Dotaz: open VPN

[Corado]

Ahoj, potrebuji na suse 10 vytvorit a nastavit VPN server a pripojovat se k nemu klientem z win xp. Tady na abclinuxu jsem se docetl ze nejjednodusi varianta je open VPN. openVPN jsem si stahl a precetl navod ale abych byl uprimny tak z toho vubec nejsem moudry nedari se mi uz jej nainstalovat. poradi mi prosim nekdo s instalaci a pak hlavne s nastavenim. diky

Odpovědi

[Mti.]

nevim jak na suse, ale cekal bych, ze to bude stejen jak vsude jinde - naistalovat balik z repozitare. Konfigurace serveru se provadi obvykle v /etc/openvpn .
Az se rozhodnes, na kterem portu to pobezi, povol prichozi provoz pro ten port aj na firewallu. :) No a oproti tomuto navodu (na konci mas priklady konfiguraku) Ti neni jasne co?

[Corado]

ahoj, diky za reakci

to je mi jasny. ted nevim proc mi to nejde naistalovat   

[Corado]

abych to upresniltak se mi nedari jina instalaci nez prez RPM balicek a ten mi samozrejme nejde stahnout

[Mti.]

na fedore by se to psalo jako "yum install openvpn...." ... v suse bude podobny nastroj (neznam suse) na instalaci baliku primo z repozitaru suse. Nesnaz se tam dostat neco jineho, pokud k tomu nemas opravdu dobry duvod. :)

[Corado]

ted se mi zadarilo stahnout RPM (na jinem pc).  Takze nainstalovano.  poradi nekdo co dal?  je mi divny ze  v adr  /etc/openvpn  nic neni.

[Mti.]

nic tam neni, protoze's tam nic nedal Ten link, co sem Ti posilal poslouzi prav k tomu, abys tam neco dostal Ve zkratce potrebujes vytvorit klice, kteryma se budou vzajemne predstavovat jednotlive konce, vyrobit konfiguraky pro server a pro klienty. (priklady jsou na konci navodu, staci prizpusobit).

[Filip F]

Mozna ti reknem proc, kdyz nam reknes jak to instalujes a chybu co ti to hlasi pri instalaci.

[tezkatlipoka]

to neni jasne nikomu, kdyz nepises kde koncis, s jakou chybou. Jakou mas distribuci? OpenVPN je snad ve vsech disribucich, takze stahovat a instalovat rucne neni potreba nic.

[Corado]

mam open suse 10.2 a v tyhle distribuci Open VPN neni. proc to nevim. kazdopadne jak jsem psal zadarilo se mi to nainstalovat poradi nekdo co dal? diky moc

[Dalibor Smolík]

Já jsem zcela bez problémů nainstaloval openVPN podle návodu odsud

, pokud by se objevil problém, napiš. Je to sice na debianu, ale mělo by to být podobné.

[Corado]

mrknu na to zatim diky - dam vedet jak sem dopadnul

[Michal Pěnka]

Pokud ti alespoň tyhle 2/3 pomůžou, tak budu rád.

http://michal.penka.name/instalace-openvpn-server

[Corado]

ahoj, tak mam vytvoreny soubory: ca.cat, ca,key, dh1024.pem, index.txt

ted mi nejde vytvorit server. a klient. klice

po zadani: ./build-key-server

vypise:

