OpenVPN

[Bum]

Ahojte

chcel by som nastaviť openvpn
viete mi stým pomôcť?
skúšam už rôzne konfiguračné subory a už sa mi z toho krížia oči - no a stale mi to nefunguje,
nechcem sa schovávať na nete. chcem len aby som sa vedel pripojiť na svoje rôzne počitače na nete.

Ďakujem za pripadné kopance správnym smerom.

[Petr Krčmář]

Umíme pomoct, umíme poradit. Ale je potřeba se umět správně ptát. Na takhle obecnou prosbu se dá dát jen obecná dobrá rada: přečti si dokumentaci.

Pokud chceš konkrétnější radu, musíš být taky konkrétnější. Co děláš a co nefunguje?

[Bum]

ja som sa v tom celom konfigurovaní zasekol
mám toto v server.conf

Kód: [Vybrat]

port 1194
        proto udp
        dev tun
        ca ca.crt
        cert server.crt
        key server.key  # This file should be kept secret
        dh dh.pem
        ;push "route 10.0.0.0 255.255.255.0"
        server 10.8.0.0 255.255.255.0
        client-config-dir /etc/openvpn/ccd
        keepalive 10 120
        tls-auth ta.key 0 # This file is secret
        auth SHA256
        ;cipher AES-256-CBC
        cipher AES-256-GCM
        auth SHA256
        user nobody
        group nogroup
        persist-key
        persist-tun
        status /var/log/openvpn/openvpn-status.log
        log         /var/log/openvpn/openvpn.log
        log-append  /var/log/openvpn/openvpn.log
        verb 3
        explicit-exit-notify 1robí mi to toto

Kód: [Vybrat]

systemctl status openvpn-server@server
● openvpn-server@server.service - OpenVPN service for server
   Loaded: loaded (/lib/systemd/system/openvpn-server@.service; enabled; vendor preset: enabled)
   Active: activating (auto-restart) (Result: exit-code) since Wed 2022-01-19 23:15:38 CET; 4s ago
     Docs: man:openvpn(8)
           https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage
           https://community.openvpn.net/openvpn/wiki/HOWTO
  Process: 19703 ExecStart=/usr/sbin/openvpn --status /run/openvpn-server/status-server.log --status-version 2 --suppress-timestamps --config server.conf (code=exited, status=1/FAILURE)
 Main PID: 19703 (code=exited, status=1/FAILURE)
   Status: "Pre-connection initialization successful"


Kód: [Vybrat]

tail /var/log/openvpn/openvpn.log
/sbin/ip addr add dev tun1 local 10.8.0.1 peer 10.8.0.2
/sbin/ip route add 10.8.0.0/24 via 10.8.0.2
RTNETLINK answers: File exists
ERROR: Linux route add command failed: external program exited with error status: 2
Could not determine IPv4/IPv6 protocol. Using AF_INET
Socket Buffers: R=[163840->163840] S=[163840->163840]
TCP/UDP: Socket bind failed on local address [AF_INET][undef]:1194: Address already in use (errno=98)
Exiting due to fatal error
Closing TUN/TAP interface
/sbin/ip addr del dev tun1 local 10.8.0.1 peer 10.8.0.2


chcel by som aby mi to pridelilo statickú adresu pre klienta.

[Petr Krčmář]

Ten konfigurák samotný vypadá docela rozumně, ale chce to ještě dodat log. V něm bude jasné, co se mu nelíbí.

Statickou adresu konkrétnímu klientovi je možné nastavit podle hostname v certifikátu. Dělá se to v souboru CCD, který musí být na serveru – odkazuješ v konfiguraci na adresář, ve kterém se ten soubor bude hledat.

[Petr Krčmář]

TCP/UDP: Socket bind failed on local address [AF_INET][undef]:1194: Address already in use (errno=98)
Exiting due to fatal error

Tady se dost jasně říká, v čem je problém: OpenVPN nemůže poslouchat na tom portu, protože už tam poslouchá jiný proces. Zjisti, který to je:

Kód: [Vybrat]

# ss -ulpn
Pro ladění konfigu je docela užitečné vypnout tu službu a pouštět si openvpn v řádce s odkazem na konfiguraci. Pak to vypisuje věci na standardní výstup a dá se na to naživo koukat. Až to funguje, tak se to nechá na té službě.

