Versão Imprimível
Boas..
Sou novo por estas bandas, mas pelo que li no forum vocês percebem muito..
Tenho um servidor debian com squid+iptables dentro de uma rede com acesso à internet atravês de um router speedtouch 546 sem ip fixo..
Queria ligar 4 pc's windows que estão noutra ligação adsl a esta rede como posso fazer isso?
Configurei o OpenVPN no servidor e instalei a versão windows nos pc's mas não funciona..
Agradeço toda a ajuda..
use o DynDNS.com: DNS Hosting, E-mail Delivery, VPS Hosting and Other Services para poder acessar o servidor por nome; o resto, é só seguir as instruções de configuração do OpenVPN, disponiveis na documentação do site.
Informações como esta: ".. mas não funciona.. " não servem para nada, não são elucidativas ;)
Tem razão peço desculpa por não ter sido mais completo na minha pergunta..
Já estou a utilizar o dyndsn como Host with IP address
Config do Servidor
dev tun
log /etc/openvpn/vpn.log
verb 3
ifconfig 10.0.1.1 10.0.1.2
secret static.key
proto udp
port 22221
comp-lzo
ping 15
persist-tun
persist-key
Config do cliente windows
remote xxx.dyndns.org
dev tun
ifconfig 10.0.1.2 10.0.1.1
secret static.key
proto udp
port 22221
keepalive 10 120
comp-lzo
No iptables tenho
iptables -A INPUT -p udp --dport 22221 -j ACCEPT
iptables -t nat -s 10.0.1.2 -A POSTROUTING -o eth0 -j MASQUERADE
E digo que não funciona porque o cliente windows, tenta fazer a ligação e depois diz inactivity timeout.
Desde já muito obrigado..
bem.. falta pouca coisa, agora. Vou "chutar" de (pouca) memória de quando tive problemas com isso.
a) aumente a verbosidade para 9 (verb 9) ao inves de 3; troque TAMBÉM o item
"log /etc/openvpn/vpn.log" para "log /var/log/openvpn.log" pra ficar mais "civilizado" (rss - se temos um /var/log pra armazenar.. logs, não tem sentido ficar "espalhando pra todo lado", isso aqui NÃO É (R)WINDOWS) - risos.
b) "suba" o servidor MANUALMENTE, e NÃO o deixe ir como 'daemon' que é pra leitura de erros. Isso é simples, basta ler o script de acionamento e fazer tudo manual EXCETO o comando que faz com que seja 'daemon'; com isso, tudo o que acontece fica direto no console. (é qualquer coisa como openvpn -config file /path.. etc)
c) SE 'subir' sem erros, então basta um tail -f /var/log pra acompanharmos as conexões entrantes.
agora (supondo-se que funciona o server):
# netstat -nlpt (confira se está REALMENTE na porta 22221
a partir de um cliente qualquer EXTERNO:
telnet xxx.dyndns.org 22221
claro que vai dar erro, mas pelo menos vc fica sabendo se não há um bloqueio qualquer (se chegar no servidor, claro).
bem, agora a etapa final - a análise do trafego da conexão:
tcpdump -vvi interface_externa -s 0 host ip_addr_do_host_externo udp port 22221
e mande o cliente tentar a conexão.
analise o fluxo de dados.
Qualquer coisa, volte e a gente tenta entender isso - mas traga informações do log e (eventualmente) mensagens de erro.
divirta-se.
executei manualmente da seguinte maneira: openvpn --config /etc/openvpn/server.conf e ele não deu nenhum erro
executei netstat -nlpt para ver se a porta estava a ser utilizada e não aparece
executei o telnet e a determinada altura o log, dá-me o seguinte:
Thu Apr 23 15:40:49 2009 us=375422 I/O WAIT status=0x0020
Thu Apr 23 15:40:49 2009 us=375489 ENCRYPT IV: 239295f3 3f84d15b
Thu Apr 23 15:40:49 2009 us=375544 ENCRYPT FROM: 0000001e 49f07ce1 fa2a187b f3641eb4 cb07ed2d 0a981fc7 48
Thu Apr 23 15:40:49 2009 us=375639 ENCRYPT TO: 239295f3 3f84d15b 21f47ccd eef7a5b8 5db0e465 da168122 b3413bc2 4e5d84e[more...]