pkitool 2.0
Usage: pkitool [options...] [common-name]
Options:
  --batch    : batch mode (default)
  --keysize  : Set keysize
      size   : size (default=1024)
  --interact : interactive mode
  --server   : build server cert
  --initca   : build root CA
  --inter    : build intermediate CA
  --pass     : encrypt private key with password
  --csr      : only generate a CSR, do not sign
  --sign     : sign an existing CSR
  --pkcs12   : generate a combined PKCS#12 file
  --pkcs11   : generate certificate on PKCS#11 token
      lib    : PKCS#11 library
      slot   : PKCS#11 slot
      id     : PKCS#11 object id (hex string)
      label  : PKCS#11 object label
Standalone options:
  --pkcs11-slots   : list PKCS#11 slots
      lib    : PKCS#11 library
  --pkcs11-objects : list PKCS#11 token objects
      lib    : PKCS#11 library
      slot   : PKCS#11 slot
  --pkcs11-init    : initialize PKCS#11 token DANGEROUS!!!
      lib    : PKCS#11 library
      slot   : PKCS#11 slot
      label  : PKCS#11 token label
Notes:
  Please edit the vars script to reflect your configuration,
  then source it with "source ./vars".
  Next, to start with a fresh PKI configuration and to delete any
  previous certificates and keys, run "./clean-all".
  Finally, you can run this tool (pkitool) to build certificates/keys.
  In order to use PKCS#11 interface you must have opensc-0.10.0 or higher.
Generated files and corresponding OpenVPN directives:
(Files will be placed in the $KEY_DIR directory, defined in ./vars)
  ca.crt     -> root certificate (--ca)
  ca.key     -> root key, keep secure (not directly used by OpenVPN)
  .crt files -> client/server certificates (--cert)
  .key files -> private keys, keep secure (--key)
  .csr files -> certificate signing request (not directly used by OpenVPN)
  dh1024.pem or dh2048.pem -> Diffie Hellman parameters (--dh)
Examples:
  pkitool --initca          -> Build root certificate
  pkitool --initca --pass   -> Build root certificate with password-protected key
  pkitool --server server1  -> Build "server1" certificate/key
  pkitool client1           -> Build "client1" certificate/key
  pkitool --pass client2    -> Build password-protected "client2" certificate/key
  pkitool --pkcs12 client3  -> Build "client3" certificate/key in PKCS#12 format
  pkitool --csr client4     -> Build "client4" CSR to be signed by another CA
  pkitool --sign client4    -> Sign "client4" CSR
  pkitool --inter interca   -> Build an intermediate key-signing certificate/key
                               Also see ./inherit-inter script.
  pkitool --pkcs11 /usr/lib/pkcs11/lib1 0 010203 "client5 id" client5
                              -> Build "client5" certificate/key in PKCS#11 token
Typical usage for initial PKI setup.  Build myserver, client1, and client2 cert/keys.
Protect client2 key with a password.  Build DH parms.  Generated files in ./keys :
  [edit vars with your site-specific info]
  source ./vars
  ./clean-all
  ./build-dh     -> takes a long time, consider backgrounding
  ./pkitool --initca
  ./pkitool --server myserver
  ./pkitool client1
  ./pkitool --pass client2
Typical usage for adding client cert to existing PKI:
  source ./vars
  ./pkitool client-new

 

a soubory server.crt, server.key, server.csr  se nevytvori

poradi prosim někdo.

[Corado]

omlouvam se za predchozi prispevek.

uz mam vsechny soubory ted mi jeste neni uplne jasne jak nastavit adresy v configuracnim souboru a hlavne jak to nastavit na routeru (NAT)

[Dalibor Smolík]

Na routeru mám nastavenou IP adresu přidělenou poskytovatelem, prověřím pak, jaká se mi ohlašuje IP adresa viděná z venku (např. www.test.bezpecnosti.cz) a tu nastavím na konfiguráku u klienta (remote xx.xx.xx.xx.)

[Corado]

jj diky. ted bych mel dalsi blou otazku. jak se vlastne na linuxu spousti open VPN server ? Muze mi nekdo poradit jak se k nemu pripojim prez win xp ? diky moc vsem.