[Bum]

Kód: [Vybrat]

ss -ulpn
State                 Recv-Q                Send-Q                                                    Local Address:Port                                Peer Address:Port                                                                     
UNCONN                0                     0                                                               0.0.0.0:68                                       0.0.0.0:*                   users:(("dhclient",pid=792,fd=7))                   
UNCONN                0                     0                                                               0.0.0.0:82                                       0.0.0.0:*                   users:(("supernode",pid=417,fd=3))                   
UNCONN                0                     0                                                              10.8.0.1:123                                      0.0.0.0:*                   users:(("ntpd",pid=422,fd=24))                       
UNCONN                0                     0                                                           192.168.1.4:123                                      0.0.0.0:*                   users:(("ntpd",pid=422,fd=27))                       
UNCONN                0                     0                                                              10.0.0.1:123                                      0.0.0.0:*                   users:(("ntpd",pid=422,fd=23))                       
UNCONN                0                     0                                                             127.0.0.1:123                                      0.0.0.0:*                   users:(("ntpd",pid=422,fd=18))                       
UNCONN                0                     0                                                               0.0.0.0:123                                      0.0.0.0:*                   users:(("ntpd",pid=422,fd=17))                       
UNCONN                0                     0                                                         192.168.1.255:137                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=22))                       
UNCONN                0                     0                                                           192.168.1.4:137                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=21))                       
UNCONN                0                     0                                                            10.0.0.255:137                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=17))                       
UNCONN                0                     0                                                              10.0.0.1:137                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=16))                       
UNCONN                0                     0                                                               0.0.0.0:137                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=14))                       
UNCONN                0                     0                                                         192.168.1.255:138                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=24))                       
UNCONN                0                     0                                                           192.168.1.4:138                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=23))                       
UNCONN                0                     0                                                            10.0.0.255:138                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=19))                       
UNCONN                0                     0                                                              10.0.0.1:138                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=18))                       
UNCONN                0                     0                                                               0.0.0.0:138                                      0.0.0.0:*                   users:(("nmbd",pid=423,fd=15))                       
UNCONN                0                     0                                                               0.0.0.0:1194                                     0.0.0.0:*                   users:(("openvpn",pid=32551,fd=5))                   
UNCONN                0                     0                                                               0.0.0.0:48839                                    0.0.0.0:*                   users:(("avahi-daemon",pid=343,fd=14))               
UNCONN                0                     0                                                               0.0.0.0:5353                                     0.0.0.0:*                   users:(("avahi-daemon",pid=343,fd=12))               
UNCONN                0                     0                                                               0.0.0.0:46984                                    0.0.0.0:*                   users:(("edge",pid=418,fd=4))                       
UNCONN                0                     0                                      [fe80::5680:7f9c:b1b2:e0db]%tun0:123                                         [::]:*                   users:(("ntpd",pid=422,fd=26))                       
UNCONN                0                     0                                    [fe80::beae:c5ff:fe0c:2e85]%enp1s0:123                                         [::]:*                   users:(("ntpd",pid=422,fd=28))                       
UNCONN                0                     0                                     [fe80::e432:cbff:fee7:c76a]%edge0:123                                         [::]:*                   users:(("ntpd",pid=422,fd=25))                       
UNCONN                0                     0                                                                 [::1]:123                                         [::]:*                   users:(("ntpd",pid=422,fd=19))                       
UNCONN                0                     0                                                                  [::]:123                                         [::]:*                   users:(("ntpd",pid=422,fd=16))                       
UNCONN                0                     0                                                                  [::]:5353                                        [::]:*                   users:(("avahi-daemon",pid=343,fd=13))               
UNCONN                0                     0                                                                  [::]:57654                                       [::]:*                   users:(("avahi-daemon",pid=343,fd=15))

[Bum]

zabil som a spustil este raz openvpn
 

Kód: [Vybrat]

/etc/openvpn/server# tail /var/log/openvpn/openvpn.log
UDPv4 link local (bound): [AF_INET][undef]:1194
UDPv4 link remote: [AF_UNSPEC]
GID set to nogroup
UID set to nobody
MULTI: multi_init called, r=256 v=256
IFCONFIG POOL: base=10.8.0.4 size=62, ipv6=0
Initialization Sequence Completed
TLS Error: cannot locate HMAC in incoming packet from [AF_INET]192.168.1.1:52308
TLS Error: cannot locate HMAC in incoming packet from [AF_INET]192.168.1.1:52308
TLS Error: cannot locate HMAC in incoming packet from [AF_INET]192.168.1.1:52308
root@debianeee:/etc/openvpn/server# systemctl status openvpn-server@server
● openvpn-server@server.service - OpenVPN service for server
   Loaded: loaded (/lib/systemd/system/openvpn-server@.service; enabled; vendor preset: enabled)
   Active: active (running) since Wed 2022-01-19 23:30:48 CET; 41s ago
     Docs: man:openvpn(8)
           https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage
           https://community.openvpn.net/openvpn/wiki/HOWTO
 Main PID: 22388 (openvpn)
   Status: "Initialization Sequence Completed"
    Tasks: 1 (limit: 2304)
   Memory: 872.0K
   CGroup: /system.slice/system-openvpn\x2dserver.slice/openvpn-server@server.service
           └─22388 /usr/sbin/openvpn --status /run/openvpn-server/status-server.log --status-version 2 --suppress-timestamps --config server.conf

jan 19 23:30:48 debianeee systemd[1]: Starting OpenVPN service for server...
jan 19 23:30:48 debianeee systemd[1]: Started OpenVPN service for server.


