Openvpn inicia e pára!

[mauriciommagalhaes]

Ola a todos,

Ja esgotei todas aminha forças tentando resolver isso, tenhoum openvpn server instalado e os clientes windows xp com openvpn-gui instado, uso os certificado TLS, quando peço p/ conectar no servidor, o cliente no windows funciona, e eu pingo pra interface tun0 do meu servidor, porem depois de um tempo +- 10 seg. ele pára de pingar, só preciso pingar na interface onde tem meu serviço, pois como é um colocation eu não tenho rede interna atrás dele. porem não necessit de um masquerade. preciso de ajuda,/
Outros servidores meus tambem estao com o mesmo problema. isso virou constante

Conf Server

# IP e porta do servidor
local <IP DO SERVER>
port 2430
proto udp
dev tun

ca /etc/openvpn/chaves/keys/ca.crt
cert /etc/openvpn/chaves/keys/asterisk.crt
key /etc/openvpn/chaves/keys/asterisk.key
dh /etc/openvpn/chaves/keys/dh1024.pem

client-config-dir /etc/openvpn/ccd
server 10.9.0.0 255.255.255.0
client-to-client
keepalive 10 120
comp-lzo
max-clients 15
user nobody
group nobody
cipher AES-256-CBC
persist-key
persist-tun
status /var/log/openvpn-status.log
log /var/log/openvpn.log
log-append /var/log/openvpn.log
verb 6

cONF CLIENTE WINXP

client
dev tun
proto udp
remote <IP DO SERVER> 2430
resolv-retry infinite
nobind
persist-key
persist-tun
ca catrab.crt
cert mautrab.crt
key mautrab.key
cipher AES-256-CBC
ns-cert-type server
comp-lzo
verb 3

[mauriciommagalhaes]

Ps: Cada um tem seu certificado.

[mauriciommagalhaes]

PErcebi agora que a rota no windows cai

Logo a pos a conexão estabelecer

Rotas ativas:
Endere‡o de rede M scara Ender. gateway Interface Custo
0.0.0.0 0.0.0.0 10.32.76.10 10.32.76.3 20
10.9.0.0 255.255.255.0 10.9.0.18 3 1
10.9.0.16 255.255.255.252 10.9.0.16 3 30
10.9.0.17 255.255.255.255 127.0.0.1 127.0.0.1 30
...

Qaundo cai a conexão


Rotas ativas:
Endere‡o de rede M scara Ender. gateway Interface Custo
0.0.0.0 0.0.0.0 10.32.76.10 10.32.76.3 20
10.9.0.16 255.255.255.252 10.9.0.17 10.9.0.17 30
10.9.0.17 255.255.255.255 127.0.0.1 127.0.0.1 30
...

[irado]

de a partida no servidor com a opção de no-daemon e -verbose (openvpn --help mostra) e acompanhe as ocorrencias. Em ultimo caso, partida normal e acompanhando pelo log; e, salvo engano, as opções do log são 0 3 e 9, não sei se 6 (como vc colocou) funciona.

[Duca]

Isso mesmo.
Cola o log aqui, senão fica díficlde saber.
Além disso, veja se os relógios estão certos/sincronizados.
Já tentou usar o protocolo TCP?

Ab, Duca.

[mauriciommagalhaes]

Olha só, mudei o verbose do server para 3 igual ao dos clients e parece que resolveu, mas to monitorando pra vÊ se occorre, caso volte a dar problema eu posto nesse mesmo post.

Agradeço a todos

[Duca]

Olha só, mudei o verbose do server para 3 igual ao dos clients e parece que resolveu, mas to monitorando pra vÊ se occorre, caso volte a dar problema eu posto nesse mesmo post.

Agradeço a todos

O nível de verbose, não deveria (???) resolver o problema, ele apenas configura o nível de detalhamento do log.

Bom, ainda bem que resolveu.

Ab, Duca.