[houska]

jak se vlastne na linuxu spousti open VPN server
zpravidla pres nejaky startovaci (init) skript, zkus se podivat do /etc/init.d/ a hledej neco jako "openvpn", takze start pak vypada: /etc/init.d/openvpn start

Muze mi nekdo poradit jak se k nemu pripojim prez win xp
stahnes si openvpn s gui, nainstalujes, ze serveru zkopirujes klic, certifikat a konfigurak pro klienta, certifikat serveru (mozna jeste ten dh soubor, ted nevim), opravis cesty v konfiguraku, tusim ze budes muset menit i jmeno tun/tap rozhrani a je hotovo

[Corado]

ahoj, server bezi v pohode  ale nemuzu se k nemu pripojit. Zkousel jsem to na lokalu.

log:

Thu Jun 25 18:19:43 2009 OpenVPN 2.1_rc18 i686-pc-mingw32 [SSL] [LZO2] [PKCS11] built on Jun  7 2009
Thu Jun 25 18:19:43 2009 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Thu Jun 25 18:19:43 2009 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Thu Jun 25 18:19:43 2009 LZO compression initialized
Thu Jun 25 18:19:43 2009 UDPv4 link local (bound): [undef]:1194
Thu Jun 25 18:19:43 2009 UDPv4 link remote: 192.168.1.200:1194
 

VPN-Server.conf

 

mode server
tls-server
dev tap0
port 1194
proto udp
ifconfig 192.168.2.1 255.255.255.0
push "route 192.168.1.0 255.255.255.0"
push "route-gateway 192.168.2.1"
ifconfig-pool 192.168.2.10 192.168.2.50 255.255.255.0
duplicate-cn
client-to-client
keepalive 10 120
ca ca.crt
cert VPN-Server.crt
key VPN-Server.key
dh dh1024.pem
comp-lzo
log /var/log/vpn.log

 

client:

 

remote 192.168.1.200
client
port 1194
tls-client
dev tap
pull

mute 10
ca ca.crt
cert client.crt
key client.key

comp-lzo
#verb 3

 

poradí prosím někdo?

díky

 

[Tom]

pro začátek máte špatně nakonfigurovanou síť pro zařízení TAP0 na serveru. IP má být ze stejného subnetu, jako je pro klienty. Čili pokud dobře vidím, tak dle konfiguráku klienta musí být IP na TAP0 192.168.1.200 a také opravit ifconfig-pool na straně serveru.

 

Tom

[Corado]

díky za reakci

můžete mi s tím prosím pomoct?

díky

[Tom]

Nejprve mi řekněte jak máte nastavenou stávající lokální síť. Což je rozsah IP, Maska, Brána.

[Corado]

server mam na open suse 10.2 a potrebuju se k nemu pripojovat z klientu na win xp

na zacatku site je router (z venku IP: 84.242.97.170, ze vnitr: 192.168.1.254) za nim je zmineny server IP: 192.168.1.200, brana tedy: 192.168.1.254, predpokladam ze maska je 255.255.255.0

diky za pomoc

 

[tezkatlipoka]

pokud se pripojujes nas VPN server ktery nema verejnou adresu, musis tam mit prostrceny port redirect z verejne adresy, to predpokladam mas.

[tezkatlipoka]

remote udava na jakou adresu se pripojuje klient, nikoliv jakou ma adresu, adresu dostane od serveru z rozsahu (ifconfig-pool), takze ifconfig serveru je dobre, netusim proc ale podstrkava klientovi routu pro 192.168.1.0, kdyz, ma-li se klient pripojit na adresu 192.168.1.200 musi uz sit 192.168.1.0 videt.

[Corado]

Ahoj, zmenil jsem na serveru ifconfig z  192.168.2.1 na 192.168.1.150. myslel jsem si jestli mu nevadi 2.1

route z 192.168.1.0 na 192.168.1.200

ale chova se to porad setejne. stale se nemohu pripojit

VPN-Server.conf

mode server
tls-server
dev tap0
port 1194
proto udp
ifconfig 192.168.1.150 255.255.255.0
push "route 192.168.1.200 255.255.255.0"
push "route-gateway 192.168.1.150"
ifconfig-pool 192.168.1.160 192.168.1.180 255.255.255.0
duplicate-cn
client-to-client
keepalive 10 120
ca ca.crt
cert VPN-Server.crt
key VPN-Server.key
dh dh1024.pem
comp-lzo
log /var/log/vpn.log

 

vpn log na serveru:

Fri Jun 26 15:05:38 2009 OpenVPN 2.0.8 x86_64-suse-linux-gnu [SSL] [LZO] [EPOLL] built on Nov 26 2006
Fri Jun 26 15:05:38 2009 TUN/TAP device tap0 opened
Fri Jun 26 15:05:38 2009 /sbin/ifconfig tap0 192.168.1.150 netmask 255.255.255.0 mtu 1500 broadcast 192.168.1.255
Fri Jun 26 15:05:38 2009 UDPv4 link local (bound): [undef]:1194
Fri Jun 26 15:05:38 2009 UDPv4 link remote: [undef]
Fri Jun 26 15:05:38 2009 Initialization Sequence Completed
 

poradí prosím nekdo?

diky

[tezkatlipoka]

ahoj, VPN server ma adresu 192.168.1.150, a klientovi nahazuje routu na sit 1, ve ktere je ale klient pripjeny automaticky, takze routo pro sit jedna nepotrebuje, cele push route muzes vyhodit, stejne ti v nem chybi gw. Jinak snad ok, jeste posli clienta. Jen tak mimochodem jaka je adresa toho serveru, kde posloucha ovpn klientum?

[Corado]

ahoj, adresa serveru na lokalu je: 192.168.1.200

 

client :

remote 192.168.1.200
client
port 1194
tls-client
dev tap
pull

mute 10
ca ca.crt
cert client.crt
key client.key

comp-lzo
#verb 3

 

diky

[tezkatlipoka]

takze mas server s adresou v siti 192.168.1.0? A to se k serveru budes pripojovat jenom z lokalni site, nebo to mas docasne, na zkousku? Server i klienta mas v zaklade dobre, ale plavu v tom co tam vytvaris za potvoru, server v siti 192.168.1.0, klientovi nahazujes routu (nejakou divnou) pro sit 192.168.1.0, ale tu nepotrebuje, protoze tu sit musi videt, kdyz se do ni ma pripojovat na server. Server bude mit mimo jine druhou sitovku, virtualni pro vpn, ktera ale bude mit stejnou sit, zase 192.168.1.0. Mam pocit ze mas maglajz v tomhle.

[Dalibor Smolík]

Na klientovi by měl být řádek remote xx.xx.xx.xx takový, jak je vidět adresa  serveru zvenku.  Tu lze zkontrolovat na adrese http://www.whatismyip.com/. Ovšem tato adresa není totožná s adresou zařízení tap0, které je nastaveno v  souboru vpn_server.conf.  U mne je:

# nastavi zarizeni                                                                                                                          
dev tap0                                                                                                                                    
                                                                                                                                            
# adresa serveru                                                                                                                            
ifconfig 10.0.1.100 255.255.255.0                                                                                                           
                                                                                                                                            
# rozsah adres pro klienty                                                                                                                  
ifconfig-pool 10.0.1.1 10.0.1.20 255.255.255.0

...

Avšak v konfiguráku klienta mám nastaveno remote  81.0.30.73 dle výpisu z výše uvedené stránky

Jen pro úplnost - mezi serverem a internetem mám   router, na kterém mám v sekci virtuální server povolen port  1164 pro  vnitřní IP adresu  VPN serveru např.:

1  1194  192.168.0.6 TCP ENABLED

 

[Corado]

Ahoj, ja se potrebuju samozrejme take pripojit z venku ale potrebuji to nejdriv vubec rozbehnout proto to pripojuji zatim puze na lokalu. jinak na zacatku site mam take samozrejme router a v nem nastaven virtual server ( 1194, UDP, 192.168.1.200)

192.168.1.200 je adresa serveru na ktery se potrebuji pripojit

poradite mi prisim jak mam mit spravne nastaveni na serveru?

diky

[Dalibor Smolík]

Ahoj, ja se potrebuju samozrejme take pripojit z venku ale potrebuji to nejdriv vubec rozbehnout proto to pripojuji zatim puze na lokalu

No, já jsem od poskytovatele internetu dostal pevnou adresu 10.20.28.100, tu jsem také zadal do nastavení routeru a ovšem - při testování openVPN jsem tuto  adresu zadal také do konfiguráku do klienta

remote 10.20.28.100

Adresa, která je vidět z venku je jiná - a jakmile jsem se dostal s klientem mimo domácí síť, nastavil jsem klienta na remote 81. xx.xx.xx,  ..  na nastavení konfiguráku serveru jsem již nic neměnil.