Thu Apr 23 15:40:49 2009 us=375687 TCP/UDP: No outgoing address to send packet
Thu Apr 23 15:40:49 2009 us=375718 SENT PING
Thu Apr 23 15:40:49 2009 us=375750 TIMER: coarse timer wakeup 1 seconds
Thu Apr 23 15:40:49 2009 us=375784 RANDOM USEC=108265
Thu Apr 23 15:40:49 2009 us=375819 PO_CTL rwflags=0x0001 ev=3 arg=0x080a5b24
Thu Apr 23 15:40:49 2009 us=375852 PO_CTL rwflags=0x0001 ev=4 arg=0x080a5b20
Thu Apr 23 15:40:49 2009 us=375894 I/O WAIT TR|Tw|SR|Sw [1/108265]
Desculpe a ignorancia, mas sou novo em linux
Na seguinte linha
tcpdump -vvi interface_externa -s 0 host ip_addr_do_host_externo udp port 22221
pelo que substituo host e ip_addr_do_host_externo
executei manualmente da seguinte maneira:
#/etc/init.d/openvpn stop
#openvpn --config /etc/openvpn/server.conf -daemon
e ele não deu nenhum erro
executei
#netstat -nlpt para ver se a porta estava a ser utilizada e não aparece
Desculpe a ignorancia, mas sou novo em linux
Na seguinte linha
tcpdump -vvi interface_externa -s 0 host ip_addr_do_host_externo udp port 22221
pelo que substituo host e ip_addr_do_host_externo
:(
acho que vc precisa prestar mais atenção no que a gente escreve, senão complica:
"#openvpn --config /etc/openvpn/server.conf -daemon"
eu disse NÃO DEIXE ir como daemon.. e vc deixou. Repita o comando SEM o "-daemon", powww...
"Na seguinte linha
tcpdump -vvi interface_externa -s 0 host ip_addr_do_host_externo udp port 22221
pelo que substituo host e ip_addr_do_host_externo"
;) adivinhe..
man tcpdump (aqui vai a titulo de exemplo):
tcpdump -vvi eth0 host 192.168.30.30 and udp and port 22221
óbvio: substitua eth0 pela sua interface ethernet EXTERNA e 192.168.. pelo ip_addr real do cliente (r)windows; se não sabe, remova "host 192.. and " deixe "udp and port.."
e vc NÃO informou o que leu no /var/log/..?
Peço desculpa não tinha percebido bem..Fiz
#/etc/init.d/openvpn stop
# openvpn --config /etc/openvpn/server.conf
# netstat -nlpt
Resultado
Resultado do tail -fCódigo :
Código :
Obrigado pela paciencia
Faltou colocar na configuracao do servidor a opcao local.
esta deve ser a configuracao do servidor:
local xxx.dyndns.org
dev tun
log /etc/openvpn/vpn.log
verb 3
ifconfig 10.0.1.1 10.0.1.2
secret static.key
proto udp
port 22221
comp-lzo
ping 15
persist-tun
persist-key
Config do cliente windows
remote xxx.dyndns.org
dev tun
ifconfig 10.0.1.2 10.0.1.1
secret static.key
proto udp
port 22221
keepalive 10 120
comp-lzo
bem.. pelo que vc observa, no extremo à direita do netstat vc lê pid/servidor; então o que temos lá é que NÃO TEMOS o nome openvpn. Acompanhando o "endereço local" vc observa que NÃO existe o 22221 - entendo que foi a porta que vc escolheu para seu openvpn; tampouco existe ALGUMA porta em UDP, que é como trabalha o OpenVPN na condição normal.
portanto: o OpenVPN não subiu - nem precisamos nos preocupar com o tcpdump ;)
SE a porta que vc informou é a correta, claro, e não tiver alterado o protocolo.
