Newsgroup: it.comp.reti.locali
Titolo: openvpn: alcune domande per esperti

come da alcuni di voi consigliato, ho studiato un po openvpn, per poter 
risolvere il problema della vpn win2k server di cui ho scritto qui 
qualche giorno fa (mancato accesso da + di un client dalla stessa sede 
remota).
sono riuscito a tirare su un servizio di tipo routed (sul web trovavo 
solo guide per la bridged, ma capito il meccanismo basta studiare un po 
il file di configurazione per ottenere il risultato). il servizio è 
attivo sul mio server dell'ufficio, dove sul router ho appositamente 
configurato la porta udp1194.
ho fatto delle prove dal mio pc di casa, e qui arriva la prima domanda:
- perchè dal mio pc, con 1 scheda di rete fisica, 2 schede di rete di 
vmware, + quella di openvpn, il client si connette ma non riesco a 
pingare e quindi vedere il server?
da due maccchine virtuali xp (guest sulla macchina di cui sopra host) 
invece tutto funziona perfettamente, anche entrambe contemporaneamente.
andiamo avanti. per fare altre prove, mi sono collegato in remoto (a 
loro insaputa :D) a server di miei client, installando e configurando 
il client Ovpn. benissimo, si collegano senza problemi, ma solo al 
primo tentativo. se infatti mi disconetto e riconnetto, si collegano ma 
non pingano + il server. per quale motivo? non c'è attivo nessun 
firewall, si tratta solo di due macchine win2003 server.
ultima domanda, e forse la + importante. è possibile impostare la parte 
server di openvpn per autoavviarsi e autoconnettersi come servizio, 
quindi indipendentemte dal fatto che qualcuno faccia login sul server 
stesso? sarebbe molto importante
spero che mi sappiate aiutare o almeno reindirizzare su qualche forum 
dedicato.

 stesso ?
Sistema prima il funzionamento. E su roba *TUA*.
ciao, f.

 Le chiami "per nome" o "per ip" ?
per ip 10.8.0.1
tutti gli esperimenti attuali sono contattando questo ip, ovvero quello 
della scheda di rete openvpn del server.
in realtà, a parte il file hosts, non avrei nemmeno idea di come 
tramutare quell'ip in nome macchina, ma è una cosa che mi interessa 
relativamente anche appena riesco a farlo andare in produzione
ti ringrazio e mi scuso per la lunghezza del post

        Server DHCP . . . . . . . . . . . . . : 0.0.0.0
Questo è un problema.
La configurazione mi sembra a posto, fra l'altro.
Non si prende nemmeno l'ip via dhcp. Prova a guardare le log (server e 
client) tarando un po' il parametro "verb".
Se in "pannello di controllo" -> "rete" disabiliti l'interfaccia di rete 
e la riabiliti,  che succede ?
Magari quando fai le prove, per essere sicuro di partire "pulito" 
elimina  dal client le route relative alla rete openvpn (nel tuo caso 
10.8.0.0/24
, ie: "route delete 10.8.0.x"), e riavvia openvpn sul server.
ciao, f.

 "route delete 10.8.0.x"), e riavvia openvpn sul server.
scusa l'ignoranza, come elimino queste route?
solo un altra cosa: mi sai cmq dire se è possibile trasformare openvpn 
in servizio in modo che parta e si connette indipendentemente 
dall'accesso interattivo? per me sarebbe una cosa praticamente 
fondamentale lato server.
grazie mille, ciao.

 fondamentale lato server.
Ci mancherebbe che non si potesse...
Tuttavia non ho mai implementato la parte server su Windows. Prova a
leggere la documentazione. In Linux la soluzione a questo è
assolutamente banale.
ciao, f.


guarda, la soluzione dovrebbe essere banale, nel senso che non avevo 
notato che automaticamente viene creato sulla macchina win un servizio 
chiamato openvpn, che da quanto dice la documentazione, una volta 
avviato non fa altro che leggere il (oppure i) files di configurazione 
presenti e connettersi. dalla mia macchina virtuale però, se mi 
connetto senza avere eseguito l'accesso interattivo al server, il 
client ovpn si connette ma non pinga (lo stesso comportamento della 
macchina fisica, se non fosse che su quella virtuale se lancio 
manualmente la parte server si collega senza problemi). una volta fatto 
l'accesso interattivo, stoppo il servizio, avvio da GUI, poi 
disconetto, rifaccio partire il servizio, e a questo punto va anche 
senza GUI...molto strano.
comunque possiamo tenere questo problema per dopo, a meno che tu non 
pensi che possano essere collegati.
grazie davvero ancora, ti sono molto grato per l'aiuto e per la 
velocita delle risposte (oltre che scusarmi per la lunghezza estrema 
dei post)

 pensi che possano essere collegati.
Non credo siano collegati ... qua non ne ho proprio idea, non l'ho 
proprio mai usato da windows come servizio. M'e' capitato windows solo 
come client in situazioni in cui andava bene che fosse l'utente a 
connettersi dopo la login.
ciao, f.


