Newsgroup: it.comp.os.linux.sys
Titolo: OpenVpn su Ubuntu

Salve, sono giorni e giorni (notti comprese) che sto impazzendo per
far funzionare openvpn su ubuntu.
Sono un principiante di linux e openvpn, vi dico cosa ho combinato:
- installato ubuntu server senza problemi;
- installato webmin senza problemi;
- ho installato un pacchetto openvpn per webmin per avere
un'interfaccia grafica ... funziona benissimo;
1) in openvpn ho creato le chiavi e certificati lato server e lato
client .... nessun problema
2) ho compilato una configurazione lato server e openvpn si mette in
ascolto .... nessun problema riscontrato nel file di log;
3) ho compilato una configurazione (sempre in webmin) lato client che
tiene conto delle istruzioni lato server (molto facile);
4) webmin permette di scaricare l'intera configurazione (compresa di
chiavi e certificati) in un unico file;
5) ho installato sul client (windows xp) openvpn gui dando in pasto la
configurazione scaricata al punto 4;
6) sul server ho aperto la porta 1194 utilizzando ufw;
7) lancio il client ed il log non mostra errori;
Purtroppo la VPN non si collega server e client non parlano tra loro.
Ho controllato e ricontrollato tutto, riga dopo riga. In internet ci
sono mille guide che usano la mia stessa configurazione eppure a me
non funziona.
Qualcuno di voi è così gentile da segnalarmi un modo per fare un debug
e scoprire dove sbaglio o cosa ho dimenticato ????
C'è qualcuno che vuol guadagnarsi il paradiso ?
Grazie in aticipo
Biagio


Dimenticavo:
il NAT del router invia tutti i pacchetti della porta 1194 sul server
linux. Anche questo ho controllato !!!
Grazie
Biagio

 Biagio
se sicuro che si possa fare tramite nat? io una volta l'ho provata da un 
cliente una configurazione cos� e mi ha risposto picche...lato client 
non ti da nessun errore?

Potresti provare a postare i file di configurazione del client e del
server e anche a fare tcpdump o chi per lui sulle interfacce dove
dovrebbero passare i pacchetti della VPN per vedere dove passano e
invece dove no cosi` da capire a che punto e` il problema.

 - Mostra testo citato -
Purtroppo la cosa strana è che non ho nessun errore, né come client né
come server.
Con il NAT del router ho canalizzato il traffico sulla porta 1194
verso il server linux.
All'inizio ero riuscito a far funzionare il collegamento attraverso
una semplice chiave simmetrica. Mi faceva il ping sul server ma
praticamente non vedevo la rete dietro al server e quindi la vpn non
mi serviva a nulla.
Il mio obiettivo è quello di potermi collegare da casa (windows xp)
all'ufficio (server linux). La vpn mi deve permettere di vedere
l'intera rete dell'ufficio perché ho un programma che funziona solo in
ambiente windows ed i dati risiedono su un'altro computer (windows
xp).
Molto probabilmente mi sfugge qualcosa di talmente banale che però per
un principiante come me diventa insormontabile
Grazie


Subito fatto:
client
proto udp
dev tun
ca ca.crt
dh dh2048.pem
cert cliente_not.crt
key cliente_not.key
remote mio_ip_pubblico 1194
tls-auth ta.key 1
cipher AES-128-CBC
user nobody
group nogroup
verb 5
mute 20
keepalive 10 120
comp-lzo
persist-key
persist-tun
float
resolv-retry infinite
nobind
push "route 192.168.1.144 255.255.255.0"
=================================
port 1194
proto udp
dev tun
ca keys/notario/ca.crt
cert keys/notario/server_not.crt
key keys/notario/server_not.key
dh keys/notario/dh2048.pem
server 192.168.1.0 255.255.255.0
crl-verify keys/notario/crl.pem
ifconfig-pool-persist servers/servervpn/logs/ipp.txt
tls-auth servers/servervpn/ta.key 0
cipher AES-128-CBC
user nobody
group nogroup
status servers/servervpn/logs/openvpn-status.log
log-append servers/servervpn/logs/openvpn.log
verb 5
mute 20
max-clients 10
local 192.168.1.180
keepalive 10 120
client-config-dir /etc/openvpn/servers/servervpn/ccd
client-to-client
comp-lzo
persist-key
persist-tun
ccd-exclusive
push "route 192.168.1.146 255.255.255.0"
push "dhcp-option DNS 192.168.2.44"
==================================
Per il tcpdump non so cosa sia, mi leggo le istruzioni e ti faccio
sapere .... :-)
Grazie per la collaborazione
Biagio

 xp).
Posta la config del server e del client senn� � dura capirci qualcosa.