[mauriciommagalhaes]

Não resolveu mesmo continua, a rota cai no windows. no serviço openvpn nao acusa erro nenhum
O windows simplesmente, perde a rota! se eu colocra manualmente funciona.
LOG

Mon Dec 8 09:03:16 2008 MULTI: multi_create_instance called
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Re-using SSL/TLS context
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 LZO compression initialized
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Control Channel MTU parms [ L:1558 D:138 EF:38 EB:0 ET:0 EL:0 ]
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Data Channel MTU parms [ L:1558 D:1450 EF:58 EB:135 ET:0 EL:0 AF:3/1 ]
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Local Options hash (VER=V4): 'a8f55717'
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Expected Remote Options hash (VER=V4): '22188c5b'
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 TLS: Initial packet from 189.47.198.150:3936, sid=80ab6fea b5df43d2
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 VERIFY OK: depth=1, /C=BR/ST=BA/L=SALVADOR/O=ASTERISK_PESSOAL/CN=asterisk/[email protected]
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 VERIFY OK: depth=0, /C=BR/ST=BA/O=ASTERISK_PESSOAL/CN=mautrab/[email protected]
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Data Channel Encrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Data Channel Decrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Mon Dec 8 09:03:16 2008 189.47.198.150:3936 [mautrab] Peer Connection Initiated with 189.47.198.150:3936
Mon Dec 8 09:03:16 2008 MULTI: new connection by client 'mautrab' will cause previous active sessions by this client to be dropped. Remember to use the --duplicate-cn option if you want multiple clients using the same certificate or username to concurrently connect.
Mon Dec 8 09:03:16 2008 OPTIONS IMPORT: reading client specific options from: /etc/openvpn/ccd/mautrab
Mon Dec 8 09:03:16 2008 MULTI: Learn: 10.9.0.17 -> mautrab/189.47.198.150:3936
Mon Dec 8 09:03:16 2008 MULTI: primary virtual IP for mautrab/189.47.198.150:3936: 10.9.0.17
Mon Dec 8 09:03:18 2008 mautrab/189.47.198.150:3936 PUSH: Received control message: 'PUSH_REQUEST'
Mon Dec 8 09:03:18 2008 mautrab/189.47.198.150:3936 SENT CONTROL [mautrab]: 'PUSH_REPLY,route 10.9.0.0 255.255.255.0,topology net30,ping 10,ping-restart 120,ifconfig 10.9.0.17 10.9.0.18' (status=1)

[irado]

"Mon Dec 8 09:03:16 2008 189.47.198.150:3936 [mautrab] Peer Connection Initiated with 189.47.198.150:3936
Mon Dec 8 09:03:16 2008 MULTI: new connection by client 'mautrab' will cause previous active sessions by this client to be dropped. Remember to use the --duplicate-cn option if you want multiple clients using the same certificate or username to concurrently connect."

apesar do que vc diz - não haver erros no log - ainda acho que é bom vc procurar POR QUE seu cliente busca uma segunda conexão, que faz cair a primeira, como está bem claro na mensagem acima.

Na dúvida, faça como mencionado no log - estabeleça a viabilidade de certificação duplicada (--duplicate-cn option) enquanto vai analisar DEPOIS a causa real do problema.

Não mexa no servidor OpenVPN, o problema está no cliente.

[mauriciommagalhaes]

Olá irado, com certeza é dupla conexão?? pergunto porqueesse certificado foi criado e só instalaei em minha estação, não existe outra estação utilizando ela, nas minhas configurações de usua´rios esta assim /etc/openvpn/ccd/mautrab

ifconfig-push 10.9.0.17 10.9.0.18
#duplicate-cn

[irado]

certeza não tenho de nada - e provavel que seja apenas uma informação e não um aviso; de qualquer forma, até esse trecho final de log que vc coloca nao há indicação de um erro que causasse a perda da conexão. Ainda acho que vc deveria pedir log com "9" (bem falante) e, quando estabelecida a conexão, pingar para o outro lado do tunel a partir de outra maquina PASSANDO pelo servidor. Colocar tcpdump capturando o trafego e analisa-lo com o wireshark; experimentar o tunel com outro certificado e/ou mais um cliente.

[Duca]

Mon Dec 8 09:03:16 2008 MULTI: new connection by client 'mautrab' will cause previous active sessions by this client to be dropped. Remember to use the --duplicate-cn option if you want multiple clients using the same certificate or username to concurrently connect.

Cara, primeiramente esse tipo de aviso não devia nem aparecer. ele indica que tem outro cliente tentando conectar na VPN com a mesma chave. Mesmo você tendo certeza de que criou só uma chave. Recrie as chaves novamente e teste novamente a VPN.

Lembre-se que o COMMON-NAME é único!

Outra opção, é descomentar a linha #duplicate-cn, SOMENTE com fins de experimentação, veja se aviso reaparece.

Outra coisa, você NÃO pode usar o log ou log-append ao mesmo tempo. Ou um ou outro, o servidor não suporta os dois simultaneamente.

log /var/log/openvpn.log
log-append /var/log/openvpn.log

Ab, Duca.