[Corado]

posledni nastaveni serveru mam:

VPN-Server.conf

 

mode server
tls-server
dev tap0
port 1194
proto udp
ifconfig 192.168.1.150 255.255.255.0
push "route 192.168.1.200 255.255.255.0"
push "route-gateway 192.168.1.150"
ifconfig-pool 192.168.1.160 192.168.1.180 255.255.255.0
duplicate-cn
client-to-client
keepalive 10 120
ca ca.crt
cert VPN-Server.crt
key VPN-Server.key
dh dh1024.pem
comp-lzo
log /var/log/vpn.log

diky moc

[linuxik]

Ahoj,

myslim ze mas hned nekkolik problemu:

1.  ifconfig 192.168.1.150 255.255.255.0

Tohle je spatne, nemuzes mit stejnou sit pro vpn jako mas ve vnitrni siti pro pocitace, zkus neco jako 'ifconfig 10.1.1.1 255.255.255.0'

2. push "route 192.168.1.200 255.255.255.0"

kdyz uz tak by to melo byt takhle  'push route 192.168.1.0 255.255.255.0'

3. push "route-gateway 192.168.1.150"

tohle uplne vyhod, tim by jsi presmeroval veskery provoz z pripojeneho pocitace pres VPN a to urcite nechces

4. ifconfig-pool 192.168.1.160 192.168.1.180 255.255.255.0

tohle musu zmenit aby to odpovidalo ifconfig v bode 1 treba takhle ' ifconfig-pool 10.1.1.100 10.1.1.200 255.255.255.0'

S timhle konfigem by se ti melo vytvorit na serveru tap0 s ip adresou 10.1.1.1

Potom mas druhy problem v konfiguraci klienta:

remote 192.168.1.200 je spatne pokusd se chces pripojovat z internetu tak tam musis mit 

remote 84.242.97.170 a na serveru ktery dela gateway do internetu udelat DNAT  portu 1194 na adresu openvpn serveru 192.168.1.200, jinak se tam s klientem nedostanes.

Az to budes mit a jestli to porad nebude chodit tak posli logy ze serveru a z klienta a uvidime co dal.

 

[Corado]

Ahoj, prenastavil jsem server podle pokynu a nejde spustit a v logu nic neni takze netusim proc to nejede

ted mam server.conf takhle:

mode server
tls-server
dev tap0
port 1194
proto udp
ifconfig 10.1.1.1 255.255.255.0
push route 192.168.1.0 255.255.255.0
ifconfig-pool 10.1.1.100 10.1.1.200 255.255.255.0
duplicate-cn
client-to-client
keepalive 10 120
ca ca.crt
cert VPN-Server.crt
key VPN-Server.key
dh dh1024.pem
comp-lzo
log /var/log/vpn.log

poradite prosim?

diky

 

[linuxik]

Parametry za push musi byt v uvozovkach push "route 192.168.1.0 255.255.255.0"

Nejlepsi je spoustet openvpn primo z console `openvpn --cd /etc/openvpn/ --config openvpn.conf` potom je hned videt co je spatne.

 

[Corado]

ahoj mam je tam akorad se to tady nezobrazilo.

v linuxu porad to same nechce to spustit a log je prazdny.

ciste ze zvedavosti jsem nainstaloval na winxp  openvpn-2.1_rc18-install a pouzil stavajici soubory - server jede - vytvori ralsi sit  10.1.1.1 ale nemohu se k nemu pripojit

diky

[Corado]

pro jistotu jeste jednou:

mode server
tls-server
dev tap0
port 1194
proto udp
ifconfig 10.1.1.1 255.255.255.0
push "route 192.168.1.0 255.255.255.0"
ifconfig-pool 10.1.1.100 10.1.1.200 255.255.255.0
duplicate-cn
client-to-client
keepalive 10 120
ca ca.crt
cert VPN-Server.crt
key VPN-Server.key
dh dh1024.pem
comp-lzo
log /var/log/vpn.log

jeste jednou diky vsem za pomoc

[Dalibor Smolík]

Jen poznámka 

- ve svém konfiguráku na serveru vůbec nemám sekci  push "route .." a proto tcp-server (nikoliv udp) ..

