Newsgroup: it.comp.reti.locali
Titolo: HELP - OpenVPN

 C:\>ping 192.168.1.2 - Richiesta scaduta.
La versione che uso è la openvpn-2.0.9
Posto le conf del server e del client
SERVER:
server_routed.ovpn
---------------------------------------
port 1194
proto udp
dev tun
dev-node "OpenVPN"
ca ca.crt
cert server.crt
key server.key  # This file should be kept secret
dh dh1024.pem
server 192.168.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.1.0 255.255.255.0"
client-to-client
keepalive 10 120
tls-auth key.txt 0 # This file is secret
comp-lzo
max-clients 10
persist-key
persist-tun
status openvpn-status.log
verb 3
---------------------------------------
CLIENT:
client1_routed.ovpn
---------------------------------------
client
dev tun
dev-node "OpenVPN"
proto udp
remote 81.75.XXX.XXX 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
ns-cert-type server
tls-auth key.txt 1
comp-lzo
verb 3
---------------------------------------
Grazie & Buone Feste
-- 
a.d.c. 

 pingare il ROUTER3 ISDN (192.168.1.2) direttamente dal client1
A naso, e *sempre se ho capito bene*, perchè la cosa funzioni servono 
due cose:
1) che il server openvpn FACCIA ROUTING (ip_forwarding) fra 
l'interfaccia sulla LAN e quella virtuale del tunneling. Questo permette 
al tuo pacchetto ICMP di raggiungere apparati in LAN diversi 
dall'endpoint OpenVPN.
2) che gli apparati sulla LAN *SAPPIANO* instradare correttamente la 
risposta. Il che significa che sappiano che la subnet del tuo client 
(
192.168.2.0/24
) vada raggiunta usando l'endpoint openVPN come gateway, 
piuttosto che il default gateway "solito".
Se ti basta raggiungere UNA particolare macchina potresti aggiungere una 
route statica sulla macchina stessa, viceversa puoi farlo a livello di 
rete intera in modo da non dover impostare la route su tutte le macchine 
in lan. In questo caso il DEFAULT GATEWAY della tua LAN dovrà avere la 
solita route statica. Trattandosi di due gateway sulla stessa subnet, 
tipicamente il router manderà un pacchetto di ICMP REDIRECT alla 
macchina interessata che verdrà "dinamicamente" aggiornarsi le proprie 
tabelle di routing in modo da non "importunare" più il gateway sbagliato.
ciao, f.

 "importunare" più il gateway sbagliato.
Forse non mi sono spiegato, quello che devo raggiungere non è un PC, ma un 
ROUTER3 ISDN (192.168.1.2)
Quindi in questo caso non è possibile giusto?
TNX
--
a.d.c. 

 (192.168.1.2)?
Non vedo perchè no ... ti lascia impostare una route statica ?
ciao, f.

 Menu 12 - IP Static Route Setup
Intanto ti ringrazio delle dritte.
-- 
a.d.c. 

> Menu 12 - IP Static Route Setup
Ok, ottimo.
Non so in che "forma" tu debba inserire la route, in ogni caso 
l'informazione da inserire è:
"per raggiungere la rete 
192.168.2.0/24
, il gateway da usare è 
192.168.1.83". Ovviamente perchè 192.168.1.83 FACCIA *EFFETTIVAMENTE* da 
gateway, devi aver sistemato il punto precedente.
fammi sapere.
ciao, f.

 fammi sapere.
Che dici?
-- 
a.d.c.

 Gli IP che vanno da 192.168.2.0 a 192.168.2.24?
No !
Si intende la *rete* con indirizzo 192.168.2.0 e netmask 255.255.255.0.
/24 perchč se scrivi 255.255.255.0 in *binario* ottieni
11111111.11111111.11111111.00000000
ed i bit a "1" sono i primi 24 da sinistra.
/24 č semplicemente un'abbreviazione per 255.255.255.0, cosě come /16
č abbreviazione di 255.255.0.0. (11111111.11111111.00000000.00000000)
Ti consiglierei un po' di letture sulle *basi* delle reti, le cose da 
sapere *assolutamente* non sono molte nč complicatissime, e la vita ti 
si semplifica parecchio. (beh, la vita da nerd almeno ;) )
ciao, f.

 Direi proprio che ci siamo !
Era troppo bello per essere vero...
Ecco casa ottengo:
C:\>TRACERT 192.168.1.2
Rilevazione instradamento verso 192.168.1.2 su un massimo di 30 punti di 
passaggio
  1   102 ms   133 ms   103 ms  VEGA [192.168.0.1]
  2     *        *        *     Richiesta scaduta.
  3     *        *        *     Richiesta scaduta.
  4     *        *        *     Richiesta scaduta.
Cosa potrebbe essere?? :-/
I firewall e antivirus sono disattivati.
-- 
a.d.c. 