[mauriciommagalhaes]

Olá Duka.

removi um dos logs que você mencionou, porém continua a mesma coisa, quanto a CN, eu sempre coloco diferente em cada usuarios criado, na verdade em cada usuario o cn eu coloco o proprio nome do usuário, pois se colocar o mesmo cn em certificados diferentes ele não deixa gerar.

quando reinicio o OPENVPN, e log apos peço para o cliente windows conectar o log aparece sem a linha de MULTI. assim:

Wed Dec 10 08:31:24 2008 189.47.198.150:2283 Re-using SSL/TLS context
Wed Dec 10 08:31:24 2008 189.47.198.150:2283 LZO compression initialized
Wed Dec 10 08:31:24 2008 189.47.198.150:2283 Control Channel MTU parms [ L:1558 D:138 EF:38 EB:0 ET:0 EL:0 ]
Wed Dec 10 08:31:24 2008 189.47.198.150:2283 Data Channel MTU parms [ L:1558 D:1450 EF:58 EB:135 ET:0 EL:0 AF:3/1 ]
Wed Dec 10 08:31:24 2008 189.47.198.150:2283 Local Options hash (VER=V4): 'a8f55717'
Wed Dec 10 08:31:24 2008 189.47.198.150:2283 Expected Remote Options hash (VER=V4): '22188c5b'
Wed Dec 10 08:31:24 2008 189.47.198.150:2283 TLS: Initial packet from 189.47.198.150:2283, sid=da671c84 e2fdc245
Wed Dec 10 08:31:25 2008 189.47.198.150:2283 VERIFY OK: depth=1, /C=BR/ST=BA/L=SALVADOR/O=ASTERISK_PESSOAL/CN=asterisk/[email protected]
Wed Dec 10 08:31:25 2008 189.47.198.150:2283 VERIFY OK: depth=0, /C=BR/ST=BA/O=ASTERISK_PESSOAL/CN=mautrab/[email protected]
Wed Dec 10 08:31:25 2008 189.47.198.150:2283 Data Channel Encrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Wed Dec 10 08:31:25 2008 189.47.198.150:2283 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Dec 10 08:31:25 2008 189.47.198.150:2283 Data Channel Decrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Wed Dec 10 08:31:25 2008 189.47.198.150:2283 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Dec 10 08:31:25 2008 189.47.198.150:2283 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Wed Dec 10 08:31:25 2008 189.47.198.150:2283 [mautrab] Peer Connection Initiated with 189.47.198.150:2283
Wed Dec 10 08:31:25 2008 mautrab/189.47.198.150:2283 OPTIONS IMPORT: reading client specific options from: /etc/openvpn/ccd/mautrab
Wed Dec 10 08:31:25 2008 mautrab/189.47.198.150:2283 MULTI: Learn: 10.9.0.17 -> mautrab/189.47.198.150:2283
Wed Dec 10 08:31:25 2008 mautrab/189.47.198.150:2283 MULTI: primary virtual IP for mautrab/189.47.198.150:2283: 10.9.0.17
Wed Dec 10 08:31:26 2008 mautrab/189.47.198.150:2283 PUSH: Received control message: 'PUSH_REQUEST'
Wed Dec 10 08:31:26 2008 mautrab/189.47.198.150:2283 SENT CONTROL [mautrab]: 'PUSH_REPLY,route 10.9.0.0 255.255.255.0,topology net30,ping 10,ping-restart 120,ifconfig 10.9.0.17 10.9.0.18' (status=1)
==========================================================

Mas apos desconectar o cliente e conectar de novo aparece com o MULTI assim:

Wed Dec 10 08:34:28 2008 MULTI: multi_create_instance called
Wed Dec 10 08:34:28 2008 189.47.198.150:2308 Re-using SSL/TLS context
Wed Dec 10 08:34:28 2008 189.47.198.150:2308 LZO compression initialized
Wed Dec 10 08:34:28 2008 189.47.198.150:2308 Control Channel MTU parms [ L:1558 D:138 EF:38 EB:0 ET:0 EL:0 ]
Wed Dec 10 08:34:28 2008 189.47.198.150:2308 Data Channel MTU parms [ L:1558 D:1450 EF:58 EB:135 ET:0 EL:0 AF:3/1 ]
Wed Dec 10 08:34:28 2008 189.47.198.150:2308 Local Options hash (VER=V4): 'a8f55717'
Wed Dec 10 08:34:28 2008 189.47.198.150:2308 Expected Remote Options hash (VER=V4): '22188c5b'
Wed Dec 10 08:34:28 2008 189.47.198.150:2308 TLS: Initial packet from 189.47.198.150:2308, sid=2d5aa42c 266087a4
Wed Dec 10 08:34:29 2008 189.47.198.150:2308 VERIFY OK: depth=1, /C=BR/ST=BA/L=SALVADOR/O=ASTERISK_PESSOAL/CN=asterisk/[email protected]
Wed Dec 10 08:34:29 2008 189.47.198.150:2308 VERIFY OK: depth=0, /C=BR/ST=BA/O=ASTERISK_PESSOAL/CN=mautrab/[email protected]
Wed Dec 10 08:34:29 2008 189.47.198.150:2308 Data Channel Encrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Wed Dec 10 08:34:29 2008 189.47.198.150:2308 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Dec 10 08:34:29 2008 189.47.198.150:2308 Data Channel Decrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Wed Dec 10 08:34:29 2008 189.47.198.150:2308 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Dec 10 08:34:29 2008 189.47.198.150:2308 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Wed Dec 10 08:34:29 2008 189.47.198.150:2308 [mautrab] Peer Connection Initiated with 189.47.198.150:2308
Wed Dec 10 08:34:29 2008 MULTI: new connection by client 'mautrab' will cause previous active sessions by this client to be dropped. Remember to use the --duplicate-cn option if you want multiple clients using the same certificate or username to concurrently connect.
Wed Dec 10 08:34:29 2008 OPTIONS IMPORT: reading client specific options from: /etc/openvpn/ccd/mautrab
Wed Dec 10 08:34:29 2008 MULTI: Learn: 10.9.0.17 -> mautrab/189.47.198.150:2308
Wed Dec 10 08:34:29 2008 MULTI: primary virtual IP for mautrab/189.47.198.150:2308: 10.9.0.17
Wed Dec 10 08:34:30 2008 mautrab/189.47.198.150:2308 PUSH: Received control message: 'PUSH_REQUEST'
Wed Dec 10 08:34:30 2008 mautrab/189.47.198.150:2308 SENT CONTROL [mautrab]: 'PUSH_REPLY,route 10.9.0.0 255.255.255.0,topology net30,ping 10,ping-restart 120,ifconfig 10.9.0.17 10.9.0.18' (status=1)
=========================================================================

Independente de estar com o MUTI ou sem MULTI no log o windows perde a rota como descrevi no post anterior.

Isso esta acontecendo comigo em outros servidores tbem inclusive com distribuições diferentes

Agradeço a sua atenção.

Maurício

[mauriciommagalhaes]

Esqueci,

ao colocar a linha duplicate-cn o log gera ao cliente logar um erro

"Options error: option 'duplicate-cn' cannot be used in this context"

assim :

