User option is not implemented on windows перевод

0

1

port 1194
proto udp
dev tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key  # This file should be kept secret
dh /etc/openvpn/dh2048.pem
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
tls-crypt /etc/openvpn/myvpn.tlsauth
cipher AES-256-CBC
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
verb 3
explicit-exit-notify 1
remote-cert-eku "TLS Web Client Authentication"

[root@201197 ~]# openvpn /etc/openvpn/server.conf
Fri Apr  5 17:45:14 2019 OpenVPN 2.4.7 x86_64-redhat-linux-gnu [Fedora EPEL patched] [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] built on Feb 20 2019
Fri Apr  5 17:45:14 2019 library versions: OpenSSL 1.0.2k-fips  26 Jan 2017, LZO 2.06
Fri Apr  5 17:45:14 2019 Diffie-Hellman initialized with 2048 bit key
Fri Apr  5 17:45:14 2019 Outgoing Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
Fri Apr  5 17:45:14 2019 Outgoing Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
Fri Apr  5 17:45:14 2019 Incoming Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
Fri Apr  5 17:45:14 2019 Incoming Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
Fri Apr  5 17:45:14 2019 TUN/TAP device tun0 opened
Fri Apr  5 17:45:14 2019 TUN/TAP TX queue length set to 100
Fri Apr  5 17:45:14 2019 /sbin/ip link set dev tun0 up mtu 1500
Fri Apr  5 17:45:14 2019 /sbin/ip addr add dev tun0 10.8.0.1/24 broadcast 10.8.0.255
Fri Apr  5 17:45:14 2019 Could not determine IPv4/IPv6 protocol. Using AF_INET
Fri Apr  5 17:45:14 2019 Socket Buffers: R=[212992->212992] S=[212992->212992]
Fri Apr  5 17:45:14 2019 UDPv4 link local (bound): [AF_INET][undef]:1194
Fri Apr  5 17:45:14 2019 UDPv4 link remote: [AF_UNSPEC]
Fri Apr  5 17:45:14 2019 GID set to nobody
Fri Apr  5 17:45:14 2019 UID set to nobody
Fri Apr  5 17:45:14 2019 MULTI: multi_init called, r=256 v=256
Fri Apr  5 17:45:14 2019 IFCONFIG POOL: base=10.8.0.2 size=252, ipv6=0
Fri Apr  5 17:45:14 2019 IFCONFIG POOL LIST
Fri Apr  5 17:45:14 2019 Initialization Sequence Completed

Fri Apr  5 17:49:22 2019 188.170.175.91:3712 TLS: Initial packet from [AF_INET]188.170.175.91:3712, sid=a6471a08 704d2771
Fri Apr  5 17:49:28 2019 188.170.175.91:3712 TLS: new session incoming connection from [AF_INET]188.170.175.91:3712
Fri Apr  5 17:49:33 2019 188.170.175.91:3712 TLS: new session incoming connection from [AF_INET]188.170.175.91:3712

Fri Apr 05 17:49:22 2019 NOTE: --user option is not implemented on Windows
Fri Apr 05 17:49:22 2019 NOTE: --group option is not implemented on Windows
Fri Apr 05 17:49:22 2019 OpenVPN 2.4.7 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Feb 21 2019
Fri Apr 05 17:49:22 2019 Windows version 6.2 (Windows 8 or greater) 64bit
Fri Apr 05 17:49:22 2019 library versions: OpenSSL 1.1.0j  20 Nov 2018, LZO 2.10
Enter Management Password:
Fri Apr 05 17:49:22 2019 TCP/UDP: Preserving recently used remote address: [AF_INET]89.223.27.230:1194
Fri Apr 05 17:49:22 2019 UDP link local (bound): [AF_INET][undef]:1194
Fri Apr 05 17:49:22 2019 UDP link remote: [AF_INET]89.223.27.230:1194
Fri Apr 05 17:49:23 2019 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed
Fri Apr 05 17:49:23 2019 TLS_ERROR: BIO read tls_read_plaintext error
Fri Apr 05 17:49:23 2019 TLS Error: TLS object -> incoming plaintext read error
Fri Apr 05 17:49:23 2019 TLS Error: TLS handshake failed
Fri Apr 05 17:49:23 2019 SIGUSR1[soft,tls-error] received, process restarting
Fri Apr 05 17:49:28 2019 TCP/UDP: Preserving recently used remote address: [AF_INET]89.223.27.230:1194

Посмотрите https://forum.altlinux.org/index.php?topic=8557.msg163936#msg163936
и ниже.
Что-то с ключами.
Создайте по новой. Попробуйте варианты.
Проверьте работу сервера.

В части предложенной ссылки:

Создайте по новой. Попробуйте варианты.

В приведенной ссылке сказано:

Шаг № 1 Получаем готовые файлы

А процедура их генерации какая правильная?
Если не «берем ранее полученные» а «если надо добавить windows-клиента», то … ?
Я для генерации использовал создание нового ключа в разделе управления ssl-ключами (через веб-интерфейс) и подписывал полученный ключ в сооветствующем разделе УЦ, далее получил файл ответа (pem), брал подписанный (в примере это vova.cert), файл ключа брал с сервера сертификации и openvpn-client-CA.crt — это pem удостоверяющего центра. Потом забирал файлы по указанным путям полученные сертификаты.

Есть вариант сгенерировать комплект ключей посредством консоли? Так чтобы они выпали в конкретное место?

А также возник вопрос/просьба объяснить алгоритм работы (логику):
Есть УЦ на одной машине, есть openvpn сервер на другой. Как они связаны? Как работает «обновление сертификатов», если я на openvpn-сервере создал сертификат, перенёс его руками на другой ПК и подписал в УЦ — процесс закончился тем, что я получил файл ответа — и дальше что? На сервере я не нашёл «слепка» подписанного сертификата. Если пользователь (или удалённая сеть), скажем по-турецки, ёк, то что? УЦ сменился и всем переделывать сертификаты (ибо не сохранив старый уц мы не можем пересоздать сертификаты, но они работают до окончания срока их работы). А автообновление сертификатов — на кой оно? Только для внутренних сервисов?

И да, сертификат openvpn-сервера подтверждает только логин соединения? Так как всё, что есть у vpn-сервера — это наименование соединения, а сертификат — это только подтверждения принадлежности устанавливающего соединение к имени, которым он предствляется?

Простите, если вопросы покажутся глупыми, но … пока я много чего не понимаю, или не правильно использую.

И вообще, правильно ли я понимаю, что в приведенном примере:
vova.key получаем на сервере сертификации
openvpn-client-CA.crt — корневой сертификат удостоверяющего центра
vova.cert — это файл ответа (исходно pem-файл, получаемый в УЦ)?

Тонкая настройка OpenVPN

Есть домашний минисервер на Ubuntu. На нём установлен OpenVPN. Есть рабочий комп, который умеет подключаться к минисерверу через openVPN. Рабочая сеть имеет выход в интернет через Forefront. Как сделать так, чтобы при подключении по VPN: 1) весь интернет трафик шёл через минисервер? 2) была полностью доступна рабочая локалка?

push «redirect-gateway» не проходит, при этом вообще полностью отваливается интернет и даже рабочая локалка.

Убрал все push route, оставил только push «redirect-gateway»

весь инет сразу после подключения отвалился.

белый IP в логе заменил на *.*.*.*

Убрал все push route, оставил только push «redirect-gateway»
весь инет сразу после подключения отвалился.

1) убери из пуша redirect-private, если используешь redirect-gateway.

2) роуты более-менее корректны, кмк, у тебя не форвадит мини-сервер.

3) tracert до нужного хоста дай.

Вот так я попадаю в локальную сеть 192.168.0.0/24 через openvpn-сеть 192.168.2.0/24

форвардинг 192.168.0.0/24 192.168.2.0/24 разрешён, естественно

о чудо, наконец то мы увидели логи клиента!

WARNING: potential route subnet conflict between local LAN [10.10.1.4/255.255.255.252] and remote VPN [10.10.1.0/255.255.255.0]

1) убери из пуша redirect-private, если используешь redirect-gateway.

плюсую
хотелось бы еще увидеть текущий вариант конфига, ибо там какой то винегрет в совокупности с полным непониманием топикстартера принципа работы openvpn

о чудо, наконец то мы увидели логи клиента!

Да ладно тебе, человек исправляется. Глядишь, и мануалы, наконец, читать начнёт))

Да ладно

WARNING: potential route subnet conflict between local LAN [10.10.1.4/255.255.255.252] and remote VPN [10.10.1.0/255.255.255.0]

Чего такого-то? OpenVPN способен разрулить эти конфликты, при желании настраивающего и наличии у него прямых рук.

хотелось бы еще увидеть текущий вариант конфига, ибо там какой то винегрет в совокупности с полным непониманием топикстартера принципа работы openvpn

Чего такого-то? OpenVPN способен разрулить эти конфликты, при желании настраивающего и наличии у него прямых рук.

Нормальные люди другую подсеть выделят для впна.

уезжаю на неделю, продолжу эксперименты по возвращении

Нормальные люди другую подсеть выделят для впна.

уезжаю на неделю, продолжу эксперименты по возвращении

При всём моём уважении, за время, которое тут висит Ваш вопрос, можно было документацию по OpenVPN выучить наизусть. За сим откланиваюсь, ибо надоело.