Bem, vamos tentar nos organizar no barraco: o OpenVPN trabalha habitualmente na porta 500 UDP, vc tem alguma razão particular para escolher a 22221 sob tcp (por exemplo)?? se não tem, experimentemos, nem que seja só pra me agradar, a porta 500/UDP (altere seu server.conf)
examine agora o seu log (que - imagino - esteja em /var/log/openvpn.log) seja lá o nome/folder que tenha atribuido a ele. Examine-o CUIDADOSAMENTE, as razões do servidor não se manter aparece ali.
esqueci de dizer:
QUANDO o OpenVPN fica firme e forte, o tun0 (interface virtual) é criada e mantida; se ainda estiver com dúvidas de o Open estar ou não "no ar", faça:
/sbin ifconfig tun0 (mostra caracteristicas dessa interface)
ou apenas o /sbin/ifconfig (mostram TODAS as suas interfaces)
bem, de qualquer forma, examine o log e FAÇA correção daquilo que ele diz que está errado. Daí, tente de novo (nem precisa tcpdump).
Quando vc conseguir manter o server no ar, trataremos do resto.
divirta-se.
Boas..
1) A porta pode ser a padrão. Experimentei com a porta definida no server.conf como 500, até mesmo retirei a definição para ele assumir automaticamente e ele continua a não subir..(Alterei na firewall também a porta) No log continua a aparecer os mesmo valores
2) No ifconfig aparece o seguinte:
Alterei também o server.conf como indicação do amaia..Código :tun0 Link encap:Não Especificado Endereço de HW 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 inet end.: 10.0.1.1 P-a-P:10.0.1.2 Masc:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Métrica:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 colisões:0 txqueuelen:100 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B) tun1 Link encap:Não Especificado Endereço de HW 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 inet end.: 10.0.1.1 P-a-P:10.0.1.2 Masc:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Métrica:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 colisões:0 txqueuelen:100 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
Desde já muito obrigado..
Notei uma coisa..Tentei fazer
# /etc/init.d/openvpn start
e ele retorna failed
Tenho o SQUID + HAVP + IPTABLES
Alguns deles pode estar bloqueando?
No log tenho uma novidade:
Mon Apr 27 10:56:10 2009 us=381865 TCP/UDP: Socket bind failed on local address 87.196.114.193:1500: Cannot assign requested address
hmmm.. há algo estranho aparecendo no ifconfig.
SE vc não criou manualmente as tun0 e tun1 e (pelo que vi) não estão no seu server.conf, de onde surgiram elas? pesquise isso aí direito, inclusive pelo seguinte:
quando o OpenVPN 'sobe' (e fica, claro), ele próprio cria a interface de comunicação (se multiplas, criará de tun0 a tunN). Acontece que suas duas tun estão com o mesmo endereçamento, tanto local quanto p2p (10.0.1.1 P-a-P:10.0.1.2)
Isso NÃO é normal, na verdade uma anomalia que AINDA não havia visto.
se criou manualmente, "descrie" e voltemos para o inicio: start/stop (sem daemon) e, em terminal separado, acompanhe o log.
é provável que essa seja UMA das razões pelas quais o treco não vai pra frente - no seu log menciona isso, se o endereço já existe, não há como atribui-lo.
DEPOIS que o OpenVPN server firmar eu vou me preocupar com o squid, iptables, etc. Até lá, apenas ignore.
Removi o OpenVPN e voltei a instalar..
As ligações desapareceram...