 I firewall e antivirus sono disattivati.
Hmmm. Sto uscendo ;)
Appena ho un sec. di tempo riguardo con calma tutta la config.
DEVE funzionare per forza se č tutto a posto. Il problema č che basta 
*una* cosa "non" a posto. ;)
ciao, f.

 *una* cosa "non" a posto. ;)
Infatti :-)
-- 
a.d.c. 

Se provo a fare il telnet ottengo
C:\>telnet 192.168.1.2
Connessione a 192.168.1.2...Impossibile aprire una connessione con l'host 
sulla
porta 23 : Connessione non riuscita
A questo punto non riesco neanche piu' dal server a rifare il telnet 
192.168.1.2
Devo riavviare il serve per riportare la cosa alla normalita'
Quindi, secondo me, riesco a raggiungere il router in andata, ma la risposta 
non viene correttamente reindirizzata...
-- 
a.d.c. 

 Devo riavviare il serve per riportare la cosa alla normalita'
Mi correggo, dopo un paio di minuti riesco a fare il telnet dal server, 
senza doverlo riavviare
-- 
a.d.c. 

 senza doverlo riavviare
Eccomi ...
Ero via per natale, sono appena tornato ...
Fra oggi e domani mi guardo tutta la config e ci penso un po' su.
Scusa l'attesa, ho un tot. altre di cose da fare ... ;)
ciao, f.

 Scusa l'attesa, ho un tot. altre di cose da fare ... ;)
*FUNZIONA!!!!!!!!!!!!!*
Ecco la regola3 corretta
-----------------------------------
Route #: 3
Route Name= routevpn
Active= Yes
Destination IP Address= 192.168.2.0
IP Subnet Mask= 255.255.*252*.0
Gateway IP Address= 192.168.1.83
Metric= 2
Private= No
-----------------------------------
Riesco a pingare il ROUTER3 alla grande. Ovviamente ora va anche il TELNET!
Ora la conferma al 100% ce l'avro' solo lunedě quando riaccenderenno il 
server4 ISDN raggiunto dal ROUTER3 ISDN
Grazie dell'aiuto ;-)
-- 
a.d.c. 

 IP Subnet Mask= 255.255.*252*.0
!!!
Ma ... non ha alcun senso !!!
Prova a rimettere la netmask di prima ...
Non ha senso che vada cosě ... o meglio ... hai "allargato" la netmask 
... quella corretta era la precedente !!
boh !
ciao, f.

 ... quella corretta era la precedente !!
Boh infatti, cmq aspetto lunedě che mi riaccendino l'altro server ISDN e 
faccio la prova del 9.
Certo che se cosě funziona io lascio cosě.
-- 
a.d.c. 

 netmask ... quella corretta era la precedente !!
Alč non funziona... Era troppo bello.
Ho provato a disabilitare la regola 1
E ho messo la subnet della regola  a 255.255.*255*.0
Ma in questo modo non riesco a pingare il router3
L'unico modo che ho per pingarlo č quello di mettere la subnet mask 
255.255.*252*.0
Non riesco a venirne fuori.. :-/
-- 
a.d.c. 

 a.d.c.
Ciao
hai postato questo:
SERVER:
server_routed.ovpn
---------------------------------------
port 1194
proto udp
dev tun
dev-node "OpenVPN"
ca ca.crt
cert server.crt
key server.key  # This file should be kept secret
dh dh1024.pem
server 192.168.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.1.0 255.255.255.0"
client-to-client
keepalive 10 120
tls-auth key.txt 0 # This file is secret
comp-lzo
max-clients 10
persist-key
persist-tun
status openvpn-status.log
verb 3
---------------------------------------
ok ma:
server 192.168.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.1.0 255.255.255.0"
non conosco come si configura questo file ma questi ip da dove saltano
fuori??? il server non è 192.168.1.83 e il client 192.168.2.112.
Qui: 
http://www.ubuntuserver.it/?cat=5
  ho trovato che server deve
essere la subnet dei client e quindi in teoria invece di 192.168.0.0
255.255.255.0 dovrà essere 192.168.2.0 255.255.255.0 e che push indica
la router per raggiungere il server che nel tuo caso è corretta visto
che la subnet del server è 192.168.1.0 255.255.255.0.
e poi questa route:
------------------------------------------
Route #: 1
Route Name= route
Active= Yes
Destination IP Address= 192.168.3.0
IP Subnet Mask= 255.255.254.0
Gateway IP Address= 172.16.0.1
Metric= 1
Private= No
------------------------------------------
L'hai creata tu? anche qui c'è un 254 anomalo.
Ciao