Источник

Openvpn проблемы с подключением на Windows

Проблемы с виндой, пришел на форум о линукс, разметку соблюдать лень, пусть глаза ломают. ты правда рассчитываешь на помощь?

ссори сейчас исправлю

winda впоряде есть тестовый клиент на не все работает

В Markdown выделение блоков кода — «` в начале и в конце. И при чем тут Linux?

если можно по подробнее я новичок

не совсем понял о чем речь если не трудно скажите в какую сторону копать

Да куда понятнее, ***. Вы уже настолько отупели, что без пошагового видео не можете? Ты вывод терминала зачем-то разметил просто двойным переносом на каждой строчке — а хватило бы поставить «` в начале и в конце для красивой разметки.

И повторяю вопрос: Linux какое отношение к проблеме имеет?

да он хочет сбежать с винды через openvpn ^))

а на ЛОР его гугель послал – по-моему очевидно :/

ТС почитай это или это – потом отредактируй тему. Может и помогут… Просто весь день ломать глаза об скверно отредактированные сообщения от новичков (и не только) кто угодно озвереет. А ты ещё и с виндой… Понимаешь это как – прийти к фанатам Спартака и сказать им что, болеешь за Зенит. Если без аллегорий: рецепты линукса могут тебе не подойти.

Да тему твою не читал – реально тяжело такое разбирать…

гоу на форум говновинды. нехерь захламлять мой уютненький лорчик

Отредактировал. надеюсь на помощь

На форуме много тем связаны с виндой (такая реакция только на меня по моему).

Нет, на все темы типа «у меня винда, а в ней такая проблема» реакция одинаковая. И ещё я пишу из под anonymous, другие тоже могут писать из под anonymous. Новички первое время думают, что anonymous это один и тот же человек. И сильно удивляются, что от него идут и подсказки, и угрозы, и насмешки… Пишет тебе один или несколько анонов, знают только модераторы (наверное). Поэтому, сначала думай, а потом делай (будут и вредные советы, куда ж без них)

А что в логах сервера?

Ну такое себе… Хотя прочитать можно

Fri Dec 06 22:26:28 2019 NOTE: –user option is not implemented on Windows Fri Dec 06 22:26:28 2019 NOTE: –group option is not implemented on Windows

Тебе же прямым текстом говорят, что эти опции для windows-версии клиента не реализованы. Как я понимаю, ты пытаешься настраивать и запускать openvpn по мануалам для linux в windows. Так оно работать не будет. Или осваивай линукс (например, в виртуалке или как liveUSB), или ищи туториалы по настройке openvpn в windows.

а почему в одном случае в строке лога TCP connection established with виден один ip, а в другом другой? К разным серверам подключаетесь? Может и сертификаты нужны тогда разные?

Добавь опцию verb с каким-нибудь средним значением. То, что оно на обоих концах рвётся сразу после попытки TLS-рукопожатия, сужает круг возможных причин

А разве оно не IP клиента должно показывать, со стороны сервера-то?

verb 3 потом поменял на verb 5

И после этого заново приложи логи сервера и клиента. Эта опция только на уровень логирования влияет

А если 7 поставить? Я не помню, на каком оно показывает параметры сертификатов

подумалось, что можно на винду накатить wsl и оттуда попробовать подключиться, лол. интересно, wsl может шарить сеть?

Источник

Не работает OpenVPN

Висит минут 5 и далее:

При попытке подключиться с клиента (Windows 10), запуск с правами Администратора, в журнале:

Подскажите пжл, в чем может быть дело?

Проблема в сертификатах.

Fri Apr 05 17:49:23 2019 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed

Вы, видимо, либо неправильно их создаете, либо неправильно их используете. Создавайте сертификаты через easy-rsa, и не забудьте, что для сервера нужно создавать server-сертификат, а для клиента — client-сертификат.

На компьютере, где создаете сертификаты, убедитесь, что установлено правильное время, и на всех остальных компьютерах тоже.

Вроде разобрался, подключился, работает.

Но вот в процессе подключения на клиенте падают warning-и, особенно смущает первый:

Полный лог клиента:

Подскажите пжл. как решить, особенно первый?

Не первый раз замечаю людей с выборочной способностью чтения. Вам же явно написано, где читать и что делать. Вы прочли текст по ссылке? Из него что-то непонятно?

Вы не приводите конфигурационный файл клиента, но там, видимо, используется опция tun-mtu. Не применяйте её, как и fragment и mssfix. В OpenVPN используются нормальные значения по умолчанию.

Не первый раз замечаю людей с выборочной способностью чтения. Вам же явно написано, где читать и что делать. Вы прочли текст по ссылке? Из него что-то непонятно?

Я переходил по ссылке, но она ведет просто на документацию общую, не на определенный раздел или описание параметра.

это добавил, т.к. были еще warning-и ругающиеся на несовпадения данных параметров на сервере и клиенте, после добавления данных параметров в конфиг клиента эти warning-и перестали выводиться.

WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.

Мой вариант без гемороя.

Это не то. VPN в Android настроить можно, но он требует графический ключ. Я подключался через эту прогу https://play.google.com/store/apps/details?id=net.openvpn.openvpn минимум настроек, работает из коробки.

Я подключался через эту прогу

Уже завелось, но попробую как-нибудь, интересно.

Источник

Почему клиент не подключается к серверу OpenVPN?

port 1194
mode server
proto tcp
dev tun
ca ca.crt
cert OpenVPN.crt
key OpenVPN.key
dh dh1024.pem
client-to-client
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push route 192.168.1.0 255.255.255.0
;push redirect-gateway tun0
route 10.47.1.0 255.255.255.0
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
client-config-dir C:\ccd\
verb 3

client
dev tun
proto tcp
remote 10.8.0.0 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
ns-cert-type server
comp-lzo
verb 3

ошибка при подключении:

Mon Jan 11 11:51:25 2016 OpenVPN 2.3.10 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [IPv6] built on Jan 4 2016
Mon Jan 11 11:51:25 2016 Windows version 6.2 (Windows 8 or greater)
Mon Jan 11 11:51:25 2016 library versions: OpenSSL 1.0.1q 3 Dec 2015, LZO 2.09
Mon Jan 11 11:51:25 2016 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
Mon Jan 11 11:51:25 2016 Need hold release from management interface, waiting.
Mon Jan 11 11:51:25 2016 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
Mon Jan 11 11:51:26 2016 MANAGEMENT: CMD ‘state on’
Mon Jan 11 11:51:26 2016 MANAGEMENT: CMD ‘log all on’
Mon Jan 11 11:51:26 2016 MANAGEMENT: CMD ‘hold off’
Mon Jan 11 11:51:26 2016 MANAGEMENT: CMD ‘hold release’
Mon Jan 11 11:51:26 2016 Socket Buffers: R=[65536->65536] S=[65536->65536]
Mon Jan 11 11:51:26 2016 Attempting to establish TCP connection with [AF_INET]10.8.0.0:1194 [nonblock]
Mon Jan 11 11:51:26 2016 MANAGEMENT: >STATE:1452505886,TCP_CONNECT.
Mon Jan 11 11:51:36 2016 TCP: connect to [AF_INET]10.8.0.0:1194 failed, will try again in 5 seconds: The system tried to join a drive to a directory on a joined drive.
Mon Jan 11 11:51:41 2016 MANAGEMENT: >STATE:1452505901,TCP_CONNECT.
Mon Jan 11 11:51:51 2016 TCP: connect to [AF_INET]10.8.0.0:1194 failed, will try again in 5 seconds: The system tried to join a drive to a directory on a joined drive.
Mon Jan 11 11:51:56 2016 MANAGEMENT: >STATE:1452505916,TCP_CONNECT.
Mon Jan 11 11:52:07 2016 TCP: connect to [AF_INET]10.8.0.0:1194 failed, will try again in 5 seconds: The system tried to join a drive to a directory on a joined drive.
Mon Jan 11 11:52:12 2016 MANAGEMENT: >STATE:1452505932,TCP_CONNECT.

и так подключение идет по кругу но не подключается

Источник

Пошаговая настройка OpenVPN в Windows

Настраиваем сервер.

#
# OpenSSL example configuration file.
# This is mostly being used for generation of certificate requests.
#

# To use this configuration file with the «-extfile» option of the
# «openssl x509» utility, name here the section containing the
# X.509v3 extensions to use:
# extensions =
# (Alternatively, use a configuration file that has only
# X.509v3 extensions in its main [= default] section.)

