Newsgroup: it.comp.os.linux.sys
Titolo: openvpn rotta all'improvviso

salve, ho un canale openvpn tra due sedi che non ha mai dato problemi.
stamattina all'improvviso non funziona piu'.
SERVER A <-------------> SERVER B
l'errore che vedo nei log di SERVER B e' il seguente:
Sep 15 10:23:01 iron ovpn-smartres[6300]: TCP/UDP: Incoming packet
rejected from SERVERA:1024[2], expected peer address: SERVERA:1194
(allow this incoming source address/port by removing --remote or adding
--float)
e analogo errore sulla macchina A.
sono due macchine Debian
A e' una lenny con openvpn                           2.1~rc11-1
B e' una etch con openvpn                  2.0.9-4etch1
l'aggiornamento a lenny della macchina A l'ho fatto tempo fa e quindi
non e' la causa del problema.
#configurazione SERVER B
dev tun
remote $SERVERA
ifconfig 10.99.99.2 10.99.99.1
route 192.168.1.0 255.255.255.0
secret /etc/openvpn/smartres.key
verb 1
ping 10
comp-lzo
fast-io
#configurazione SERVER A
dev tun
remote $SERVERB
ifconfig 10.99.99.1 10.99.99.2
route 192.168.0.0 255.255.255.0
secret /etc/openvpn/chiave.key
verb 1
ping 10
comp-lzo
fast-io

hybris wrote:

Sembra che arrivi un pacchetto dalla porta 1024 anziche' 1194. Prova a 
mettere un esplicito "port 1194" e "local <indirizzio IP locale>" in 
entrambe le configurazioni.

 --float)
Bello OpenVPN.
Ti scrive il problema e anche la soluzione!

 entrambe le configurazioni.
mah....ora va tutto di nuovo con le stesse configurazioni di
prima....non capisco
stamattina hanno ripristinato l'adsl di una delle due macchine....forse
s'era intortato qualcosa....e dire che di restart avevo gia' provato

 Ti scrive il problema e anche la soluzione!
non e' vero...se prima funzionava deve farlo pure adesso... e infatti lo
fa. perche' abbia smesso, quello e' il problema.

 Ti scrive il problema e anche la soluzione!
Rotfll, infatti, eppur non basta. :-)

 non e' vero...se prima funzionava deve farlo pure adesso...
Hai un nick adeguatissimo.

 Hai un nick adeguatissimo.
a me sembra adeguato pure per Voi due.
capirei il Vostro commento se si trattasse di una nuova installazione ma
su di una che funziona da quasi un anno proprio non vedo cosa c'entri.
ma visto che Vi sentite cosi' sicuri e io non ho nessun problema
ad ascoltare e ad imparare da persone piu' brave di me:
mi spiegate se nulla e' cambiato dal giorno alla notte perche' il
problema dovrebbe essere nella conf?
la soluzione proposta dal bravo openvpn non fa altro che
disabilitare il controllo su ip e porta dei pacchetti ricevuti.
mi spiegate in che modo aggirare il problema dovrebbe essere "la
soluzione"?

 ma visto che Vi sentite cosi' sicuri
Sicurezze mai, qualche ipotesi si può fare.
Ti pare plausibile che SERVERA decida di cambiare, per magia, la porta
sorgente, visto che il processo openvpn fa il binding della 1194 e che 
SERVERA fa, appunto, da server?
A me no, e fin qui siamo alla logica elementare.
Cosa potrebbe, dunque, aver causato quella bizzarria?
C'è forse un PAT/NAT di mezzo, nel cammino tra SERVERA e SERVERB?

 Cosa potrebbe, dunque, aver causato quella bizzarria?
A me è capitato che un provider(spagnolo) iniziasse, sua sponte a
bloccare il protocollo IPSEC, impedendo quindi la creazione di un
tunnel. Magari non è il tuo problema, ma potrebbe anche essere che il
tuo provider abbia fatto qualche operazione di manutenzione.

