[Techinfo] Openvpn bridge - a becsatlakozó kliens nem pingelhető a lanról

[Fehér Sándor]

 >Miért nem a gateway mikrotik csinálja a VPN-t, és miért kell erőltetni 
az openvpn-t ?
Részben jogos, de bármennyire kedvelem a mikrotiket az openvpn része még 
nem az igazi, van hova fejlődni:

A mikrotik openvpn NEM TUDJA:
udp kommunikáció (jobb teljesítmény)
külső kulcsos tls authentikáció
kötelező az auth-user-pass
mysql authentikáció
radius authentikáció
comp-lzo
alapból nem tudsz használni dyndns címeket (scripttel persze igen)

Az openvpn linuxos verziója mellett szól:
tcp/udp is üzemel
proxyn is átmegy
natolható
elhagyható az auth-user-pass, így jelszó nélkül is használhatod 
kizárólag certekkel.
tud háromkörös authentikációt (felh/jelszó+tls(auth)+cert)
mysql auth
radius auth
active directoryból is tud authentikálni ldap-on keresztül
A legfontosabb: tudsz használni dns neveket, automatikusan feloldja, nem 
kell hozzá trükközni.

Üdvözlettel!




2016. 11. 06. 19:51 keltezéssel, Horváth Péter írta:
> Nem lehet hogy kissé el van bonyolítva ?
> Miért nem a gateway mikrotik csinálja a VPN-t, és miért kell erőltetni 
> az openvpn-t ?
> A mikrotik V4 felett már az összes VPN típust ismeri..
> Az openvpn-t a windowsokra is fel kell telepíteni, még a többit 
> maguktól is ismerik.
>
> 2016.11.06. 18:29 keltezéssel, Fehér Sándor írta:
>> Meglett a megoldás:
>> A két bejövő internet okozta a gondot. A mikrotiknál ki akartam 
>> kapcsolni a vpn-re a terheléselosztást de ez nem sikerült elsőre. :D
>> A csomagjelölő chain (mangle) korrigálása után most már jól működik.
>> Minden tud mindent pingelni és ipv6 is megy a tunnelben.
>> Elnézést, hogy terheltem a listát előző levelemmel.
>>
>> Szép hétvégét!
>> Üdvözlettel!
>>
>> 2016. 11. 06. 17:15 keltezéssel, Fehér Sándor írta:
>>> Sziasztok!
>>>
>>> A régi vpn-t lecseréltem egy sokkal biztonságosabb jobb verzióra és 
>>> egy dolgot nem értek:
>>> A kliens aki becsatlakozik, azt nem lehet elérni a belső hálózatból. 
>>> Se ping, se traceroute, semmi forgalom nem jut el a klienshez, de 
>>> csak a lan-kliens irányban. A másik irány rendben van. 
>>> (kliens-lan-internet)
>>>
>>> A környezet: Debian Jessie uptodate verzió
>>>                         Openvpn tap mode bridgeként konfigurálva
>>>                         Előtte egy mikrotik csinálja a portforwardot 
>>> az openvpn-hez.
>>>                         A mikrotik a dhcp szerver, default gw és dns 
>>> proxy.
>>>
>>> A rendszer működik amúgy, mert a becsatlakozó kliens teljesen látja 
>>> a hálózatot és ezen keresztül az internetre is "kilát" a 
>>> "redirect-gateway def1" opció hatására.
>>> A tűzfal szabályok rendben vannak, a mikrotiknál egy portforward 
>>> van, a debian-nál pedig a tap0 interfészek megvannak adva a tűzfal 
>>> zónáihoz.
>>>
>>> A lan: 192.168.4.0/24
>>> A kliens:  192.168.4.101, 255.255.255.0, 192.168.4.253(GW), 
>>> 192.168.4.253(DNS) (a fenti tartományból kap címet és be van 
>>> bridgelve a lan-ra.)
>>>
>>> Kliensről: ping 192.168.4.x (minden SUCCESS)
>>>                  ping "internet cím" (minden SUCCESS)
>>>
>>> Viszont ha a lanról vagy szerverről pingelem a (vpn) kliens-t 
>>> (192.168.4.101), akkor nincs válasz és a mikrotik sem küld infó 
>>> icmp-t. (dest unreacheable)
>>>
>>> tcpdump: eljut a icmp req a szerver lan kártyájához (br0) és 
>>> innentől elveszik a csomag, nem kerül bele a bridge-be.
>>> traceroute: nincs értelme, azonos a lan mivel bridgelt a vpn.
>>>
>>> Hivatalosan kellene tudni pingelni a külső vpn klienst bridge módban 
>>> a belső hálóról?
>>> Esetleg kellene a fd0 és stp opció a bridge-hez?
>>>
>>> Köszönöm az infókat!
>>> Üdvözlettel!
>>
>>
>> _______________________________________________
>> Techinfo mailing list
>> Techinfo at lista.sulinet.hu
>> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
>> Illemtan: http://www.szag.hu/illemtan.html
>> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>>
>>
>
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>