# We can add new OIDs in here for use by ‘ca’ and ‘req’.
# Add a simple OID like this:
# testoid1=1.2.3.4
# Or use config file substitution like this:
# testoid2=$.5.6

x509_extensions = usr_cert # The extentions to add to the cert

# Extensions to add to a CRL. Note: Netscape communicator chokes on V2 CRLs
# so this is commented out by default to leave a V1 CRL.
# crl_extensions = crl_ext

default_days = 3650 # how long to certify for
default_crl_days= 30 # how long before next CRL
default_md = md5 # which md to use.
preserve = no # keep passed DN ordering

# A few difference way of specifying how similar the request should look
# For type CA, the listed attributes must be the same, and the optional
# and supplied fields are just that 🙂
policy = policy_match

# For the CA policy
[ policy_match ]
countryName = match
stateOrProvinceName = match
organizationName = match
organizationalUnitName = optional
commonName = supplied
emailAddress = optional

# For the ‘anything’ policy
# At this point in time, you must list all acceptable ‘object’
# types.
[ policy_anything ]
countryName = optional
stateOrProvinceName = optional
localityName = optional
organizationName = optional
organizationalUnitName = optional
commonName = supplied
emailAddress = optional

# Passwords for private keys if not present they will be prompted for
# input_password = secret
# output_password = secret

# This sets a mask for permitted string types. There are several options.
# default: PrintableString, T61String, BMPString.
# pkix: PrintableString, BMPString.
# utf8only: only UTF8Strings.
# nombstr: PrintableString, T61String (no BMPStrings or UTF8Strings).
# MASK:XXXX a literal mask value.
# WARNING: current versions of Netscape crash on BMPStrings or UTF8Strings
# so use this option with caution!
string_mask = nombstr

# req_extensions = v3_req # The extensions to add to a certificate request

# we can do this but it is not needed normally 🙂
#1.organizationName = Second Organization Name (eg, company)
#1.organizationName_default = World Wide Web Pty Ltd

organizationalUnitName = Organizational Unit Name (eg, section)
#organizationalUnitName_default =

commonName = Common Name (eg, your name or your server’s hostname)
commonName_max = 64

# SET-ex3 = SET extension number 3

[ req_attributes ]
challengePassword = A challenge password
challengePassword_min = 4
challengePassword_max = 20

unstructuredName = An optional company name

# These extensions are added when ‘ca’ signs a request.

# This goes against PKIX guidelines but some CAs do it and some software
# requires this to avoid interpreting an end user certificate as a CA.

# Here are some examples of the usage of nsCertType. If it is omitted
# the certificate can be used for anything *except* object signing.

# This is OK for an SSL server.
# nsCertType = server

# For an object signing certificate this would be used.
# nsCertType = objsign

# For normal client use this is typical
# nsCertType = client, email

# and for everything including object signing:
# nsCertType = client, email, objsign

# This is typical in keyUsage for a client certificate.
# keyUsage = nonRepudiation, digitalSignature, keyEncipherment

# This will be displayed in Netscape’s comment listbox.
nsComment = «OpenSSL Generated Certificate»

# PKIX recommendations harmless if included in all certificates.
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer:always

# This stuff is for subjectAltName and issuerAltname.
# Import the email address.
# subjectAltName=email:copy

# Copy subject details
# issuerAltName=issuer:copy

#nsCaRevocationUrl = www.domain.dom/ca-crl.pem
#nsBaseUrl
#nsRevocationUrl
#nsRenewalUrl
#nsCaPolicyUrl
#nsSslServerName

# JY ADDED — Make a cert with nsCertType set to «server»
basicConstraints=CA:FALSE
nsCertType = server
nsComment = «OpenSSL Generated Server Certificate»
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer:always

# Extensions to add to a certificate request

basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment

# Extensions for a typical CA

# This is what PKIX recommends but some broken software chokes on critical
# extensions.
#basicConstraints = critical,CA:true
# So we do this instead.
basicConstraints = CA:true

# Key usage: this is typical for a CA certificate. However since it will
# prevent it being used as an test self-signed certificate it is best
# left out by default.
# keyUsage = cRLSign, keyCertSign

# Some might want this also
# nsCertType = sslCA, emailCA

# Include email address in subject alt name: another PKIX recommendation
# subjectAltName=email:copy
# Copy issuer details
# issuerAltName=issuer:copy

# DER hex encoding of an extension: beware experts only!
# obj=DER:02:03
# Where ‘obj’ is a standard or added object
# You can even override a supported extension:
# basicConstraints= critical, DER:30:03:01:01:FF

# CRL extensions.
# Only issuerAltName and authorityKeyIdentifier make any sense in a CRL.

Копируем index.txt.start в index.txt, а serial.start в serial в папку ssl

Пора создавать сертификаты

Отправляем CA.crt, klient.crt, klient.key, ta.key из «c:openvpnssl» нашим клиентам (помещаем их в такую же директорию « c:openvpnssl»).

Настройка клиента

На сервере запускаем файл server.ovpn(кнопка «StartOpenvpn…» в контекстном меню), на клиенте clientVPN.ovpn. При необходимости изменяем тип запуска нашей службы(OpenVPN Service) на «Автоматически». Туннель поднят, можете смело заходить на работу, допустим по RDP. Адрес сервера в нашей виртуальной сети будет 192.168.0.1. Надеюсь, этот пост сократит время для настройки OpenVpn, даже для самых начинающих до нескольких минут.

Данная статья не подлежит комментированию, поскольку её автор ещё не является полноправным участником сообщества. Вы сможете связаться с автором только после того, как он получит приглашение от кого-либо из участников сообщества. До этого момента его username будет скрыт псевдонимом.

Это «Песочница» — раздел, в который попадают дебютные посты пользователей, желающих стать полноправными участниками сообщества.

Если у вас есть приглашение, отправьте его автору понравившейся публикации — тогда её смогут прочитать и обсудить все остальные пользователи Хабра.

Чтобы исключить предвзятость при оценке, все публикации анонимны, псевдонимы показываются случайным образом.

Не надо пропускать:

Источник

Видео

Помогите настроить, гугль не помог, сдаюсь. Сервер на vps с kvm. С техподдержкой связывлся, говорят ограничений никаких.
Конфиг сервера

#################################################
# Sample OpenVPN 2.0 config file for            #
# multi-client server.                          #
#                                               #
# This file is for the server side              #
# of a many-clients <-> one-server              #
# OpenVPN configuration.                        #
#                                               #
# OpenVPN also supports                         #
# single-machine <-> single-machine             #
# configurations (See the Examples page         #
# on the web site for more info).               #
#                                               #
# This config should work on Windows            #
# or Linux/BSD systems.  Remember on            #
# Windows to quote pathnames and use            #
# double backslashes, e.g.:                     #
# "C:\Program Files\OpenVPN\config\foo.key" #
#                                               #
# Comments are preceded with '#' or ';'         #
#################################################

Конфиг клиента

##############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server.     #
#                                            #
# This configuration can be used by multiple #
# clients, however each client should have   #
# its own cert and key files.                #
#                                            #
# On Windows, you might want to rename this  #
# file so it has a .ovpn extension           #
##############################################

Лог сервера

Tue Mar 28 23:53:14 2017 OpenVPN 2.3.2 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [eurephia] $
Tue Mar 28 23:53:14 2017 Diffie-Hellman initialized with 2048 bit key
Tue Mar 28 23:53:14 2017 Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
Tue Mar 28 23:53:14 2017 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMA$
Tue Mar 28 23:53:14 2017 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMA$
Tue Mar 28 23:53:14 2017 Socket Buffers: R=[212992->131072] S=[212992->131072]
Tue Mar 28 23:53:14 2017 ROUTE_GATEWAY 212.109.218.1/255.255.254.0 IFACE=eth0 HWADDR=52:54:00:09:f3:34
Tue Mar 28 23:53:14 2017 TUN/TAP device tun0 opened
Tue Mar 28 23:53:14 2017 TUN/TAP TX queue length set to 100
Tue Mar 28 23:53:14 2017 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Tue Mar 28 23:53:14 2017 /sbin/ip link set dev tun0 up mtu 1500
Tue Mar 28 23:53:14 2017 /sbin/ip addr add dev tun0 local 10.8.0.1 peer 10.8.0.2
Tue Mar 28 23:53:14 2017 /sbin/ip route add 10.8.0.0/24 via 10.8.0.2
Tue Mar 28 23:53:14 2017 GID set to nogroup
Tue Mar 28 23:53:14 2017 UID set to nobody
Tue Mar 28 23:53:14 2017 UDPv4 link local (bound): [undef]
Tue Mar 28 23:53:14 2017 UDPv4 link remote: [undef]
Tue Mar 28 23:53:14 2017 MULTI: multi_init called, r=256 v=256
Tue Mar 28 23:53:14 2017 IFCONFIG POOL: base=10.8.0.4 size=62, ipv6=0
Tue Mar 28 23:53:14 2017 IFCONFIG POOL LIST
Tue Mar 28 23:53:14 2017 Initialization Sequence Completed
Лог клиента:

Wed Mar 29 00:15:02 2017 NOTE: --user option is not implemented on Windows
Wed Mar 29 00:15:02 2017 NOTE: --group option is not implemented on Windows
Wed Mar 29 00:15:02 2017 OpenVPN 2.3.14 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [IPv6] built on Dec  7 2016
Wed Mar 29 00:15:02 2017 Windows version 6.2 (Windows 8 or greater) 64bit
Wed Mar 29 00:15:02 2017 library versions: OpenSSL 1.0.2i  22 Sep 2016, LZO 2.09
Enter Management Password:
Wed Mar 29 00:15:02 2017 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25341
Wed Mar 29 00:15:02 2017 Need hold release from management interface, waiting...
Wed Mar 29 00:15:03 2017 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25341
Wed Mar 29 00:15:03 2017 MANAGEMENT: CMD 'state on'
Wed Mar 29 00:15:03 2017 MANAGEMENT: CMD 'log all on'
Wed Mar 29 00:15:03 2017 MANAGEMENT: CMD 'hold off'
Wed Mar 29 00:15:03 2017 MANAGEMENT: CMD 'hold release'
Wed Mar 29 00:15:03 2017 Control Channel Authentication: tls-auth using INLINE static key file
Wed Mar 29 00:15:03 2017 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Wed Mar 29 00:15:03 2017 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Wed Mar 29 00:15:03 2017 Socket Buffers: R=[65536->65536] S=[65536->65536]
Wed Mar 29 00:15:03 2017 UDPv4 link local: [undef]
Wed Mar 29 00:15:03 2017 UDPv4 link remote: [AF_INET]*.*.*.*:1194
Wed Mar 29 00:15:03 2017 MANAGEMENT: >STATE:1490735703,WAIT,,,
Wed Mar 29 00:16:03 2017 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Wed Mar 29 00:16:03 2017 TLS Error: TLS handshake failed
Wed Mar 29 00:16:03 2017 SIGUSR1[soft,tls-error] received, process restarting
Wed Mar 29 00:16:03 2017 MANAGEMENT: >STATE:1490735763,RECONNECTING,tls-error,,
Wed Mar 29 00:16:03 2017 Restart pause, 2 second(s)
Wed Mar 29 00:16:05 2017 Socket Buffers: R=[65536->65536] S=[65536->65536]
Wed Mar 29 00:16:05 2017 UDPv4 link local: [undef]
Wed Mar 29 00:16:05 2017 UDPv4 link remote: [AF_INET]*.*.*.*:1194
Wed Mar 29 00:16:05 2017 MANAGEMENT: >STATE:1490735765,WAIT,,,
Wed Mar 29 00:17:05 2017 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Wed Mar 29 00:17:05 2017 TLS Error: TLS handshake failed
Wed Mar 29 00:17:05 2017 SIGUSR1[soft,tls-error] received, process restarting
Wed Mar 29 00:17:05 2017 MANAGEMENT: >STATE:1490735825,RECONNECTING,tls-error,,
Wed Mar 29 00:17:05 2017 Restart pause, 2 second(s)
Wed Mar 29 00:17:07 2017 Socket Buffers: R=[65536->65536] S=[65536->65536]
Wed Mar 29 00:17:07 2017 UDPv4 link local: [undef]
Wed Mar 29 00:17:07 2017 UDPv4 link remote: [AF_INET]*.*.*.*:1194
Wed Mar 29 00:17:07 2017 MANAGEMENT: >STATE:1490735827,WAIT,,,
sudo ufw status

To                         Action      From
--                         ------      ----
1194/udp                   ALLOW       Anywhere
1194/udp (v6)              ALLOW       Anywhere (v6)sudo netstat -ntulp

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:2222            0.0.0.0:*               LISTEN      782/sshd
tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN      854/mysqld
tcp6       0      0 :::2222                 :::*                    LISTEN      782/sshd
tcp6       0      0 :::80                   :::*                    LISTEN      977/apache2
udp        0      0 0.0.0.0:1194            0.0.0.0:*                           2339/openvpn


Всем привет!

Openvpn 2.3.1-I001-x86_64, Windows 2008 R2 SP1, брандмауэр включен, из того что возможно будет интересно знать, стоит secret net 6, kaspersky security 10. Есть ещё uniper SRX210H к которому прямого доступа нет, ssh тоже нет, только веб.

Решил настроить OpenVPN вместо pptp т.к. у клиента как я уже написал есть Juniper и пробросить порт 1723 не получается в виду ограниченного опыта…

В общем настроил всё на локальном тестовом сервере по этой инструкции:

http://www.sysadmin.in.ua/info/index/19/27/39

Изнутри работает, единственное со внешки ещё не успел попробовать подключатся, позже попробую.

У клиента всё по аналогии настроил, пинги по виртуальному ip проходят, единственное порт изменил на 443.

Пробую подключиться, пишет:

В конфиге изменил UDP на TCP, пишет следущее:

Поняв что я делаю не так, сейчас вопрос получается в следующем, как повернуть всё это дело на внешний адрес?

Hello,
my problem looks like this:

Sun Mar 25 19:18:20 2018 NOTE: --user option is not implemented on Windows
Sun Mar 25 19:18:20 2018 NOTE: --group option is not implemented on Windows
Options error: Unrecognized option or missing or extra parameter(s) in client1.ovpn:135: < (2.4.5)
Use --help for more information.

I installed OpenVPN on Ubuntu Server 16.04 using this tutorial: link here this is polish version of this: digitalocean.com link

My client1.ovpn config looks like this:

##############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server.     #
#                                            #
# This configuration can be used by multiple #
# clients, however each client should have   #
# its own cert and key files.                #
#                                            #
# On Windows, you might want to rename this  #
# file so it has a .ovpn extension           #
##############################################

# script-security 2
# up /etc/openvpn/update-resolv-conf
# down /etc/openvpn/update-resolv-conf

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun


# Windows needs the TAP-Win32 adapter name
# from the Network Connections panel
# if you have more than one.  On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server?  Use the same setting as
# on the server.
;proto tcp
proto udp

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote CENSORED 1194
;remote my-server-2 1194

# Choose a random host from the remote
# list for load-balancing.  Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server.  Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
resolv-retry infinite

# Most clients don't need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
user nobody
group nogroup

# Try to preserve some state across restarts.
persist-key
persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets.  Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings



# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
#ca ca.crt
#cert client.crt
#key client.key

# Verify server certificate by checking that the
# certicate has the correct key usage set.
# This is an important precaution to protect against
# a potential attack discussed here:
#  http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the keyUsage set to
#   digitalSignature, keyEncipherment
# and the extendedKeyUsage to
#   serverAuth
# EasyRSA can do this for you.
remote-cert-tls server

# If a tls-auth key is used on the server
# then every client must also have the key.
;tls-auth ta.key 1
auth SHA256
key-direction 1

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
cipher AES-128-CBC

# Enable compression on the VPN link.
# Don't enable this unless it is also
# enabled in the server config file.
comp-lzo

# Set log file verbosity.
verb 3

# Silence repeating messages
;mute 20
< ca >
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
< /ca >
< /cert >
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 2 (0x2)
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C=PL, ST=kujawsko-pomorskie, L=Aleksandrow Kujawski, O=Jan Borowicki's VPN, OU=Jan's Personal Usage (education purposes), CN=none, personal usage CA/name=server/emailAddress=jasiu4d@wp.pl
        Validity
            Not Before: Mar 25 16:11:39 2018 GMT
            Not After : Mar 22 16:11:39 2028 GMT
        Subject: C=PL, ST=kujawsko-pomorskie, L=Aleksandrow Kujawski, O=none, personal usage, OU=Jan's Personal Usage (education purposes), CN=client1/name=server/emailAddress=jasiu4d@wp.pl
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:da:9e:d4:1f:84:2f:6d:be:15:73:b5:87:0a:6e:
                    e3:e0:b0:55:7b:4a:a5:d7:f0:60:c7:5f:99:a5:3b:
                    be:2b:cc:09:88:de:5d:28:7a:90:6c:07:84:de:90:
                    78:c3:04:04:03:13:54:ef:90:d2:2a:68:96:77:25:
                    f6:bb:d1:21:85:d7:81:ce:b2:76:09:74:02:90:c8:
                    32:86:df:67:8e:60:10:b4:28:f1:d4:46:28:61:8b:
                    3e:4f:8f:6b:5d:59:8a:4b:d0:0d:e9:d4:37:c9:84:
                    af:43:9a:16:29:4b:52:a5:d9:7b:bb:d5:df:43:e1:
                    46:19:b3:2e:7d:d8:ed:cc:0b:87:49:e9:be:ef:6c:
                    e3:cc:4e:4b:fc:0d:c2:af:10:cd:8c:bd:df:ce:9d:
                    f3:8b:ac:48:11:2c:8e:95:c2:b1:a2:fa:59:f8:98:
                    70:29:6e:47:43:e9:8c:c5:52:58:43:87:60:54:13:
                    7a:df:50:e2:05:fc:48:3e:4b:0e:2c:86:ba:2a:09:
                    2f:fe:62:d1:57:0e:03:11:ca:14:28:6f:4b:58:ee:
                    21:dd:6d:34:e4:39:5b:62:47:0f:d9:c8:ea:b8:b7:
                    39:34:c1:41:e6:64:58:bb:3b:3b:62:1f:76:8e:57:
                    e4:f0:4c:ce:41:b9:fd:1f:6c:6b:2b:af:5e:74:c9:
                    5a:05
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            Netscape Comment: 
                Easy-RSA Generated Certificate
            X509v3 Subject Key Identifier: 
                55:E3:3E:AB:19:27:04:30:EB:E3:70:4A:E1:84:2D:F2:A8:48:F0:2F
            X509v3 Authority Key Identifier: 
                keyid:37:82:2A:22:E0:C3:76:56:AA:F9:34:9F:BA:52:31:37:D0:78:7B:4B
                DirName:/C=PL/ST=kujawsko-pomorskie/L=Aleksandrow Kujawski/O=Jan Borowicki's VPN/OU=Jan's Personal Usage (education purposes)/CN=none, personal usage CA/name=server/emailAddress=jasiu4d@wp.pl
                serial:AD:89:27:AE:48:48:5B:38