 L'hai creata tu? anche qui c'è un 254 anomalo.
No mi me l'ha passata chi ha configurato il server 192.168.3.0
Mi ha detto che serviva per dividere 2 reti.
Cmq ora ho messo IP Subnet Mask= 255.255.255.0
Ora il problema che mi rimane è pingare il server 192.168.3.1
Ecco cosa ottengo dal mio PC LIANLI:
C:\>tracert 192.168.3.1
Rilevazione instradamento verso 192.168.3.1
su un massimo di 30 punti di passaggio
  1   101 ms   103 ms   100 ms  VEGA [192.168.2.1]
  2     *        *        *     Richiesta scaduta.
  3   105 ms   104 ms   106 ms  192.168.1.2
  4   144 ms   149 ms   144 ms  172.16.0.1
  5     *        *        *     Richiesta scaduta.
  6     *        *        *     Richiesta scaduta.
Ora dove potrebbe essere il problema?
Ecco lo schema aggiornato della situazione:
http://tinyurl.com/8vu4ad
Il fatto che i 2 PC si chiamino VEGA ma su 2 reti diverse puo' essere un 
problema?
Per instradare il ping verso il router3 ISDN sul mio PC  LIANLI ho aggiunto 
questa regola:
route add 192.168.3.0 mask 255.255.255.0 192.168.2.5
TNX!
-- 
a.d.c. 

 
http://tinyurl.com/8vu4ad
OPS!
Ecco lo schema corretto.
http://tinyurl.com/6w9tso
-- 
a.d.c. 

 route add 192.168.3.0 mask 255.255.255.0 192.168.2.5
Non ho idea di chi sia quel gateway nello schema che hai postato il
dg834g ha come ip 192.168.2.19.comunque raggiungi il router isdn
172.16.0.1 quindi sei ok
Secondo me tutto il problema è dovuto al fatto che l'ip del pc VEGA
sulla sede 3 è 192.168.3.1 e non può comunicare con l'ip 172.16.0.1
senza un router di mezzo.
I pc della sede 3 devono avere ip uguale alla subnet del gateway
altrimenti non funziona, perchè è fuori subnet?
Se ci fosse un router tra il router isdn 4 e il pc VEGA con wan
172.16.0.2 (per esempio) e lan 192.168.3.2 (per esempio) impostando
una semplice route statica sul router isdn 4 route add 192.168.3.0
mask 255.255.255.0 172.16.0.2 allora il ping raggiungerebbe il pc
VEGA.
C'è per caso nella sede 3 un'altro router adsl? con ip 192.168.3.X?
Che casino!!! in pratica serve una route su ogni apparato che fa
routing sia in andata che in ritorno.
Credo che un router può gestire la propria subnet e la subnet remota
specificata nella policy vpn ma non puo avere un route che non con un
gateway non compreso tra queste due subnet.
Con tutti questi ip che non tornano rispetto allo schema non mi
capisco vediamo se riesci a spiegarmi quelle cose che mi sono perso.
Ciao

 capisco vediamo se riesci a spiegarmi quelle cose che mi sono perso.
Spero di averti un po chiarito come funziona. In particolare gli IP che non 
ti tornano.
Se hai qualche idea sul da farsi...
Intanto ti ri-ringrazio ;)
-- 
a.d.c.

 Intanto ti ri-ringrazio ;)
Si un po meglio.
Ci penso su un attimo adesso sono un po incasinato.
Ciao

 Ci penso su un attimo adesso sono un po incasinato.
Ok, tranq.
Una cosa mi viene in mente.
Se invece di una rete con 2.0 e una con 1.0 avessi messo le due reti con 1.0 
e collegate in VPN in modalita' Bridged
Le cose si sarebbe di molto semplificate?
Certo pero' mi piacerebbe arrivarci anche in modalita' Routed come è ora.
-- 
a.d.c. 

 Certo pero' mi piacerebbe arrivarci anche in modalita' Routed come è ora.
Preferisco SEMPRE la modalità routed se posso usarla. Una ragione (ad 
esempio) per usare il bridge potrebbe essere quella di dover far passare 
traffico non "routabile" (ie: broadcasts, netbios, ipx/spx, ecc.).
ciao, f.

*Finalmente* ho risolto.
Pero' ho seguito una strada diversa.
Ho installato ComTun Pro 4.6a (un programma che funziona da 
NAT/Proxy/FIREWALL)
Mi NATTA i pacchetti della lan 1.X verso la lan 2.X
Sul router3 ho lasciato solo questa regola.
Route #: 1
Route Name= route
Active= Yes
Destination IP Address= 192.168.3.0
IP Subnet Mask= 255.255.255.0
Gateway IP Address= 172.16.0.1
Metric= 1
Private= No
-- 
a.d.c. 


Ciao
Hai risolto poi?
Ciao

 Private= No
Ciao
-- 
a.d.c.