[Bum]

v clientovi mám toto ale netuším, či správne

Kód: [Vybrat]

client
dev tun
proto udp
remote 90.64.250.169 1194
route-nopull
pull-filter ignore "dhcp-option DNS"
resolv-retry infinite
;route 10.8.0.0 255.255.255.0
nobind
user nobody
group nogroup
persist-key
persist-tun
redirect-gateway
ca /etc/openvpn/client/ca.crt
cert /etc/openvpn/client/mikilap.crt
key /etc/openvpn/client/mikilap.key
remote-cert-tls server
tls-auth ta.key 1
cipher AES-256-CBC
status /var/log/openvpn/openvpn-status.log
log         /var/log/openvpn/openvpn.log
log-append  /var/log/openvpn/openvpn.log
verb 3

log z klienta

Kód: [Vybrat]

tail -f /var/log/openvpn/openvpn.log
Wed Jan 19 23:44:41 2022 OpenVPN 2.4.7 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] built on Apr 28 2021
Wed Jan 19 23:44:41 2022 library versions: OpenSSL 1.1.1d  10 Sep 2019, LZO 2.10
Wed Jan 19 23:44:41 2022 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Jan 19 23:44:41 2022 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Wed Jan 19 23:44:41 2022 TCP/UDP: Preserving recently used remote address: [AF_INET]90.64.250.169:1194
Wed Jan 19 23:44:41 2022 Socket Buffers: R=[212992->212992] S=[212992->212992]
Wed Jan 19 23:44:41 2022 UDP link local: (not bound)
Wed Jan 19 23:44:41 2022 UDP link remote: [AF_INET]90.64.250.169:1194
Wed Jan 19 23:44:41 2022 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Zatiaľ ďakujem veľmi pekne

[Petr Krčmář]

V zásadě to vypadá dobře, jen volba route-nopull je podezřelá. Ta brání přebírání směrovacích záznamů ze serveru. Samozřejmě to může být to, co potřebuješ a chceš, ale pak musíš to směrování nastavit nějak místně na klientovi. Obvyklejší řešení je co nejvíc toho konfigurovat na serveru a klienty dělat minimalisticky.

[Bum]

vypol som to v konfiguracii u klienta ale žiadna zmena.

Desí ma tam to tls error

Kód: [Vybrat]

tail -f /var/log/openvpn/openvpn.log
Thu Jan 20 10:53:33 2022 OpenVPN 2.4.7 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] built on Apr 28 2021
Thu Jan 20 10:53:33 2022 library versions: OpenSSL 1.1.1d  10 Sep 2019, LZO 2.10
Thu Jan 20 10:53:33 2022 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Jan 20 10:53:33 2022 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Jan 20 10:53:33 2022 TCP/UDP: Preserving recently used remote address: [AF_INET]90.64.250.169:1194
Thu Jan 20 10:53:33 2022 Socket Buffers: R=[212992->212992] S=[212992->212992]
Thu Jan 20 10:53:33 2022 UDP link local: (not bound)
Thu Jan 20 10:53:33 2022 UDP link remote: [AF_INET]90.64.250.169:1194
Thu Jan 20 10:53:33 2022 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Thu Jan 20 10:54:33 2022 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Thu Jan 20 10:54:33 2022 TLS Error: TLS handshake failed
Thu Jan 20 10:54:33 2022 SIGUSR1[soft,tls-error] received, process restarting
Thu Jan 20 10:54:33 2022 Restart pause, 5 second(s)
Thu Jan 20 10:54:38 2022 TCP/UDP: Preserving recently used remote address: [AF_INET]90.64.250.169:1194
Thu Jan 20 10:54:38 2022 Socket Buffers: R=[212992->212992] S=[212992->212992]
Thu Jan 20 10:54:38 2022 UDP link local: (not bound)
Thu Jan 20 10:54:38 2022 UDP link remote: [AF_INET]90.64.250.169:1194

[Petr Krčmář]

To znamená, že se to nebylo schopné síťově spojit. Příčin může být víc, třeba neběží ten démon na druhé straně nebo něco po cestě ten UDP provoz filtruje.