            X509v3 Extended Key Usage: 
                TLS Web Client Authentication
            X509v3 Key Usage: 
                Digital Signature
            X509v3 Subject Alternative Name: 
                DNS:client1
    Signature Algorithm: sha256WithRSAEncryption
         d9:7b:88:30:d0:85:e1:da:79:a6:11:86:8f:3c:9e:be:41:52:
         b8:87:fa:e5:23:5d:56:a8:fb:9e:4d:06:32:31:f7:86:73:15:
         5a:b5:7c:5b:89:ca:3f:84:6f:8a:b8:31:59:01:3a:d2:ba:b4:
         34:7c:51:5e:d5:56:5b:0f:78:91:fd:6d:98:60:05:b3:04:1c:
         4f:bd:df:9d:dd:07:14:49:23:68:a5:a1:d7:91:ca:9d:55:b0:
         34:50:cb:33:b4:31:3a:e2:6c:fc:ad:8f:31:f5:fa:87:2c:7f:
         ab:99:68:d5:69:88:99:37:b5:9c:0a:35:70:27:df:d9:77:db:
         7f:58:6a:15:60:27:4f:3f:8c:bb:81:b6:c7:aa:db:2e:67:a2:
         08:e3:bd:d1:43:00:02:e7:34:ee:ce:89:87:de:da:13:d9:f8:
         0b:e7:a7:83:21:c6:21:e2:94:72:bc:78:25:20:aa:f4:d9:fa:
         34:14:af:7c:98:50:ff:7f:45:85:29:55:7b:2f:73:cd:9a:ab:
         4a:fc:5b:31:af:98:db:b9:24:c3:a6:18:7c:b3:85:56:2a:d2:
         0c:84:a3:c5:cd:2f:66:b2:97:f9:c6:33:af:4c:64:e8:56:4b:
         6d:85:e0:f3:a2:e9:3e:8d:5c:65:e8:ee:cc:52:a6:48:85:96:
         2a:dc:d8:b4
-----BEGIN CERTIFICATE-----
MIIGAjCCBOqgAwIBAgIBAjANBgkqhkiG9w0BAQsFADCB7DELMAkGA1UEBhMCUEwx
GzAZBgNVBAgTEmt1amF3c2tvLXBvbW9yc2tpZTEdMBsGA1UEBxMUQWxla3NhbmRy
b3cgS3VqYXdza2kxHDAaBgNVBAoTE0phbiBCb3Jvd2lja2kncyBWUE4xMjAwBgNV
BAsTKUphbidzIFBlcnNvbmFsIFVzYWdlIChlZHVjYXRpb24gcHVycG9zZXMpMSAw
HgYDVQQDExdub25lLCBwZXJzb25hbCB1c2FnZSBDQTEPMA0GA1UEKRMGc2VydmVy
MRwwGgYJKoZIhvcNAQkBFg1qYXNpdTRkQHdwLnBsMB4XDTE4MDMyNTE2MTEzOVoX
DTI4MDMyMjE2MTEzOVowgd0xCzAJBgNVBAYTAlBMMRswGQYDVQQIExJrdWphd3Nr
by1wb21vcnNraWUxHTAbBgNVBAcTFEFsZWtzYW5kcm93IEt1amF3c2tpMR0wGwYD
VQQKExRub25lLCBwZXJzb25hbCB1c2FnZTEyMDAGA1UECxMpSmFuJ3MgUGVyc29u
YWwgVXNhZ2UgKGVkdWNhdGlvbiBwdXJwb3NlcykxEDAOBgNVBAMTB2NsaWVudDEx
DzANBgNVBCkTBnNlcnZlcjEcMBoGCSqGSIb3DQEJARYNamFzaXU0ZEB3cC5wbDCC
ASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBANqe1B+EL22+FXO1hwpu4+Cw
VXtKpdfwYMdfmaU7vivMCYjeXSh6kGwHhN6QeMMEBAMTVO+Q0ipolncl9rvRIYXX
gc6ydgl0ApDIMobfZ45gELQo8dRGKGGLPk+Pa11ZikvQDenUN8mEr0OaFilLUqXZ
e7vV30PhRhmzLn3Y7cwLh0npvu9s48xOS/wNwq8QzYy9386d84usSBEsjpXCsaL6
WfiYcCluR0PpjMVSWEOHYFQTet9Q4gX8SD5LDiyGuioJL/5i0VcOAxHKFChvS1ju
Id1tNOQ5W2JHD9nI6ri3OTTBQeZkWLs7O2Ifdo5X5PBMzkG5/R9sayuvXnTJWgUC
AwEAAaOCAbowggG2MAkGA1UdEwQCMAAwLQYJYIZIAYb4QgENBCAWHkVhc3ktUlNB
IEdlbmVyYXRlZCBDZXJ0aWZpY2F0ZTAdBgNVHQ4EFgQUVeM+qxknBDDr43BK4YQt
8qhI8C8wggEjBgNVHSMEggEaMIIBFoAUN4IqIuDDdlaq+TSfulIxN9B4e0uhgfKk
ge8wgewxCzAJBgNVBAYTAlBMMRswGQYDVQQIExJrdWphd3Nrby1wb21vcnNraWUx
HTAbBgNVBAcTFEFsZWtzYW5kcm93IEt1amF3c2tpMRwwGgYDVQQKExNKYW4gQm9y
b3dpY2tpJ3MgVlBOMTIwMAYDVQQLEylKYW4ncyBQZXJzb25hbCBVc2FnZSAoZWR1
Y2F0aW9uIHB1cnBvc2VzKTEgMB4GA1UEAxMXbm9uZSwgcGVyc29uYWwgdXNhZ2Ug
Q0ExDzANBgNVBCkTBnNlcnZlcjEcMBoGCSqGSIb3DQEJARYNamFzaXU0ZEB3cC5w
bIIJAK2JJ65ISFs4MBMGA1UdJQQMMAoGCCsGAQUFBwMCMAsGA1UdDwQEAwIHgDAS
BgNVHREECzAJggdjbGllbnQxMA0GCSqGSIb3DQEBCwUAA4IBAQDZe4gw0IXh2nmm
EYaPPJ6+QVK4h/rlI11WqPueTQYyMfeGcxVatXxbico/hG+KuDFZATrSurQ0fFFe
1VZbD3iR/W2YYAWzBBxPvd+d3QcUSSNopaHXkcqdVbA0UMsztDE64mz8rY8x9fqH
LH+rmWjVaYiZN7WcCjVwJ9/Zd9t/WGoVYCdPP4y7gbbHqtsuZ6II473RQwAC5zTu
zomH3toT2fgL56eDIcYh4pRyvHglIKr02fo0FK98mFD/f0WFKVV7L3PNmqtK/Fsx
r5jbuSTDphh8s4VWKtIMhKPFzS9mspf5xjOvTGToVkttheDzouk+jVxl6O7MUqZI
hZYq3Ni0
-----END CERTIFICATE-----
< /cert >
< /key >
-----BEGIN ENCRYPTED PRIVATE KEY-----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-----END ENCRYPTED PRIVATE KEY-----
< /key >
< /tls-auth >
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
ec6843be9c2dd3f49ff069fe1c29d90c
7a1ee3fec456639b7398aa6c342fa448
53a3c26fc976156126bd060c155e96da
865057221edeb322ae825ee53f844503
797f2356ea41e3449c1fa673b12798f6
fea1a322299dd6c61895beda4fd784f8
4a56b5ea7dfe9a34a3418b69690180bf
12deaf5dc4ce0315441c276b3bb62278
2e4f300b8822318fea02e247c6f0a224
d16ee1a5d397a48e4e6167c2adaece3b
19b012978f7d04c22e86ebc6ddc1216d
a91d2117aabbc8248194b371aa0b9427
8c79088bad97f2f0ffd61e84c0b8a456
b542251901a7ffe9361fa553dc8bc4c8
adbcf9c6c7b6cc54191f4146a3f29237
735286b50c2288f02d0ef50cde33c556
-----END OpenVPN Static key V1-----
< /tls-auth >

I really do not know what is wrong with line 135 — «< ca >», I did everything as written in tutorial including de-commenting lines:

I am using OpenVPN client on Windows 10, propably Home Edition.

После подключения VPN пропадает интернет.

Очень часто новички VPN сталкиваются с тем, что при включении VPN пропадает интернет.

Почему это происходит?
По умолчанию, при создании VPN-подключения в настройках используется опция “Использовать основной шлюз удаленной сети”.
То есть если на VPN-сервере у выделяемой подсети для клиентов настроен доступ в интернет, то он и у вас не будет падать при подключении VPN-соединения.
Но как правило подсетям VPN нет необходимости выходить в интернет, поэтому при включенной опции “Использовать основной шлюз удаленной сети” у вас не будет интернет-подключения.

Разберем как это исправить?

1. При подключении VPN пропадает интернет в Windows XP, Windows 7.

Нужно убрать галочку с настройки “Использовать основной шлюз удаленной сети”.
1. Переходим в свойства нашего “VPN-соединения“.
2. Вкладка Сеть – IP версии 4(TCP/IPv4) – Свойства.
3. В окне Свойства: IP версии 4(TCP/IPv4) жмем кнопку “Дополнительно“.
4. В окне Дополнительные параметры TCP/IP снимаем галочку “Использовать основной шлюз в удаленной сети“.
Через кнопку ОК сохраняем изменения..
5. Подключаем VPN-соединение.
6. Открывает командную строку от имени администратора – “Запуск от имени Администратора.”
7. В командной строке вводим команду route print и в открывшемся списке интерфейсов находим имя нашего VPN подключения “VPN-ITHELP21RU”.
Запоминаем номер интерфейса “ 54 “.

