnąć adres pod który chcesz się połączyć?

[j.....s]

@Nawry: tak, pinguje się bez problemu

[j.....s]

@Nawry: @Pies_: @FalseIdeas: próbowałem też połączyć się przez komputer rodziców w mieście 100km dalej, ale również nie ma efektu. Znaczy się, że admin coś skopał, a ja mogę mieć czyste sumienie ;)

[FalseIdeas]

@jurny_juhas: dokładnie, a ja tutaj przyszedłem bronić linuxa... ;)

[Nawry]

@jurny_juhas: Dlatego pytałem o pinga, z loga wynika, że albo nie masz łączności z adresem albo dany port jest zamknięty albo firewall nie przepuszcza na niego ruchu. Tak czy owak po stronie serwera szukałbym przyczyny. To w ogóle działało Ci i przestało? Pierwszy raz próbujesz zestawić?

[j.....s]

@Nawry: wczoraj uzyskałem dopiero dane dostępowe, więc próbowałem zestawić połączenie pierwszy raz. Zobaczymy. Pogadam dziś z adminem, zweryfikuje o co chodzi. Bo nie działa na:

1. moim stałym łączu (ISP to Politechnika Łódzka)

2. Play LTE

3. T-Mobile 3G

4. Dialog w Płocku :)

Więc to na 100% nie jest kwestia mojego debiana (uff... już się przestraszyłem), a czegoś zupełnie innego. No i widzę serwer, do którego się próbuję połączyć.

[j.....s]

@Nawry: @FalseIdeas: @Pies_: sprawa wyjaśniona. Problem leżał w źle skonfigurowanym serwerze VPN. Nie znam szczegółów, ale administrator już naprawił połączenie i działa "prawilnie" :)

[FalseIdeas]

@jurny_juhas: ...taki protip - masz router na linuxie to korzystaj z tcpdumpa przy tego typu problemach

[j.....s]

@FalseIdeas: przy ponad 500 komputerach w sieci będzie to dość karkołomne, ale dam radę.

[brokenik]

@jurny_juhas: TLS się pewnie wysypał w negocjacji bo była różnica w dacie certyfikatów. Temat przerabiałem wielokrotnie i zawsze się pojawia - daty certyfikatów nie zgadzają się z czasem rzeczywistym na maszynie lub vice versa.

[FalseIdeas]

@jurny_juhas: nie powinno miec znaczenia czy masz 500 czy milion hostow, bo nie dumpujesz calego ruchu, a pojedyncze polaczenie

[ufo99]

@jurny_juhas: A możesz pokazać regułki z iptables ?