 

[Corado]

Ahoj, server uz bezi udelal jesm vse od zacatku a pouzil posledni conf.

log:

Mon Jun 29 15:10:02 2009 OpenVPN 2.0.8 x86_64-suse-linux-gnu [SSL] [LZO] [EPOLL] built on Nov 26 2006
Mon Jun 29 15:10:02 2009 TUN/TAP device tap0 opened
Mon Jun 29 15:10:02 2009 /sbin/ifconfig tap0 10.1.1.1 netmask 255.255.255.0 mtu 1500 broadcast 10.1.1.255
Mon Jun 29 15:10:02 2009 UDPv4 link local (bound): [undef]:1194
Mon Jun 29 15:10:02 2009 UDPv4 link remote: [undef]
Mon Jun 29 15:10:02 2009 Initialization Sequence Completed
Mon Jun 29 15:10:11 2009 event_wait : Interrupted system call (code=4)
Mon Jun 29 15:10:11 2009 OpenVPN CLIENT LIST
Mon Jun 29 15:10:11 2009 Updated,Mon Jun 29 15:10:11 2009
Mon Jun 29 15:10:11 2009 Common Name,Real Address,Bytes Received,Bytes Sent,Connected Since
Mon Jun 29 15:10:11 2009 ROUTING TABLE
Mon Jun 29 15:10:11 2009 Virtual Address,Common Name,Real Address,Last Ref
Mon Jun 29 15:10:11 2009 GLOBAL STATS
Mon Jun 29 15:10:11 2009 Max bcast/mcast queue length,0
Mon Jun 29 15:10:11 2009 END
 

stale se nemohu k nemu pripojit. pomuzete mi prosim jeste s klientem?

client:

remote 84.242.97.170
client
port 1194
tls-client
dev tap
pull
mute 10
ca ca.crt
cert client.crt
key client.key
comp-lzo
#verb 3

na routru mam nastaven virtual server:

Port range: 1194

local IP: 192.168.1.200

local port: 1194

protocol: UDP

 

diky moc

[linuxik]

Tak jeste zkus odkomentovat v configu klienta verb 3 a podivej se do logu. Urcite tam neco bude

[Dalibor Smolík]

Já mám u klienta konfiguraci takto:

# server ke kteremu se pripojujeme                                                                                        
remote 81.0.73.73                                                                                                       
tls-client      
port 1194            
proto tcp-client  
dev tap            
pull                                   
ca ca.crt                        
cert client1.crt   
key client1.key    
user dalibor                    
group dalibor
mute 10
log-append /var/log/openvpn.log
status /var/run/vpn.status 10
comp-lzo
verb 3
dotaz: Je adresa 84.242.97.170 ta, která je viditelná zvenku? Dále já mám na routeru nastaven protokol TCP, nikoliv UDP. JInak předpokládám, že 192.168.1.200 je vnitřní adresa stroje, na kterém jsou uložena data ke vzdálenému připojení.

[Corado]

Dalibor Smolík: jj adresa 84.242.97.170  je viditelná zvenku a 192.168.1.200 je vnitřní adresa stroje.

jinak protokol jsem zmenil na TCP

[Dalibor Smolík]

Pomohlo to? Aspoň na linuxovém stroji? Na stroji s wxp mám konfigurák client.ovpn takto:

remote xx.xx.xx.xx.
tls-client
port 1194
proto tcp-client
dev tap
pull

mute 10
ca 01.pem
cert client1.crt
key client1.key

comp-lzo
verb 3

Uložen je v C: Program Files\OpenVPN\config\vpn_klient.ovpn

V současné době nemám Windows s VPN k dispozici, nemohu znovu ověřit funkčnost ..