8. В этой же командой строке пропишем маршрут, что бы только подключение к удаленному рабочему столу работало через VPN-шлюз.

route -p add 192.168.50.0 mask 255.255.255.0 192.168.100.10 if 54

Расшифровка:
192.168.50.0 – подсеть вашего удаленного ПК, к которому вы хотите подключиться после поднятия VPN;
192168.100.10 – ваш адрес текущего VPN подключения;
if 54 – номер VPN интерфейса из 7 пункта;

Переподключаемся к VPN и проверяем доступность в интернет.
После данных изменений может возникнуть ситуация, что нет доступа к ресурсам локальной сети, для этого вам нужно прописать маршрут, прочитав статью VPN клиент не видит локальную сеть.

2.При подключении VPN пропадает интернет в Windows 10. Два способа

Способ, описанный выше работает в операционных система до Windows 10.

Первый способ для Windows 10.

Начиная с Windows 10 настройки для работы интернета с включенным VPN будут следующие:
1. Открываем файл rasphone.pbk с помощью блокнота, который по-умолчанию скрытый. Что бы видеть скрытые файлы нужно в меню проводника перейти в меню “Вид – Показать или скрыть” и установить галочку в поле “Скрытые элементы”.
Файл находится по следующему пути:

В открывшемся текстовым редактором файле rasphone.pbk находим параметр «IpPrioritizeRemote»
По-умолчанию его значение равно «1», которое нужно изменить на «0», и сохранить.
Перезапустите VPN соединение.

Второй способ для Windows 10.

По традиции, если первый способ не помог, то поможет второй способ.

1. Переходим в свойства нашего “VPN-соединения“.
2. Вкладка Сеть – IP версии 4(TCP/IPv4) – Свойства.
3. В окне Свойства: IP версии 4(TCP/IPv4) жмем кнопку “Дополнительно“.
4. В окне Дополнительные параметры TCP/IP снимаем галочку “Использовать основной шлюз в удаленной сети“.
Через кнопку ОК сохраняем изменения.
5. Подключаем VPN-соединение.
6. Открывает командную строку от имени администратора – “Запуск от имени Администратора.”
7. В командной строке вводим команду route print и в открывшемся списке интерфейсов находим имя нашего VPN подключения “VPN-ITHELP21RU”.
Запоминаем номер интерфейса “ 54 “.

8. В этой же командой строке пропишем маршрут, что бы только подключение к удаленному рабочему столу работало через VPN-шлюз.

route -p add 192.168.50.0 mask 255.255.255.0 192.168.100.10 if 54

Расшифровка:
192.168.50.0 – подсеть вашего удаленного ПК, к которому вы хотите подключиться после поднятия VPN;
192168.100.10 – ваш адрес текущего VPN подключения;
if 54 – номер VPN интерфейса из 7 пункта;

Напишите в комментариях какой способ вам помог.

Источник

Нет интернета на клиенте при подключении к серверу по OpenVpn

Всем привет! Я в настройке OpenVpn на сервере Debian новичок, поэтому прошу помощи. У меня есть арендованный VPS сервер, на нем я планировал настроить OpenVpn и подключаясь по OpenVpn выходить в сеть. Клиент мой на Windows 7 х64 Все вроде бы настроил, по OpenVpn (версия клиента 11.12.00) подключение проходит нормально, загорается зеленым экранчик, но сразу пропадает инет полностью на машине. Ничего не пингуется и не проходит tracert c машины. При этом на самом сервере инет есть, вроде никаких ограничений от провайдера, технология Tun/Tap провайдером для сервера подключена. Информации по аналогичным проблемам в инете очень много и я не нашел решения, кроме как обратиться сюда. Скажите, какие мне необходимо выложить логи с сервера Debian, чтобы мне помогли диагностировать и решить проблему? Пока могу приложить лог подключения к OpenVpn: в нем вроде все нормально, но первые 2 строки красные: —user option is not implemented on Windows —group option is not implemented on Windows

Заранее Всем благодарен за помощь!

Ничего не пингуется и не проходит tracert c машины.

Сам VPS-сервер пингуется? Что с маршрутизацией на клиенте и на сервере?

Сам сервер пингуется при включенном и не включенном OpenVpn. С маршрутизацией вроде должно быть все в порядке. Какую команду на сервере выполнить и какие логи приложить?

Покажите какие команды для маршрутизации выполнялись.

На клиенте стоит обычный брандмауэр Windows 7 На сервере включен файрвол UFW

На сервере покажите вывод команды ip route. На клиенте не знаю, как посмотреть таблицу маршрутизации — не работал никогда с этой OS :(.

Отключение файрволов влияет на ситуацию или нет?

Да особо никаких команд для маршрутизации выполнялось, был включен файрвол UFW, проверено, что он пропускает OpenSSH, затем был создан центр сертификации, настроены стандартные переменные в vars Созданы сертификаты, ключи и файлов шифрования для сервера (диффи-хелман и т.п) Создан сертификат и пара ключей для клиента Настроена конфигурация OpenVPN на сервере, в частности выставлены параметры: key-direction 0 cipher AES-128-CBC auth SHA256 user nobody group nogroup push «redirect-gateway def1 bypass-dhcp» push «dhcp-option DNS 208.67.222.222» push «dhcp-option DNS 208.67.220.220» Порт оставлен стандартный 1194

Для настройки перенаправления IP была выполнена всего 1 команда net.ipv4.ip_forward=1 sysctl -p

Настройка правил UFW только это # START OPENVPN RULES # NAT table rules *nat :POSTROUTING ACCEPT [0:0] # Allow traffic from OpenVPN client to eth0 -A POSTROUTING -s 10.8.0.0/8 -o venet0 -j MASQUERADE COMMIT # END OPENVPN RULES

Открытие порта OpenVPN ufw allow 1194/udp ufw allow OpenSSH

Команда systemctl start openvpn@server и ip addr show tun0 отработали штатно

Потом systemctl enable openvpn@server

Тогда каким образом сервер будет предоставлять доступ клиентам в интернет ?
UPD: пропустил в портянке текста маскарадинг. тогда у меня нет идей чего не работает.

Источник

OpenVPN Support Forum

Community Support Forum

Windows 7 — cannot browse internet after connecting

Windows 7 — cannot browse internet after connecting

Post by redtopia » Thu Jan 19, 2017 6:58 pm

We just setup an OpenVPN Access server on AWS using the prebuilt AMI. We are using the unlicensed version and installed all the updates.

The problem is that when i connect to the VPN using the OpenVPN Connect app, I am unable to access the internet. The VPN looks like it’s connected, both in the client (or in the browser) and on the server. But I have no access to the internet.

I cannot ping the default gateway for the VPN, so I’m not even sure that I have a good connection or if ping is just turned off. I cannot go to https://123.123.123.123/admin (the server admin page) — the page doesn’t load, though I am an OpenVPN admin user.

On my machine, Windows Firewall is turned off. I did bypass the chrome warning about the insecure connection when using the browser to connect.

There is another Windows 7 user who is connecting successfully with no problems.

Re: Windows 7 — cannot browse internet after connecting

Post by redtopia » Fri Jan 20, 2017 4:29 pm

UPDATE: I can go to the admin page when I am not connected to the VPN. Looking at the log files, it appears that I am being authenticated successfully, but then when the VPN is established, I lose all connectivity. I cannot ping the VPN gateway, which should be possible according to the other Windows 7 user who has no problems.

It appears that there may be a problem with the TAP Adapter. Any recommendations for troubleshooting?

Re: Windows 7 — cannot browse internet after connecting

Post by redtopia » Fri Jan 20, 2017 5:49 pm

UPDATE 2: I can now access the internet. In the properties for my wireless adapter, I clicked on properties for TCP/IPv4, then clicked on Advanced, and then unchecked «Automatic metric» and gave the Interface metric a value of 15. This changed my route table so that the wireless card was given a higher priority than the TAP adapter.

I’m still trying to figure out how why I cannot ping the VPN gateway.

Re: Windows 7 — cannot browse internet after connecting

Post by novaflash » Fri Jan 20, 2017 6:12 pm

Try adding this line to Advanced VPN > Server config directives;

push «route-metric 1000»

And save settings and update running servers. Undo the change you made to your wifi interface and try connecting and see what happens.

Re: Windows 7 — cannot browse internet after connecting

Post by redtopia » Fri Jan 20, 2017 6:18 pm

All I needed to do was lower the metric of my LAN adapter as I specified in UPDATE 2. I verified that nobody can ping the VPN gateway, but once connected, I can ping other IP addresses for the users who are also connected. To do this, I made a change to the user permissions — «Allow access from» — all other VPN clients. I just changed that for testing.

Re: Windows 7 — cannot browse internet after connecting

Post by redtopia » Fri Jan 20, 2017 6:37 pm

Источник

Openvpn проблемы с подключением на Windows

Проблемы с виндой, пришел на форум о линукс, разметку соблюдать лень, пусть глаза ломают. ты правда рассчитываешь на помощь?