L'output di un ifconfig/ipconfig su entrambe le macchine?
Probabilmente potrebbe bastare quanto hai gia` postato, ma non
sono certo un grande esperto per cui potrebbe aiutare.
Ma i log files ci sono? Che cosa c'e` dentro?
Il mio dubbio (non so quanto fondato) e` che tu stia usando la stessa
rete per il client e per il server, ragione per la quale il routing
non funziona.
A questo proposito potrebbero essere utili/necessarie anche le
configurazioni
di routing delle due macchine. In windows deve essere route print
mentre in
Linux route -n.
E poi mi sembra che, lato server, si debba usare route e non push
route
(ma anche qui potrei sbagliare e/o potrebbe dipendere dalle
specifiche
configurazioni). E poi si`, era buono anche il consiglio di verificare
l'ip forwarding del server che deve essere attivo (impostato a 1).
Saluti

 - Mostra testo citato -
Salve,
problema di collegamento risolto !!!!! Ho installato ubuntu nuovamente
per pulire il sistema dalle mille prove che avevo fatto installando i
pacchetti più disparati.
Purtroppo non ho risolto completamente, il collegamento funziona ma
non riesco a vedere la rete dell'ufficio ma solo il server-linux.
PC A - Windows XP ...... 192.168.1.100 (macchina che voglio
raggiungere)
PC B - Linux-Server ....... 192.168.1.180 (server vpn)
PC C - Windows XP ...... 192.168.2.80 (client con indirizzo ip vpn ...
10.8.0.6)
Se dal client faccio il ping su 192.168.1.180 ........... funziona
mentre su  192.168.1.100  non funziona
Quando sono in ufficio dal mio PC C uso un programma che si collega al
PC A che vedo come unita-disco di rete identificato con la lettera S.
Vorrei fare la stessa cosa da casa.
Questa è la mia configurazione del server:
port 1194
proto udp
dev tun
ca keys/studio/ca.crt
cert keys/studio/server_not.crt
key keys/studio/server_not.key
dh keys/studio/dh2048.pem
server 10.8.0.0 255.255.255.0
crl-verify keys/studio/crl.pem
cipher AES-128-CBC
user nobody
group nogroup
status servers/vpnstudio/logs/openvpn-status.log
log-append servers/vpnstudio/logs/openvpn.log
verb 5
mute 20
max-clients 100
keepalive 10 120
client-config-dir /etc/openvpn/servers/vpnstudio/ccd
client-to-client
comp-lzo
persist-key
persist-tun
ccd-exclusive
push "route 192.168.1.0 255.255.255.0"
push "redirect-gateway"
Suggerimenti ?????
Grazie
Biagio


Quali sono le tabelle di routing delle due macchine?

 Quali sono le tabelle di routing delle due macchine?
Prova a vedere se le trovi qui:
http://wiki.news.nic.it/QuotarBene
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


non ci sono

 - Mostra testo citato -
Vediamo se ho capito e se riesco a fornirvi i dati corretti.
Faccio riferimento alla situazione attuale, dopo aver fatto mille
prove.
Ricapitolando:
Ufficio
192.168.1.100   255.255.255.0 ...... PC Windows XP (che voglio
raggiungere)
192.168.1.180   255.255.255.0 ...... PC Linux/Ubuntu (dove è attivo il
server VPN)
Casa
192.168.2.43    255.255.255.0 ..... Notebook Windows XP (dove è attivo
il client VPN)
Attivando openVpn sul server parte del log mostra questo:
.....
ifconfig tun0 10.8.0.1 pointopoint 10.8.0.2 mtu 1500
route add -net 10.8.0.0 netmask 255.255.255.0 gw 10.8.0.2
IFCONFIG POOL: base=10.8.0.4 size=62
Mentre la tabella routing del server mostra
Dest                 GW               Netmask
Interf.
10.8.0.2           None             255.255.255.255     tun0
10.8.0.0          10.8.0.2         255.255.255.0          tun0
192.168.1.0    None             255.255.255.0          eth0
Nella configurazione del client ho messo
route 192.168.1.0 255.255.255.0 10.8.0.2
ed il log del client mi mostra
.....
Notified TAP-Win32 driver to set a DHCP IP/netmask of
10.8.0.6/255.255.255.252
 on interface
Warning: route gateway is not reachable on any active network
adapters: 10.8.0.1
Warning: address 10.8.0.1 is not a network address in relation to
netmask 255.255.255.0
ROUTE: route addition failed using CreateIpForwardEntry: Parametro non
corretto.
Adesso però sono in ufficio e quindi non riesco a fornire o
controllare il corretto funzionamento del collegamento.
Grazie
Biagio

 non ci sono
Eh, forse non ci sei.
Ma se non ci sei, ci fai.
Adieu.


 wrote:
[...]

A finire la diagnostica servirebbero ancora un paio di ifconfig
ipconfig sulle due macchine.
Dal client riesci a pingare il tun del server.
Sul client c'e` una rotta che dica di pasare per il tun
per raggiungere la rete del server?
Andrea

 - Mostra testo citato -
Sì, dal client riesco a fare il ping sul server 192.168.1.180
Sul client ho scritto questo ma non so se va bene
route 10.8.0.2 255.255.255.0 192.168.1.100
Grazie
Biagio


Io intendevo a livello di tabella di routing del sistema operativo,
non nella configurazione del client vpn,
per cui dovrebbe essere una cosa del tipo
# route add -net 
192.168.1.0/24
 gw 10.8.0.1
Poi ci deve essere una corrispondente rotta sulla macchina
che vuoi raggiungere dall'altra parte in modo che i pacchetti una
volta arrivati possano tornare indietro.
Ciao,
Andrea

 wrote:

Grazie Andrea sei gentilisso e molto paziente. Dovresti vedere che
espressione faccio tutte le volte che leggo una vostra richiesta ....
è tutto nuovo per me e quindi a volte non so nemmeno cosa e dove
cercare, ahahahaah
Ora sono in ufficio e per simulare il collegamento alla vpn ho fatto
la chiamata all'IP della LAN anciché all'IP pubblico internert
La tabella di route del portatile mi mostra questo
Route attive:
Indirizzo rete             Mask             Gateway       Interfac.
Metric
          0.0.0.0          0.0.0.0         10.8.0.5        10.8.0.6
1
         10.8.0.0    255.255.255.0         10.8.0.5        10.8.0.6
1
         10.8.0.4  255.255.255.252         10.8.0.6        10.8.0.6
30
         10.8.0.6  255.255.255.255        127.0.0.1       127.0.0.1
30
   10.255.255.255  255.255.255.255         10.8.0.6        10.8.0.6
30
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1
1
      192.168.1.0    255.255.255.0     192.168.1.80    192.168.1.80
20
     192.168.1.80  255.255.255.255        127.0.0.1       127.0.0.1
20
    192.168.1.180  255.255.255.255    192.168.1.200    192.168.1.80
1
    192.168.1.255  255.255.255.255     192.168.1.80    192.168.1.80
20
        224.0.0.0        240.0.0.0         10.8.0.6        10.8.0.6
30
        224.0.0.0        240.0.0.0     192.168.1.80    192.168.1.80
20
  255.255.255.255  255.255.255.255         10.8.0.6        10.8.0.6
1
  255.255.255.255  255.255.255.255         10.8.0.6               2
1
  255.255.255.255  255.255.255.255         10.8.0.6           10006
1
  255.255.255.255  255.255.255.255     192.168.1.80    192.168.1.80
1
Gateway predefinito:          10.8.0.5
Se invece chiudo la VPN la stessa tabella si modifica in
Route attive:
Indirizzo rete             Mask             Gateway       Interfac.
Metric
          0.0.0.0          0.0.0.0    192.168.1.200    192.168.1.80
1
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1
1
      192.168.1.0    255.255.255.0     192.168.1.80    192.168.1.80
20
     192.168.1.80  255.255.255.255        127.0.0.1       127.0.0.1
20
    192.168.1.255  255.255.255.255     192.168.1.80    192.168.1.80
20
        224.0.0.0        240.0.0.0     192.168.1.80    192.168.1.80
20
  255.255.255.255  255.255.255.255     192.168.1.80               4
1
  255.255.255.255  255.255.255.255     192.168.1.80               2
1
  255.255.255.255  255.255.255.255     192.168.1.80    192.168.1.80
1
  255.255.255.255  255.255.255.255     192.168.1.80           10006
1
Gateway predefinito:     192.168.1.200
Grazie
Biagio

 > > route 10.8.0.2 255.255.255.0 192.168.1.100
Non lo so neanch'io (ripeto non sono un esperto, ho messo in piedi
solo una VPN con OpenVPN, che comunque funziona), ma nella sintassi
normale di routing (non mi ricordo in quella di openvpn) si mette
prima la destinazione e poi il gateway, per cui se vuoi raggiungere la
rete 
192.168.1.0/24
 in sintassi normale di route
a riga di comando sarebbe
# route add -net 
192.168.1.0/24
 gw 10.8.0.2

Sembra proprio un problema di routing. Perche' la macchina client XP
all'interno possa raggiungere la VPN per uscire verso il PC fuori deve
avere come default gateaway per la rete 
192.168.2.0/24
 la macchina
Linux che fa da concentratore VPN, altrimenti non funzionera` ne'
l'uscita, ne' l'entrata, nel senso che i pacchetti che arrivano dalla
macchina client VPN all'esterno non avranno una rotta per tornare
indietro.
Ciao

 ciao, f.
Sono d'accordo con te. Però sono proprio all'inizio e l'iterfaccia
grafica (in italiano) mi ha permesso di fare grossi progressi in poco
tempo.
OpenVpn funziona sia sul server che sul client.
Riesco a fare il ping sul server (ip server VPN e ip server lan)
quindi la configurazione è corretta (chiavi comprese).
E' inutile dire che il firewall non mi blocca la porta.
Adesso ho solo due dubbi:
1) uso ufw per gestire la firewall, dovrò aggiungere altre regole? E
se sì quali ?
2) ho copiato tutti gli esempi di route che ho trovato in rete .... ma
nessuno mi ha permesso di raggiungere un pc della lan dietro il
server. Eppure ne ho provati 1000 !!!!
Visto che ci sono due tipi di vpn bridging e routing vorrei un
consiglio:
- uso sempre lo stesso notebook, casa ed ufficio;
- in ufficio uso un programma che risiede su un altro pc che ha il
proprio disco in condivisione, in pratica sul mio desktop ho solo
l'icona che punta al programma sul disco dell'altro pc.
Quale vpn è più indicata per me: bridging o routing?
Grazie
Biagio