Wed Dec 10 08:41:32 2008 /sbin/ip route add 10.9.0.0/24 via 10.9.0.2
Wed Dec 10 08:41:32 2008 Data Channel MTU parms [ L:1558 D:1450 EF:58 EB:135 ET:0 EL:0 AF:3/1 ]
Wed Dec 10 08:41:32 2008 GID set to nobody
Wed Dec 10 08:41:32 2008 UID set to nobody
Wed Dec 10 08:41:32 2008 Socket Buffers: R=[135168->131072] S=[135168->131072]
Wed Dec 10 08:41:32 2008 UDPv4 link local (bound): 201.20.20.22:2430
Wed Dec 10 08:41:32 2008 UDPv4 link remote: [undef]
Wed Dec 10 08:41:32 2008 MULTI: multi_init called, r=256 v=256
Wed Dec 10 08:41:32 2008 IFCONFIG POOL: base=10.9.0.4 size=62
Wed Dec 10 08:41:32 2008 Initialization Sequence Completed
Wed Dec 10 08:41:43 2008 MULTI: multi_create_instance called
Wed Dec 10 08:41:43 2008 189.47.198.150:2400 Re-using SSL/TLS context
Wed Dec 10 08:41:43 2008 189.47.198.150:2400 LZO compression initialized
Wed Dec 10 08:41:43 2008 189.47.198.150:2400 Control Channel MTU parms [ L:1558 D:138 EF:38 EB:0 ET:0 EL:0 ]
Wed Dec 10 08:41:43 2008 189.47.198.150:2400 Data Channel MTU parms [ L:1558 D:1450 EF:58 EB:135 ET:0 EL:0 AF:3/1 ]
Wed Dec 10 08:41:43 2008 189.47.198.150:2400 Local Options hash (VER=V4): 'a8f55717'
Wed Dec 10 08:41:43 2008 189.47.198.150:2400 Expected Remote Options hash (VER=V4): '22188c5b'
Wed Dec 10 08:41:43 2008 189.47.198.150:2400 TLS: Initial packet from 189.47.198.150:2400, sid=6cc5d9ad c30ab912
Wed Dec 10 08:41:44 2008 189.47.198.150:2400 VERIFY OK: depth=1, /C=BR/ST=BA/L=SALVADOR/O=ASTERISK_PESSOAL/CN=asterisk/[email protected]
Wed Dec 10 08:41:44 2008 189.47.198.150:2400 VERIFY OK: depth=0, /C=BR/ST=BA/O=ASTERISK_PESSOAL/CN=mautrab/[email protected]
Wed Dec 10 08:41:44 2008 189.47.198.150:2400 Data Channel Encrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Wed Dec 10 08:41:44 2008 189.47.198.150:2400 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Dec 10 08:41:44 2008 189.47.198.150:2400 Data Channel Decrypt: Cipher 'AES-256-CBC' initialized with 256 bit key
Wed Dec 10 08:41:44 2008 189.47.198.150:2400 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Dec 10 08:41:44 2008 189.47.198.150:2400 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Wed Dec 10 08:41:44 2008 189.47.198.150:2400 [mautrab] Peer Connection Initiated with 189.47.198.150:2400
Wed Dec 10 08:41:44 2008 mautrab/189.47.198.150:2400 OPTIONS IMPORT: reading client specific options from: /etc/openvpn/ccd/mautrab
Wed Dec 10 08:41:44 2008 mautrab/189.47.198.150:2400 Options error: option 'duplicate-cn' cannot be used in this context
Wed Dec 10 08:41:44 2008 mautrab/189.47.198.150:2400 MULTI: Learn: 10.9.0.17 -> mautrab/189.47.198.150:2400
Wed Dec 10 08:41:44 2008 mautrab/189.47.198.150:2400 MULTI: primary virtual IP for mautrab/189.47.198.150:2400: 10.9.0.17
Wed Dec 10 08:41:45 2008 mautrab/189.47.198.150:2400 PUSH: Received control message: 'PUSH_REQUEST'
Wed Dec 10 08:41:45 2008 mautrab/189.47.198.150:2400 SENT CONTROL [mautrab]: 'PUSH_REPLY,route 10.9.0.0 255.255.255.0,topology net30,ping 10,ping-restart 120,

[Duca]

Cara, dá uma olhada aqui.

ca /etc/openvpn/chaves/keys/ca.crt
cert /etc/openvpn/chaves/keys/asterisk.crt
key /etc/openvpn/chaves/keys/asterisk.key
dh /etc/openvpn/chaves/keys/dh1024.pem
....
ca catrab.crt
cert mautrab.crt
key mautrab.key

Salve engano, o cliente e servidor compartilham a mesma chave pública, logo o parãmtero ca dos dois tem que ter mesma chave, logo deveria ser:

ca /etc/openvpn/chaves/keys/ca.crt
cert /etc/openvpn/chaves/keys/asterisk.crt
key /etc/openvpn/chaves/keys/asterisk.key
dh /etc/openvpn/chaves/keys/dh1024.pem
....
ca ca.crt
cert mautrab.crt
key mautrab.key

Tirado do openvpn how-to:

Key Files

Now we will find our newly-generated keys and certificates in the keys subdirectory. Here is an explanation of the relevant files:
Filename Needed By Purpose Secret
ca.crt server + all clients Root CA certificate NO
ca.key key signing machine only Root CA key YES
dh{n}.pem server only Diffie Hellman parameters NO
server.crt server only Server Certificate NO
server.key server only Server Key YES
client1.crt client1 only Client1 Certificate NO
client1.key client1 only Client1 Key YES
client2.crt client2 only Client2 Certificate NO
client2.key client2 only Client2 Key YES
client3.crt client3 only Client3 Certificate NO
client3.key client3 only Client3 Key YES

---------------

Veja se isto está influenciando em alguma coisa.
Você tem outras máquinas windows ligadas a esta VPN?

Ab, Duca.

[mauriciommagalhaes]

DUca,

O ca.crt e catrab.crt, são o mesmo arquivo internamente, porem so fiz renomear, para poder diferenciar de outros ca's de outros servidore, logico que poderia colocar eles dentro de diretório específico, mas não fiz isso influenceria? vou testar e renomear dnovo para ca.crt. depois eu posto o resultado

Abs

Mauricio

[Duca]

Você tem outras máquinas Windows ligadas à VPN?