 C'� forse un PAT/NAT di mezzo, nel cammino tra SERVERA e SERVERB?
ci sono due router telecom che forwardano tutto sul relativo server
il problema si e' reso evidente dopo il ripristino di una delle due adsl
nello stesso momento il traffico web era regolare
il problema si e' risolto o da solo o facendo quegli N riavvii di
openvpn che ho fatto provando a spippolare la configurazione
i router non sono stati riavviati
per quel che ne so, e non ne so assolutamente nulla di sta roba, il
problema potrebbe essere stato causato da questo ripristino che a
quanto mi e' dato sapere ha comportato la sostituzione di una generica
scheda in centrale nella giornata di oggi dopo svariati tentativi
"software" ieri

 "software" ieri
Quindi al server il client � giunto da una sorgente inaspettata e visto che 
mancava --float ha rifiutato la connessione.
Come detto da CtRiX openvpn ti ha detto qual'� il problema ed anche come 
risolverlo se dovesse ricapitare in futuro.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 fast-io
entrambe le macchine sono configurate in modalita' client (remote si 
mette sul client, io in genere configuro una delle due come client e 
l'altra come server).
Faccio una ipotesi: a causa del malfunzionamento ADSL di cui hai parlato, 
la vpn è caduta e si e' riattivata 'invertita' (prima SERVER-A client di 
SERVER-B, poi SERVER-B client di SERVER-A). Questo unito a qualche 
differenza su come i router gestiscono la nat potrebbe spiegare il 
fatto... forse.
ciao
riki


non sono d'accordo.
parlando di macchine con ip fisso che parlano da porte fisse, la
standard openvpn, mettere --float e' solo un modo per aggirare un
problema che si sta presentando.
quindi rappresenta si' una soluzione ma non secondo me la giusta
soluzione, va bene per ripristinare il servizio in fretta se vuoi ma
capire il problema alla base sarebbe meglio.

 l'altra come server).
guarda, non saprei... ho seguito un tutorial per creare un
canale vpn tra due reti separate. magari e' sbagliato e funziona per
miracolo...



In poche parole:
- hai seguito un tutorial modello windows (copia e incolla invece di 
click & click)
- non hai capito una mazza su come funziona openvpn
- non leggi il file di log che ti propone la soluzione al problema
- quando sai sia il problema sia la soluzione, non vai a leggerti la 
documentazione ma vieni sul newsgroup a chiedere (pigrizia?)
- sul newsgroup dici che non è cambiato nulla ma non è vero perchè ci 
sono stati problemi
- insisti sulle tue posizioni sbagliate, sottolineando di non capire le 
configurazioni per hai letto un tutorial...
Conclusione:
Ma ci fai o ci sei ?
Non per polemica eh...
Ma prima di far perdere tempo agli altri, muovi almeno un pò il tuo culo.

 Ma prima di far perdere tempo agli altri, muovi almeno un p� il tuo culo.
non per polemica eh... ma smettila di rompere il cazzo. 
hai fatto la tua battutina da scuola media, tra l'altro fuori luogo, ma
hai fatto ridere lo stesso. accontentati di questo.

 l'altra come server).
Come ne "La lettera rubata", era sotto gli occhi di tutti ma è passato
inosservato, e dire che ero convinto di aver letto sul serio le due 
conf, senza *vedere* la cosa più banale.
L'errata configurazione, unita al PAT allegro che fanno molti router, ha
generato il problema; dovrebbe bastare rimuovere il 'remote' su uno dei due.

 l'altra come server).
Mah io metto esplicitamente local e remote in entrambi. L'importante e' che 
uno sia tls-server e l'altro tls-client, e che il parametro "direction" 
della direttiva "tls-auth" (se la usi) sia 1 per un endpoint e 0 per 
l'altro.

 generato il problema; dovrebbe bastare rimuovere il 'remote' su uno dei due.
Quindi devo togliere almeno uno dei due remote per raggiungere
una configurazione corretta della baracca.
Ma in tal caso, se si dovesse presentare il problema sul server su cui
ho rimosso la direttiva, non avrei problemi perche' tollererebbe la
cosa. Se invece si presentasse su quello che ancora ce l'ha non sarei
punto e a capo?
Che poi sta cosa mi e' successa una volta in un anno e ora che lo so
posso anche accettare che accada... e' tanto per capire se e' un
fenomeno inevitabile oppure se devo intervenire ulteriormente sulle
configurazioni.

 capire il problema alla base sarebbe meglio.
Tuttavia, come hai detto tu, le configurazioni sono sempre quelle e 
fisse, ergo qualcosa nel mezzo (magari il tuo ISP, o il router) ha fatto 
casini.
Enrico

 configurazione corretta della baracca.
Uno e solo uno.
Openvpn in configurazione punto-punto prevede che uno dei due attori faccia il server
e l'altro il client.

 e l'altro il client.
certo ovvio. ho sbagliato le parole.
gia' corretta la cosa.

 configurazioni.
L'unico fenomeno sei tu, te l'ho detto.
Studiati sto manuale.