ссори сейчас исправлю

winda впоряде есть тестовый клиент на не все работает

В Markdown выделение блоков кода — «` в начале и в конце. И при чем тут Linux?

если можно по подробнее я новичок

не совсем понял о чем речь если не трудно скажите в какую сторону копать

Да куда понятнее, ***. Вы уже настолько отупели, что без пошагового видео не можете? Ты вывод терминала зачем-то разметил просто двойным переносом на каждой строчке — а хватило бы поставить «` в начале и в конце для красивой разметки.

И повторяю вопрос: Linux какое отношение к проблеме имеет?

да он хочет сбежать с винды через openvpn ^))

а на ЛОР его гугель послал – по-моему очевидно :/

ТС почитай это или это – потом отредактируй тему. Может и помогут… Просто весь день ломать глаза об скверно отредактированные сообщения от новичков (и не только) кто угодно озвереет. А ты ещё и с виндой… Понимаешь это как – прийти к фанатам Спартака и сказать им что, болеешь за Зенит. Если без аллегорий: рецепты линукса могут тебе не подойти.

Да тему твою не читал – реально тяжело такое разбирать…

гоу на форум говновинды. нехерь захламлять мой уютненький лорчик

Отредактировал. надеюсь на помощь

На форуме много тем связаны с виндой (такая реакция только на меня по моему).

Нет, на все темы типа «у меня винда, а в ней такая проблема» реакция одинаковая. И ещё я пишу из под anonymous, другие тоже могут писать из под anonymous. Новички первое время думают, что anonymous это один и тот же человек. И сильно удивляются, что от него идут и подсказки, и угрозы, и насмешки… Пишет тебе один или несколько анонов, знают только модераторы (наверное). Поэтому, сначала думай, а потом делай (будут и вредные советы, куда ж без них)

А что в логах сервера?

Ну такое себе… Хотя прочитать можно

Fri Dec 06 22:26:28 2019 NOTE: –user option is not implemented on Windows Fri Dec 06 22:26:28 2019 NOTE: –group option is not implemented on Windows

Тебе же прямым текстом говорят, что эти опции для windows-версии клиента не реализованы. Как я понимаю, ты пытаешься настраивать и запускать openvpn по мануалам для linux в windows. Так оно работать не будет. Или осваивай линукс (например, в виртуалке или как liveUSB), или ищи туториалы по настройке openvpn в windows.

а почему в одном случае в строке лога TCP connection established with виден один ip, а в другом другой? К разным серверам подключаетесь? Может и сертификаты нужны тогда разные?

Добавь опцию verb с каким-нибудь средним значением. То, что оно на обоих концах рвётся сразу после попытки TLS-рукопожатия, сужает круг возможных причин

А разве оно не IP клиента должно показывать, со стороны сервера-то?

verb 3 потом поменял на verb 5

И после этого заново приложи логи сервера и клиента. Эта опция только на уровень логирования влияет

А если 7 поставить? Я не помню, на каком оно показывает параметры сертификатов

подумалось, что можно на винду накатить wsl и оттуда попробовать подключиться, лол. интересно, wsl может шарить сеть?

Источник

OpenVPN Support Forum

Community Support Forum

can not connect to openvpn version 2.3.11

can not connect to openvpn version 2.3.11

Post by testa0testa1 » Mon Aug 15, 2016 12:07 pm

can not connect to openvpn version 2.3.11

Post by testa0testa1 » Mon Aug 15, 2016 12:19 pm

can somebody help? Thanks

==========ec2 linux openvpn server config:

# Which local IP address should OpenVPN
# listen on? (optional)
;local a.b.c.d

# Which TCP/UDP port should OpenVPN listen on?
# If you want to run multiple OpenVPN instances
# on the same machine, use a different port
# number for each one. You will need to
# open up this port on your firewall.
port 1194

# TCP or UDP server?
;proto tcp
proto udp

# «dev tun» will create a routed IP tunnel,
# «dev tap» will create an ethernet tunnel.
# Use «dev tap0» if you are ethernet bridging
# and have precreated a tap0 virtual interface
# and bridged it with your ethernet interface.
# If you want to control access policies
# over the VPN, you must create firewall
# rules for the the TUN/TAP interface.
# On non-Windows systems, you can give
# an explicit unit number, such as tun0.
# On Windows, use «dev-node» for this.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun

# Windows needs the TAP-Win32 adapter name
# from the Network Connections panel if you
# have more than one. On XP SP2 or higher,
# you may need to selectively disable the
# Windows firewall for the TAP adapter.
# Non-Windows systems usually don’t need this.
;dev-node MyTap

# SSL/TLS root certificate (ca), certificate
# (cert), and private key (key). Each client
# and the server must have their own cert and
# key file. The server and all clients will
# use the same ca file.
#
# See the «easy-rsa» directory for a series
# of scripts for generating RSA certificates
# and private keys. Remember to use
# a unique Common Name for the server
# and each of the client certificates.
#
# Any X509 key management system can be used.
# OpenVPN can also use a PKCS #12 formatted key file
# (see «pkcs12» directive in man page).
ca /etc/openvpn/pki/ca.crt
cert /etc/openvpn/pki/issued/server.crt
key /etc/openvpn/pki/private/server.key
# This file should be kept secret

# Network topology
# Should be subnet (addressing via IP)
# unless Windows clients v2.0.9 and lower have to
# be supported (then net30, i.e. a /30 per client)
# Defaults to net30 (not recommended)
;topology subnet

# Configure server mode and supply a VPN subnet
# for OpenVPN to draw client addresses from.
# The server will take 10.8.0.1 for itself,
# the rest will be made available to clients.
# Each client will be able to reach the server
# on 10.8.0.1. Comment this line out if you are
# ethernet bridging. See the man page for more info.
server 10.8.0.0 255.255.255.0

# Maintain a record of client virtual IP address
# associations in this file. If OpenVPN goes down or
# is restarted, reconnecting clients can be assigned
# the same virtual IP address from the pool that was
# previously assigned.
ifconfig-pool-persist /etc/openvpn/ipp.txt

# Configure server mode for ethernet bridging.
# You must first use your OS’s bridging capability
# to bridge the TAP interface with the ethernet
# NIC interface. Then you must manually set the
# IP/netmask on the bridge interface, here we
# assume 10.8.0.4/255.255.255.0. Finally we
# must set aside an IP range in this subnet
# (start=10.8.0.50 end=10.8.0.100) to allocate
# to connecting clients. Leave this line commented
# out unless you are ethernet bridging.
;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100

# Configure server mode for ethernet bridging
# using a DHCP-proxy, where clients talk
# to the OpenVPN server-side DHCP server
# to receive their IP address allocation
# and DNS server addresses. You must first use
# your OS’s bridging capability to bridge the TAP
# interface with the ethernet NIC interface.
# Note: this mode only works on clients (such as
# Windows), where the client-side TAP adapter is
# bound to a DHCP client.
;server-bridge

# Push routes to the client to allow it
# to reach other private subnets behind
# the server. Remember that these
# private subnets will also need
# to know to route the OpenVPN client
# address pool (10.8.0.0/255.255.255.0)
# back to the OpenVPN server.
;push «route 192.168.10.0 255.255.255.0»
;push «route 192.168.20.0 255.255.255.0»
push «route 10.0.0.0 255.255.0.0»

# To assign specific IP addresses to specific
# clients or if a connecting client has a private
# subnet behind it that should also have VPN access,
# use the subdirectory «ccd» for client-specific
# configuration files (see man page for more info).

# EXAMPLE: Suppose the client
# having the certificate common name «Thelonious»
# also has a small subnet behind his connecting
# machine, such as 192.168.40.128/255.255.255.248.
# First, uncomment out these lines:
;client-config-dir ccd
;route 192.168.40.128 255.255.255.248
# Then create a file ccd/Thelonious with this line:
# iroute 192.168.40.128 255.255.255.248
# This will allow Thelonious’ private subnet to
# access the VPN. This example will only work
# if you are routing, not bridging, i.e. you are
# using «dev tun» and «server» directives.

