Openvpn mit Debian Server und Windows Client

Raym
Einsteiger



Registriert seit: 02.2006
Beiträge:11

Hi,
vielen lieben Dank, ich hab das nu gemacht. Mal schauen, ob es klappt.

Edit:
JUHUUU, es klappt *freu*

MfG
Raym

Dieser Beitrag wurde zuletzt am 16.03.2006 19:00 von Raym editiert.

maquesta
Einsteiger



Registriert seit: 04.2006
Beiträge:5

hallo leute,

hier steckt ja eine menge an geballtem wissen. da ich eher ein newbie bin bin ich davon immer sehr beeindruckt auch ich hab mich am openvpn versucht und auch erste erfolge erzielt, aber an einem punkt komme ich nicht weiter. auch ich hab es dank des guten tutorials eine verbindung herzustellen. also mein problem ist denen hier geschilderten sehr aehnlich und zuerst habe ich versucht anhand der tipps hier das problem zu loesen, aber irgendwie gehts nicht. also folgender aufbau:

heimnetz mit vpnclient (windows xp):

adressbereich: 192.168.2.xx 255.255.255.0
hinter einem nat-router mit aktiviertem DHCP

firmennetz mit vpnserver (linux debian):

adressbereich: 192.168.0.xx 255.255.255.0
das netz zwei ausgaenge ins internet einen netgear-router (192.168.0.1 standardgateway) und einen einen proxy (192.168.0.33 vpnserver).
in meinem router ist eine static route fuer den adressbereich 10.8.0.0 255.255.255.0 nach 192.168.0.33 gesetzt

die configs sehen folgender massen aus:

client
float
dev tap
tun-mtu 1492
fragment 1300
mssfix

# Der Name des tun/tap Devices in der
# Netzwerkkonfiguration.
dev-node {B7A064D8-463E-46D2-A065-2B702B9F5AB8}
proto udp
remote servername_xy 1194

# Wir erlauben nur eine Verbindung zu
# unserem Server. Wir haben bei der
# Zertifiakt Erstellung dem Server
# den Common Name server gegeben und
# erzwingen so, dass sich auch der Server
# beim Client authentifizieren muss
tls-remote server

#Autentifizierung des Clients
#auth-user-pass

ca vpn-ca.pem
cert sschwierz-vpncert.pem
key sschwierz-vpnkey.pem
auth SHA1
cipher aes-256-cbc
nobind
comp-lzo
persist-key
persist-tun
verb 3

die des servers so:

# Port
port 1194

# TCP oder UDP?
proto udp

# tun oder tap?
# Das tun Device erstellt einen IP Tunnel,
# w\xe4hrend das tap Device einen Ethernet Tunnel erstellt.
dev tun

# Die ermittelte mtu f\xfcr das tun Interface.
# Wir f\xfcgen die Optionen fragment und
# mssfix hinzu, um ein Aushandeln der
# Paketgroessen zu ermoeglichen

tun-mtu 1492
fragment 1300
mssfix

# Die Pfade zu den Keys und Zertifikaten.
# Ich kopiere die P\xe4rchen sp\xe4ter in das
# openvpn Verzeichnis, um Wirrwarr vorzubeugen.
ca /etc/openvpn/certs/vpn-ca.pem
cert /etc/openvpn/certs/servercert.pem
key /etc/openvpn/certs/serverkey.pem

# der Pfad zu den Diffie-Hellmann Parametern.
# Auch diese werde ich sp\xe4ter ins openvpn
# Verzeichnis kopieren.
dh /etc/openvpn/certs/dh1024.pem

# Durch die Angabe von server veranlassen
# wir openvpn im Servermodus zu lauern.
# Hier \xfcbergeben wir auch den Adressbereich
# und die Netzwerkmaske f\xfcr das virtuelle
# Netzwerk. Der Server wird automatisch
#auf der ersten IP lauschen - also 10.8.0.1
server 10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt


push "route 192.168.0.0 255.255.255.0"

keepalive 10 120

# Unsere Authentifizierungsmethode
auth SHA1

# Unsere Verschl\xfcsselungsmethode
cipher AES-256-CBC

# Wir wollen komprimierten Datenverkehr
comp-lzo

user nobody
group nogroup

persist-key
persist-tun

# F\xfcr unsere Versuche setzen wir die Geschw\xe4tzigkeit
# auf Level 3
verb 3


hab ich noch infos zum aufbau vergessen?