Agora quando tento subir o open manualmente no syslog aparece
Apr 27 13:47:12 servergaf kernel: [12631.113866] tun0: Disabled Privacy Extensions
Apr 27 13:47:17 servergaf ntpd[2819]: Listening on interface #7 tun0, 10.0.1.1#123 Enabled
Apr 27 13:47:56 servergaf kernel: [12675.107206] tun0: Disabled Privacy Extensions
eth0 Link encap:Ethernet Endereço de HW 00:50:fc:39:dd:e4
inet end.: 10.0.0.201 Bcast:10.0.0.255 Masc:255.255.255.0
endereço inet6: fe80::250:fcff:fe39:dde4/64 Escopo:Link
UP BROADCASTRUNNING MULTICAST MTU:1500 Métrica:1
RX packets:614848 errors:0 dropped:0 overruns:0 frame:0
TX packets:672031 errors:0 dropped:0 overruns:0 carrier:0
colisões:0 txqueuelen:1000
RX bytes:289874418 (276.4 MiB) TX bytes:289799892 (276.3 MiB)
IRQ:18 Endereço de E/S:0xd800
lo Link encap:Loopback Local
inet end.: 127.0.0.1 Masc:255.0.0.0
endereço inet6: ::1/128 Escopo:Máquina
UP LOOPBACKRUNNING MTU:16436 Métrica:1
RX packets:406367 errors:0 dropped:0 overruns:0 frame:0
TX packets:406367 errors:0 dropped:0 overruns:0 carrier:0
colisões:0 txqueuelen:0
RX bytes:448497859 (427.7 MiB) TX bytes:448497859 (427.7 MiB)
tun0 Link encap:Não Especificado Endereço de HW 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet end.: 10.0.1.1 P-a-P:10.0.1.2 Masc:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Métrica:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
colisões:0 txqueuelen:100
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
agora ficou normal :D pelo menos no aspecto do server estar 'escutando'. Vamos repetir:
netstat -nlpu (deve aparecer, na ultima coluna, a porta e o daemon do openvpn)
....................^ aqui é mesmo "u"
bem.. então vc está com parte do problema resolvido. Falta só o resto - risos.
veja se o client conecta. Se NÃO conectar, então vamos começar de novo. Ufa.
Muito Obrigado pela paciência..
é o seguinte..quando faço
#openvpn --config /etc/openvpn/server.conf
o tun0 não aparece no ifconfig
O tun0 só aparece no ifconfig depois de fazer #/etc/init.d/openvpn start
O problema é que para o #/etc/init.d/openvpn start não dar erro tenho de retirar a linha #remote xxx.dydns.org do server.conf
Quando faço isso então ele corre..
acho que o colega precisa ler bem a documentação:
aquele "local" - dyndns, etc, é irregular e confunde o servidor - vide HOWTO, logo na primeira linha do exemplo está:
# Which local IP address should OpenVPN
# listen on? (optional)
então vc não precisa mencionar isso, o servidor (provavelmente) vai "se virar" pra identificar isso.
quando muito vc poderia criar uma variavel de ambiente e inseri-la ai, mas dá mais trabalho e, sendo opcional, pra que tanto?
quanto ao script funcionar e o comando on-line não, é POSSIVEL que se deva a isso aí.
então LEIA a documentação, adeque o server.conf a ela e faça (à mão) o 'start' do servidor.
O openvpn no servidor já está a funcionar..
ifconfig
Código :tun0 Link encap:Não Especificado Endereço de HW 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 inet end.: 10.0.1.1 P-a-P:10.0.1.2 Masc:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Métrica:1 RX packets:0 errors:0 dropped:16 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 colisões:0 txqueuelen:100 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
a porta está aberta na firewall
iptables -A INPUT -p udp --dport 1500 -j ACCEPT
mas o cliente não consegue estabelecer a ligação
A opcao local serve para indicar qual ip deve ser feita a conexao, por exemplo se vc tiver mais de uma placa de rede conectada a internet.
Mas como foi dito anteriormente, realmente eh opcional.
bem.. 50% do problema resolvido :)
agora vc fará o seguinte, colocar o tcpdump para olhar as tentivas de conexão e TAMBÉM olhar o log:
# tcpdump -vvi tun0
no caso do log, va alterou o path e a verbosidade pra que ele possa "contar" tudo o que acontece?
é realmente porta 1500 definida no server.conf?
após isso, peça ao cliente para acessar UMA UNICA VEZ. Analise o resultado do tcpdump e LEIA atentamente o log
informe:
errro que aparecer em AMBOS (qualquer erro).
erro que o cliente recebe na sua *UNICA* tentativa.