ripeto, da manuale dovrebbe essere banale, ma ieri sera ho fatto mille 
prove e mille riavvii del mio server per cercare di capire cosa 
causasse l'anomalia. in sostanza, se openvpn viene avviato come 
servizio prima del logon, la scheda ethernet relativa non si assegna 
10.8.0.1 ma un indirizzo ip privato automatico (il classico 
169.xxx.xxx.xxx). dal registro eventi di windows mi viene segnalato che 
questo comportamento è dovuto al fatto non c'è nessun server dhcp 
disponibile. non vorrei che questa anomalia sia legata al fatto che il 
mio server dell'ufficio è già un server dhcp...
ho provato quindi a far partire ovpn server da riga di comando (tramite 
un batch in esecuzione automatica), ma l'anomalia rimane...
l'unica soluzione "funzionante" (ma piuttosto bruttarella) che ho 
trovato alla fine, è stata quella di far partire, sempre in esecuzione 
automatica e intervellati di 30 secondi, rispettivamente:
- il servizio openvpn
- un "ipconfig /renew" relativo all'interfaccia openvpn
- un restart del servizio openvpn
solo con questa sequenza di comandi inserita in un batch sono riuscito 
a ottenere un avvio corretto della parte server senza intervento 
dell'utente. ripeto, la soluzione è schifosa, ma mi può anche stare 
bene.
grazie ancora, ti aggiorno in serata sull "duplicate-cn" e sulla 
versione "beta", dopo di che direi che lasciamo perdere visto che per 
fortuna la mia macchina non dovrà essere un client di questa rete. mi 
spiace non andare in fondo al problema, ma ti sto facendo perdere un 
sacco di tempo...


ecco, ho commentato la riga "duplicate-cn" sul server, ho riavviato il 
servizio, ho disinstallato la versione stable dal client, riavviato e 
installato l'ultima beta disponibile, ma non è cambiato nulla: non si 
prende l'ip.
niente, mi rassegnerò che sulla mia macchina fisica non si può fare, 
amen.
mi piacerebbe molto di + risolvere il problema lato server, ma come 
detto ho trovato una soluzione-tampone della quale mi posso 
accontentare.
domani o settimana prossima lo provo a mettere "in produzione" dal 
client, cosi se tutto va butto quella fogna di hamachi.
grazie davvero
cia

 vorrei evitare di creare un certificato per ogni client (
Non mi pare una scelta saggia.
Con easy-rsa ti ci vogliono tre secondi a certificato; utilizzando
certificati diversi, puoi avere un controllo molto maggiore, come
la revoca di un singolo certificato, l'utilizzo di ccd e quindi la 
possibilità di regole di filtering ad hoc per ciascun common name
eccetera.

 client ovpn
Prova un po' a disabilitare il firewall di windows sulla interfaccia tap...

Sembra che whiplash abbia detto :

ok, ci sto, grazie per il suggerimento :)
però in realtà in questo thread stavamo parlando del problema che il 
mio client non si connette, e non è legato purtroppo a quel parametro.
sai mica aiutarmi inoltre con l'avvio automatico del servizio per 
favore?

 eccetera.
Quoto, come avevo già scritto.
Whiplash, hai idee per il suo problema ?
Uso spessissimo openvpn, l'avrò "deployato" una ventina di volte in
produzione e non mi è mai capitato niente del genere !
A me sembra un problema legato al driver dell'interfaccia virtuale ...
ma ho finito le idee. ;(
ciao, f.

Scriveva whiplash venerdì, 16/01/2009:

so che il thread è diventato piuttosto lungo, cmq ho già provato a 
disabilitare windows firewall sia sulla sola interfaccia "openvpn", sia 
completamente, ma il risultato non è cambiato.

 ma ho finito le idee. ;(
Posso suggerire io?
Crea una partizione o oppure su un altro disco pulito.
Installaci windows e basta.
Prova a installarci OpenVPN e vedi se ha gli stessi comportamenti.
Ho avuto un'esperienza vagamente analoga su un XP x64...
-- 
a.d.c. 

 Prova a installarci OpenVPN e vedi se ha gli stessi comportamenti.
[..]
AAAAhhhhh !!!
*ORA RICORDO* perchè ho mollato win, un sacco di anni fa. ;)
Si, come consiglio può andare, anche secondo me il problema non sembra
essere strettamente in openvpn ...
Comunque ho un consiglio "migliore" ...
* GET A MAC ! * ;-P
ciao, f.

 Prova un po' a disabilitare il firewall di windows sulla interfaccia tap...
[..]
Mi pare questo l'abbia già fatto. ;(
ciao, f.

astro.del.cielo ha spiegato il 16/01/2009 :

vi ringrazio del consiglio, ma la cosa cosi diventa lllllllunnnga, e 
non ho molto tempo da dedicarci (come si può notare dai post 
serali/notturni).
non è cosi importante che la mia macchina si connetta, in fin dei conti 
a me interessava capire il funzionamento per poterlo mettere "in 
produzione" da un cliente, e penso di aver capito tutti i meccanismi 
che mi interessano (tranne quel dettaglio dell'errore che ho se faccio 
partire openvpn come servizio, che mi fastidia non poco).
del resto se le macchine virtuali guest che pur sono ospitate sull'host 
che non si connette, vanno alla grande, è molto probabile che appunto 
sia un problema della mia macchina xp, come suggerito da voi.
il cliente sta per cambiare adsl, e dovrò fare un salto per configurare 
la nuova 20mbit, cogliendo l'occasione di implementare openvpn. spero 
che vada tutto bene, male che va c'è sempre hamachi che per ora il suo 
sporco lavoro lo sta facendo da 10 giorni...