naja auf jeden fall bekomme ich eine verbindung auf beiden seiten ein "Initialization Sequence Completed" und auch eine meldung dass user xy an 10.8.0.6 connected ist.

was mir suspekt erscheint ist folgendes aus dem log des clients:
OpenVPN ROUTE: OpenVPN needs a gateway parameter for a --route option and no default was specified by either --route-gateway or --ifconfig options
Tue Apr 04 15:02:18 2006 OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.0.0
Tue Apr 04 15:02:18 2006 OpenVPN ROUTE: OpenVPN needs a gateway parameter for a --route option and no default was specified by either --route-gateway or --ifconfig options
Tue Apr 04 15:02:18 2006 OpenVPN ROUTE: failed to parse/resolve route for host/network: 10.8.0.1

achso was noch zu erwaehnen waere zu testzwecken hab ich vorerst die firewall auf serverseite deaktiviert. eine huerde nach der anderen :)

ich waere wuer ratschlaege sehr dankbar.
maquesta

maquesta
Einsteiger



Registriert seit: 04.2006
Beiträge:5

hallo,

ich nochmal. ein kleiner nachtrag. pingen geht in beide richtungen. sowohl der client den server als auch der server den client. ich habe es noch nicht so ganz verstanden wann tap und wann tun zu nutzen ist. wenn ein dann auf beiden seiten das gleiche oder? ich bin da ein wenig unsicher was nun richtig ist, da ich auch irgendwo gelesen habe, dass wohl mit win xp wohl nur tap fehlerfrei funktioniert.

danke nochmal
maquesta

Simon Hecht
Online-tutorials.net Administrator



Registriert seit: 01.1970
Wohnort:Dornbirn
Beiträge:1177

OpenVPN
Hallo,

sorry das ich mich nicht ausführlich um dein Problem kümmern kann, ich habe bis Freitag noch ziemlich viel zu tun.

Das tun Device erstellt einen IP Tunnel, das tap benutzt Ethernet.

Auf den ersten Blick sehe ich nichts falsches.
-------------------

http://www.online-tutorials.net/wiki/funktionsname

Für was Personal Firewalls GnuGP emails verschlüsseln C++ Tutorial Sicherheits Tutorials

Simon Hecht
Online-tutorials.net Administrator



Registriert seit: 01.1970
Wohnort:Dornbirn
Beiträge:1177

OpenVPN
Hast du mittlerweile schon was erreicht?

Ich sehe eigentlich keinen Fehler. Hast du dir schon mal überlegt das ganze mit Iptables zu realisieren?
-------------------

http://www.online-tutorials.net/wiki/funktionsname

Für was Personal Firewalls GnuGP emails verschlüsseln C++ Tutorial Sicherheits Tutorials

Firefox - besser durch das Web!

maquesta
Einsteiger



Registriert seit: 04.2006
Beiträge:5

hallo simon,

nein leider hab ich es noch nicht zum laufen bekommen. was iptables angeht muss ich die wohl eh anpassen. iptables hatten wir shon vorkonfiguriert, ich hatte die firewall nur deaktiviert zu testzwecken.

kannst du mir vielleicht ein da vielleicht paar hilfestellungen geben?

was vielleicht noch gehen wuerde waere der versuch eine bridge zu nutzen. dazu muesste ich auf meinem debian-vpnserver noch das tap-device hinzuzufügen. was meinst du?

gruss
maquesta

Simon Hecht
Online-tutorials.net Administrator



Registriert seit: 01.1970
Wohnort:Dornbirn
Beiträge:1177

OpenVPN routing
Wenn du schon ein Iptables Script hast würde ich das damit machen.

