Newsgroup: it.comp.os.linux.sys
Titolo: OpenVPN dietro nat

Ciao a tutti e buon pomeriggio!
Ho un firewall linux 2.6 + iptables che fa nat in uscita, e dietro ho dei 
server windows che hanno il client openvpn.
Le connessioni openvpn escono ovviamente nattate, le porte sono aperte, e 
devono stare     su 24x7 per motivi di monitoraggio di alcuni servizi.
C'� il keepalive impostato ma sembra che, a random, per mezz'ora, un'ora o 
venti minuti, ogni volta, il tunnel non � pi� pingabile.
Percaso il timing del nat di iptables pu� condizionare le connessioni 
nattate di openvpn che sono sempre su?
Nel file /proc/sys/net/ipv4/tcp_keepalive_time ho 1800.
Grazie, ciao!!!
Francesco 

Uno sviluppo: il tunnel rimane su, pingo correttamente dal client windows 
l'ip del server openvpn, ma PERDO le route verso la rete remota.
Sembra che quando scatta l'inactivity timeout non sempre rimandi su le 
route... come si pu� fare in questo caso?
Grazie!
Francesco 

Spiegami meglio: chi perde le route?
Hai detto che il client VPN e` sulle macchine Windows dietro il firewall.
Quindi immagino siano le macchine Windows a perdere le route.
La VPN cade o rimane attiva?
Non vorrei non fosse un problema di Linux....
Io credo che il timeout Linux conti dall'ultimo pacchetto transitato,
quindi basta che le VPN facciano un pochino di traffico continuato e non ci 
dovrebbero essere problemi.
Che tipo di VPN hai fatto: UDP o TCP? Nel caso prova a cambiarlo, se puoi.
Ciao
	Ste


Carissimo Stefano!
Ho messo le route statiche sui client openvpn windows con il -p cos� risolvo 
definitivamente il presunto problema che le route non vengano riattivate 
quando il tunnel openvpn va in restart.
Il problema comunque rimane: dai server windows che hanno un client openvpn, 
seppure con il keepalive 10 120, saltuariamente la connessione openvpn cade, 
non passano pacchetti per un tot. di minuti e poi riparte. Ma dai log di 
openvpn non vedo errori!
Questi server windows escono nattati dietro firewall linux, che hanno il nat 
in uscita del protocollo UDP verso la porta 5002, che ho scelto come porta 
custom.
C'� per� la stateful inpsection, forse � questo che incasina le cose?
Nell'ip_conntrack trovo questo:
[root@Hub net]# cat ip_conntrack | grep 192.168.0.251 | grep x.x.x.x
udp      17 179 src=192.168.0.251 dst=x.x.x.x sport=1194 dport=5002 
packets=88358 bytes=17333360 src=x.x.x.x dst=78.4.21.123 sport=5002 
dport=1024 packets=159677 bytes=19274761 [ASSURED] mark=0 secmark=0 use=1
Perch�, mi rimane il dubbio, parte una connessione in NAT dal server interno 
windows, che ha il client openvpn, 192.168.0.251 dalla porta 1194 verso la 
porta 5002, ed il ritorno invece se lo aspetta dalla porta 5002 remota alla 
1024 locale, e non la 1194 che � la sourceport di partenza?
Provo temporaneamente a disabilitare il flag di --established,related del 
firewall linux, che � gateway per il client openvpn su windows, per vedere 
se "tiene botta"?
Grazie, ciao!
Francesco 

 se "tiene botta"?
Puoi anche provare a prendere a martellate il server, avrebbe la stessa utilità.

 utilit�.
Umm, sto facendo questa prova, perch� almeno da circa 4 ore, togliendo quel 
flag sul nat della porta di openvpn, sembra che non abbia perdite, ma devo 
approfondire!
GRAZIE!
Francesco