[Corado]

ahoj, docetl jsem se ze mam spatne protokol takze jsem ho zmenil na TCP

server:

mode server
tls-server
dev tap0
port 1194
proto tcp-server
ifconfig 10.1.1.1 255.255.255.0
push "route 192.168.1.0 255.255.255.0"
ifconfig-pool 10.1.1.100 10.1.1.200 255.255.255.0
duplicate-cn
client-to-client
keepalive 10 120
ca ca.crt
cert VPN-Server.crt
key VPN-Server.key
dh dh1024.pem
comp-lzo
log /var/log/vpn.log

log:

Wed Jul  1 09:13:49 2009 OpenVPN 2.0.8 x86_64-suse-linux-gnu [SSL] [LZO] [EPOLL] built on Nov 26 2006
Wed Jul  1 09:13:49 2009 TUN/TAP device tap0 opened
Wed Jul  1 09:13:49 2009 /sbin/ifconfig tap0 10.1.1.1 netmask 255.255.255.0 mtu 1500 broadcast 10.1.1.255
Wed Jul  1 09:13:49 2009 Listening for incoming TCP connection on [undef]:1194
Wed Jul  1 09:13:49 2009 TCPv4_SERVER link local (bound): [undef]:1194
Wed Jul  1 09:13:49 2009 TCPv4_SERVER link remote: [undef]
Wed Jul  1 09:13:49 2009 Initialization Sequence Completed
Wed Jul  1 09:14:08 2009 OpenVPN CLIENT LIST
Wed Jul  1 09:14:08 2009 Updated,Wed Jul  1 09:14:08 2009
Wed Jul  1 09:14:08 2009 Common Name,Real Address,Bytes Received,Bytes Sent,Connected Since
Wed Jul  1 09:14:08 2009 ROUTING TABLE
Wed Jul  1 09:14:08 2009 Virtual Address,Common Name,Real Address,Last Ref
Wed Jul  1 09:14:08 2009 GLOBAL STATS
Wed Jul  1 09:14:08 2009 Max bcast/mcast queue length,0
Wed Jul  1 09:14:08 2009 END
 

podle logu predpokladam ze server bezi tak jak ma,  ale stale se nemohu k nemu pripojit z win xp

client:

#############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server.     #
#                                            #
# This configuration can be used by multiple #
# clients, however each client should have   #
# its own cert and key files.                #
#                                            #
# On Windows, you might want to rename this  #
# file so it has a .ovpn extension           #
##############################################

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
dev tap


# Windows needs the TAP-Win32 adapter name
# from the Network Connections panel
# if you have more than one.  On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server?  Use the same setting as
# on the server.
proto tcp


# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote 84.242.97.170 1194


# Choose a random host from the remote
# list for load-balancing.  Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server.  Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
resolv-retry infinite

# Most clients don't need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
;user vpn
;group

# Try to preserve some state across restarts.
persist-key
persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets.  Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings

# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
ca ca.crt
cert client.crt
key client.key

# Verify server certificate by checking
# that the certicate has the nsCertType
# field set to "server".  This is an
# important precaution to protect against
# a potential attack discussed here:
#  http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the nsCertType
# field set to "server".  The build-key-server
# script in the easy-rsa folder will do this.
;ns-cert-type server

# If a tls-auth key is used on the server
# then every client must also have the key.
;tls-auth ta.key 1

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
;cipher x

# Enable compression on the VPN link.
# Don't enable this unless it is also
# enabled in the server config file.
comp-lzo

# Set log file verbosity.
verb 3

# Silence repeating messages
;mute 20

 

log:

Wed Jul 01 09:27:52 2009 OpenVPN 2.1_rc18 i686-pc-mingw32 [SSL] [LZO2] [PKCS11] built on Jun  7 2009
Wed Jul 01 09:27:52 2009 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Wed Jul 01 09:27:52 2009 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Wed Jul 01 09:27:52 2009 LZO compression initialized
Wed Jul 01 09:27:52 2009 Control Channel MTU parms [ L:1576 D:140 EF:40 EB:0 ET:0 EL:0 ]
Wed Jul 01 09:27:52 2009 Data Channel MTU parms [ L:1576 D:1450 EF:44 EB:135 ET:32 EL:0 AF:3/1 ]
Wed Jul 01 09:27:52 2009 Local Options hash (VER=V4): '31fdf004'
Wed Jul 01 09:27:52 2009 Expected Remote Options hash (VER=V4): '3e6d1056'
Wed Jul 01 09:27:52 2009 Attempting to establish TCP connection with 84.242.97.170:1194

 

poradi pro sim nekdo?

diky moc

[Corado]

 Ahoj,
zjistil jsem ze mi firewall na serveru nepoustel port 1194 (uplne jsem na to zapomel), ale jeste to neni ono.

upravil jsem klienta:

remote 84.242.97.170
tls-client
port 1194
proto tcp-client
dev tap
pull
mute 10
ca 01.pem
cert client.crt
key client.key
comp-lzo
verb 3

a log se zmenil na:

Thu Jul 02 08:21:35 2009 Control Channel MTU parms [ L:1576 D:140 EF:40 EB:0 ET:0 EL:0 ]
Thu Jul 02 08:21:35 2009 Data Channel MTU parms [ L:1576 D:1450 EF:44 EB:135 ET:32 EL:0 AF:3/1 ]
Thu Jul 02 08:21:35 2009 Local Options hash (VER=V4): '31fdf004'
Thu Jul 02 08:21:35 2009 Expected Remote Options hash (VER=V4): '3e6d1056'
Thu Jul 02 08:21:35 2009 Attempting to establish TCP connection with 84.242.97.170:1194
Thu Jul 02 08:21:35 2009 TCP connection established with 84.242.97.170:1194
Thu Jul 02 08:21:35 2009 Socket Buffers: R=[8192->8192] S=[8192->8192]
Thu Jul 02 08:21:35 2009 TCPv4_CLIENT link local: [undef]
Thu Jul 02 08:21:35 2009 TCPv4_CLIENT link remote: 84.242.97.170:1194
Thu Jul 02 08:21:35 2009 TLS: Initial packet from 84.242.97.170:1194, sid=59cdbbe0 fdc938db
Thu Jul 02 08:21:36 2009 VERIFY ERROR: depth=1, error=self signed certificate in certificate chain: /C=CZ/ST=TP/LTeplice/O=Amikro/CN=Amikro CA/emailAddress=info@amikro.cz
Thu Jul 02 08:21:36 2009 TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
Thu Jul 02 08:21:36 2009 TLS Error: TLS object -> incoming plaintext read error
Thu Jul 02 08:21:36 2009 TLS Error: TLS handshake failed
Thu Jul 02 08:21:36 2009 Fatal TLS error (check_tls_errors_co), restarting
Thu Jul 02 08:21:36 2009 TCP/UDP: Closing socket
Thu Jul 02 08:21:36 2009 SIGUSR1[soft,tls-error] received, process restarting
Thu Jul 02 08:21:36 2009 Restart pause, 5 second(s)

poradí někdo?

díky

[Dalibor Smolík]

Já mám v klientovi uvedeno

ca ca.crt   místo

ca 01.pem

a soubor ca.crt je také obsažen v  adresáři /etc/openvpn u klienta

[Corado]

ahoj, supe tak uz to chodi. diky moc

ale jeste mam jeden problem: kdyz se pripojuji z venku ( z pc umisteneho mimo vnitrni sit) tak open vpn se pripoji server mu da dresu v pohode ale kdyz dam ping 10.1.1.1 tak nic. ale kdyz to zkousim z pc na lokalni siti (pripojuji se na venkovni adresu) tak vse OK

[Corado]

Omlouvam se za posledni zmatek. bylo to win na kterych jsem to zkousel z venku. vpn funguje naprosto perfektně a to jak z win tak z linuxu.
diky moc vsem za pomoc
Honza