Poste das mal, dann schaue ich es mir an.
-------------------

http://www.online-tutorials.net/wiki/funktionsname

Für was Personal Firewalls GnuGP emails verschlüsseln C++ Tutorial Sicherheits Tutorials

Firefox - besser durch das Web!

maquesta
Einsteiger



Registriert seit: 04.2006
Beiträge:5

so sieht das skript aus. ich hoffe du meintest das.

danke schonmal
maquesta

#!/bin/sh
#
# firewall
#
# chkconfig: 345 85 15
# description: Firewalling functions using phpfwgen.
#

# See how we were called.
case "$1" in
start)
# Start daemons.
echo "Turning on Firewalling functions."

IPTABLES=/sbin/iptables

#finden wir mit ifconfig heraus
VPN_DEV=tun0

#VPN Netzwerk
VPN_NET=10.8.0.0/24

#internes netzwerk
INT_DEV=eth0

#Leitet alles was per Port 1194 kommt zum Internen Netz um, auf Port 1194 darf auf dem Server nichts laufen
$IPTABLES -t nat -A PREROUTING -i $VPN_DEV -p tcp --dport 1194 -j DNAT --to 192.168.2.0

#L<E4>sst alles in's VPN durch
$IPTABLES -A FORWARD -i $INT_DEV -o $VPN_DEV -s $VPN_NET -p tcp -j ACCEPT
$IPTABLES -A FORWARD -i $INT_DEV -o $VPN_DEV -s $VPN_NET -p udp -j ACCEPT

# Set up iptables modules
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
/sbin/modprobe iptable_nat

#
# Install firewall rules
#

/var/lib/phpfwgen/firewall

;;
stop)
# Stop daemons.
echo "Turning off Firewalling functions."
/sbin/iptables -F INPUT
/sbin/iptables -F OUTPUT
/sbin/iptables -F FORWARD
/sbin/iptables -t nat -F PREROUTING
/sbin/iptables -t nat -F OUTPUT
/sbin/iptables -t nat -F POSTROUTING
/sbin/iptables -t mangle -F PREROUTING
/sbin/iptables -t mangle -F OUTPUT
/sbin/iptables -X
/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
;;

status)
/sbin/iptables -L
;;

restart|reload)
$0 stop
$0 start
;;
*)
echo "Usage: firewall {start|stop|restart|reload|status}"
exit 1
esac

exit 0

maquesta
Einsteiger



Registriert seit: 04.2006
Beiträge:5

hallo simon,

ich hab hier noch etwas. nachdem ich versucht habe im client das gateway einzustellen (ich habe das tutorial so verstanden, dass es notwendig ist) bekam ich folgende meldung.

ich habe folgenden befehl aufgefuehrt:
route add 192.168.2.0 mask 255.255.255.0 10.8.0.1 metric 1 -p

und folgende meldung erhalten:
Hinzufügen der Route fehlgeschlagen: Entweder ist der Schnittstellenindex ungültig oder das Gateway befindet sich nicht im gleichen Netzwerk wie die Schnittstelle. Überprüfen Sie die IP-Adresstabelle für diesen Rechner.

vielleicht hilft das weiter.
bin hier im moment etwas ratlos.

gruss
maquesta

Simon Hecht
Online-tutorials.net Administrator



Registriert seit: 01.1970
Wohnort:Dornbirn
Beiträge:1177

OpenVPN

Der Client ist ja schon im Netzwerk 192.168.2.0/24, da brauchst du keine Route über 10.8.0.1 zu machen.

Wenn du Pakete vom Client die ins Servernetzwerk (192.168.0.0/24) wollen über 10.8.0.1 leiten willst, dann musst du beim Client
route add 192.168.0.0 mask 255.255.255.0 10.8.0.1 metric 1 -p machen.

----------

[Client]
Netzwerk 192.168.2.0/24

10.8.0.2 [Client]
[VPN]
10.8.0.1 [Server]

[Server]
Netzwerk 192.168.0.0/24

Mit route add <Netzwerk> mask <Netzmaske> <Host> metric 1 -p wird eingestellt, das alle Pakete die ins <Netzwerk> wollen über den <Host> dorthin geleitet werden.
-------------------

http://www.online-tutorials.net/wiki/funktionsname

Für was Personal Firewalls GnuGP emails verschlüsseln C++ Tutorial Sicherheits Tutorials

Firefox - besser durch das Web!