# EXAMPLE: Suppose you want to give
# Thelonious a fixed VPN IP address of 10.9.0.1.
# First uncomment out these lines:
;client-config-dir ccd
;route 10.9.0.0 255.255.255.252
# Then add this line to ccd/Thelonious:
# ifconfig-push 10.9.0.1 10.9.0.2

# If enabled, this directive will configure
# all clients to redirect their default
# network gateway through the VPN, causing
# all IP traffic such as web browsing and
# and DNS lookups to go through the VPN
# (The OpenVPN server machine may need to NAT
# or bridge the TUN/TAP interface to the internet
# in order for this to work properly).
;push «redirect-gateway def1 bypass-dhcp»

# Certain Windows-specific network settings
# can be pushed to clients, such as DNS
# or WINS server addresses. CAVEAT:
# http://openvpn.net/faq.html#dhcpcaveats
# The addresses below refer to the public
# DNS servers provided by opendns.com.
;push «dhcp-option DNS 208.67.222.222»
;push «dhcp-option DNS 208.67.220.220»

# Uncomment this directive to allow different
# clients to be able to «see» each other.
# By default, clients will only see the server.
# To force clients to only see the server, you
# will also need to appropriately firewall the
# server’s TUN/TAP interface.
;client-to-client

# Uncomment this directive if multiple clients
# might connect with the same certificate/key
# files or common names. This is recommended
# only for testing purposes. For production use,
# each client should have its own certificate/key
# pair.
#
# IF YOU HAVE NOT GENERATED INDIVIDUAL
# CERTIFICATE/KEY PAIRS FOR EACH CLIENT,
# EACH HAVING ITS OWN UNIQUE «COMMON NAME»,
# UNCOMMENT THIS LINE OUT.
;duplicate-cn

# The keepalive directive causes ping-like
# messages to be sent back and forth over
# the link so that each side knows when
# the other side has gone down.
# Ping every 10 seconds, assume that remote
# peer is down if no ping received during
# a 120 second time period.
keepalive 10 120

# Select a cryptographic cipher.
# This config item must be copied to
# the client config file as well.
;cipher BF-CBC # Blowfish (default)
;cipher AES-128-CBC # AES
;cipher DES-EDE3-CBC # Triple-DES

# Enable compression on the VPN link.
# If you enable it here, you must also
# enable it in the client config file.
comp-lzo

# The maximum number of concurrently connected
# clients we want to allow.
;max-clients 100

# It’s a good idea to reduce the OpenVPN
# daemon’s privileges after initialization.
#
# You can uncomment this out on
# non-Windows systems.
user nobody
group nobody

# The persist options will try to avoid
# accessing certain resources on restart
# that may no longer be accessible because
# of the privilege downgrade.
persist-key
persist-tun

# Output a short status file showing
# current connections, truncated
# and rewritten every minute.
status /var/log/openvpn-status.log

# By default, log messages will go to the syslog (or
# on Windows, if running as a service, they will go to
# the «Program FilesOpenVPNlog» directory).
# Use log or log-append to override this default.
# «log» will truncate the log file on OpenVPN startup,
# while «log-append» will append to it. Use one
# or the other (but not both).
log /var/log/openvpn.log
;log-append openvpn.log

# Set the appropriate level of log
# file verbosity.
#
# 0 is silent, except for fatal errors
# 4 is reasonable for general usage
# 5 and 6 can help to debug connection problems
# 9 is extremely verbose
verb 9

# Silence repeating messages. At most 20
# sequential messages of the same message
# category will be output to the log.
mute 20

==========windows 10 client config:

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun

# Windows needs the TAP-Win32 adapter name
# from the Network Connections panel
# if you have more than one. On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server? Use the same setting as
# on the server.
;proto tcp
proto tcp

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote 54.173.64.237 1194
;remote my-server-2 1194

# Choose a random host from the remote
# list for load-balancing. Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server. Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
resolv-retry infinite

# Most clients don’t need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
user nobody
group nobody

# Try to preserve some state across restarts.
persist-key
persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here. See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets. Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings

# Verify server certificate by checking that the
# certicate has the correct key usage set.
# This is an important precaution to protect against
# a potential attack discussed here:
# http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the keyUsage set to
# digitalSignature, keyEncipherment
# and the extendedKeyUsage to
# serverAuth
# EasyRSA can do this for you.
remote-cert-tls server

# If a tls-auth key is used on the server
# then every client must also have the key.
;tls-auth ta.key 1

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
;cipher x

# Enable compression on the VPN link.
# Don’t enable this unless it is also
# enabled in the server config file.
comp-lzo

# Set log file verbosity.
verb 9

# Silence repeating messages
mute 20

Re: can not connect to openvpn version 2.3.11

Post by TinCanTech » Mon Aug 15, 2016 1:24 pm

Re: can not connect to openvpn version 2.3.11

Post by testa0testa1 » Mon Aug 15, 2016 11:50 pm

Thanks for looking at it.

The issue is: windows 10 client can not connect to aws ami linux openvpn server. The below is service/client config/log

port 1194
proto udp
dev tun
ca /etc/openvpn/pki/ca.crt
cert /etc/openvpn/pki/issued/server.crt
key /etc/openvpn/pki/private/server.key
dh /etc/openvpn/pki/dh.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist /etc/openvpn/ipp.txt
push «route 10.0.0.0 255.255.255.0»
push «route 10.0.1.0 255.255.255.0»
push «route 10.0.10.0 255.255.255.0»
push «route 10.0.20.0 255.255.255.0»
keepalive 10 120
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn-status.log
log /var/log/openvpn.log
verb 4
mute 20

client
dev tun
proto udp
remote 54.173.64.237 1194
resolv-retry infinite
nobind
user nobody
group nobody
persist-key
persist-tun
ca «C:\Program Files\OpenVPN\config\ca.crt»
cert «C:\Program Files\OpenVPN\config\cliuser1.crt»
key «C:\Program Files\OpenVPN\config\cliuser1.key»
remote-cert-tls server
comp-lzo
verb 4
mute 20

Источник

Тонкая настройка OpenVPN

Есть домашний минисервер на Ubuntu. На нём установлен OpenVPN. Есть рабочий комп, который умеет подключаться к минисерверу через openVPN. Рабочая сеть имеет выход в интернет через Forefront. Как сделать так, чтобы при подключении по VPN: 1) весь интернет трафик шёл через минисервер? 2) была полностью доступна рабочая локалка?

push «redirect-gateway» не проходит, при этом вообще полностью отваливается интернет и даже рабочая локалка.

Убрал все push route, оставил только push «redirect-gateway»

весь инет сразу после подключения отвалился.

белый IP в логе заменил на *.*.*.*

Убрал все push route, оставил только push «redirect-gateway»
весь инет сразу после подключения отвалился.

1) убери из пуша redirect-private, если используешь redirect-gateway.

2) роуты более-менее корректны, кмк, у тебя не форвадит мини-сервер.

3) tracert до нужного хоста дай.

Вот так я попадаю в локальную сеть 192.168.0.0/24 через openvpn-сеть 192.168.2.0/24

форвардинг 192.168.0.0/24 192.168.2.0/24 разрешён, естественно

о чудо, наконец то мы увидели логи клиента!

WARNING: potential route subnet conflict between local LAN [10.10.1.4/255.255.255.252] and remote VPN [10.10.1.0/255.255.255.0]

1) убери из пуша redirect-private, если используешь redirect-gateway.

плюсую
хотелось бы еще увидеть текущий вариант конфига, ибо там какой то винегрет в совокупности с полным непониманием топикстартера принципа работы openvpn

о чудо, наконец то мы увидели логи клиента!

Да ладно тебе, человек исправляется. Глядишь, и мануалы, наконец, читать начнёт))

Да ладно

WARNING: potential route subnet conflict between local LAN [10.10.1.4/255.255.255.252] and remote VPN [10.10.1.0/255.255.255.0]

Чего такого-то? OpenVPN способен разрулить эти конфликты, при желании настраивающего и наличии у него прямых рук.

хотелось бы еще увидеть текущий вариант конфига, ибо там какой то винегрет в совокупности с полным непониманием топикстартера принципа работы openvpn

Чего такого-то? OpenVPN способен разрулить эти конфликты, при желании настраивающего и наличии у него прямых рук.

Нормальные люди другую подсеть выделят для впна.

уезжаю на неделю, продолжу эксперименты по возвращении

Нормальные люди другую подсеть выделят для впна.

уезжаю на неделю, продолжу эксперименты по возвращении

При всём моём уважении, за время, которое тут висит Ваш вопрос, можно было документацию по OpenVPN выучить наизусть. За сим откланиваюсь, ибо надоело.

Источник

Не работает OpenVPN

Висит минут 5 и далее:

При попытке подключиться с клиента (Windows 10), запуск с правами Администратора, в журнале:

Подскажите пжл, в чем может быть дело?

Проблема в сертификатах.

Fri Apr 05 17:49:23 2019 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed

Вы, видимо, либо неправильно их создаете, либо неправильно их используете. Создавайте сертификаты через easy-rsa, и не забудьте, что для сервера нужно создавать server-сертификат, а для клиента — client-сертификат.

На компьютере, где создаете сертификаты, убедитесь, что установлено правильное время, и на всех остальных компьютерах тоже.

Вроде разобрался, подключился, работает.

Но вот в процессе подключения на клиенте падают warning-и, особенно смущает первый:

Полный лог клиента:

Подскажите пжл. как решить, особенно первый?

Не первый раз замечаю людей с выборочной способностью чтения. Вам же явно написано, где читать и что делать. Вы прочли текст по ссылке? Из него что-то непонятно?

Вы не приводите конфигурационный файл клиента, но там, видимо, используется опция tun-mtu. Не применяйте её, как и fragment и mssfix. В OpenVPN используются нормальные значения по умолчанию.

Не первый раз замечаю людей с выборочной способностью чтения. Вам же явно написано, где читать и что делать. Вы прочли текст по ссылке? Из него что-то непонятно?

Я переходил по ссылке, но она ведет просто на документацию общую, не на определенный раздел или описание параметра.

это добавил, т.к. были еще warning-и ругающиеся на несовпадения данных параметров на сервере и клиенте, после добавления данных параметров в конфиг клиента эти warning-и перестали выводиться.

WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.

Мой вариант без гемороя.

Это не то. VPN в Android настроить можно, но он требует графический ключ. Я подключался через эту прогу https://play.google.com/store/apps/details?id=net.openvpn.openvpn минимум настроек, работает из коробки.

Я подключался через эту прогу

Уже завелось, но попробую как-нибудь, интересно.

Источник