OpenVPN Tunnel Problem

R

RedShakal

New Member
Hallo zusammen, ich habe ein Problem mit meinem OpenVPN Server, das ich aktuell noch nicht ganz deuten kann. Ich hoffe Ihr könnt mir helfen:

Betriebsystem CentOS6


Server.conf
PHP: 
mode server
tls-server

dev tun
port 1194
proto tcp-server

server 10.0.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt

client-to-client

dh /etc/openvpn/keys/dh1024.pem
ca /etc/openvpn/keys/ca.crt
key /etc/openvpn/keys/server.key
cert /etc/openvpn/keys/server.crt

push "route 10.0.0.0 255.255.255.0"
push "redirect-gateway"

duplicate-cn
keepalive 10 60
ping-timer-rem

persist-tun
persist-key

status openvpn-status.log
log openvpn.log
log-append openvpn.log

verb 3
mute 20

Client.conf

PHP: 
remote xx.xx.xx.xx 1194
proto tcp-client
dev tun

tls-client

ca ca.crt
key client.key
cert client.crt
dh dh1024.pem

ns-cert-type server
resolv-retry infinite

nobind

keepalive 10 60
ping-timer-rem
persist-tun
persist-key

pull

Der Server startet ganz normal und ich kann mich auch problemlos mit ihm verbinden.


Server Logfile:
PHP: 
tail -f openvpn.log
Thu Apr  5 13:31:51 2012 xx.xx.xx.xx:52040 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Apr  5 13:31:51 2012 xx.xx.xx.xx:52040 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Thu Apr  5 13:31:51 2012 xx.xx.xx.xx:52040 [client] Peer Connection Initiated with xx.xx.xx.xx:52040
Thu Apr  5 13:31:51 2012 client/xx.xx.xx.xx:52040 MULTI: Learn: 10.0.0.6 -> client/xx.xx.xx.xx:52040
Thu Apr  5 13:31:51 2012 client/xx.xx.xx.xx:52040 MULTI: primary virtual IP for client/xx.xx.xx.xx:52040: 10.0.0.6
Thu Apr  5 13:31:53 2012 client/xx.xx.xx.xx:52040 PUSH: Received control message: 'PUSH_REQUEST'
Thu Apr  5 13:31:53 2012 client/xx.xx.xx.xx:52040 SENT CONTROL [client]: 'PUSH_REPLY,route 10.0.0.0 255.255.255.0,redirect-gateway,route 10.0.0.0 255.255.255.0,topology net30,ping 10,ping-restart 60,ifconfig 10.0.0.6 10.0.0.5' (status=1)
Thu Apr  5 13:32:42 2012 client/xx.xx.xx.xx:52040 Connection reset, restarting [-1]
Thu Apr  5 13:32:42 2012 client/xx.xx.xx.xx:52040 SIGUSR1[soft,connection-reset] received, client-instance restarting
Thu Apr  5 13:32:42 2012 TCP/UDP: Closing socket
Thu Apr  5 13:38:00 2012 MULTI: multi_create_instance called
Thu Apr  5 13:38:00 2012 Re-using SSL/TLS context
Thu Apr  5 13:38:00 2012 Control Channel MTU parms [ L:1543 D:140 EF:40 EB:0 ET:0 EL:0 ]
Thu Apr  5 13:38:00 2012 Data Channel MTU parms [ L:1543 D:1450 EF:43 EB:4 ET:0 EL:0 ]
Thu Apr  5 13:38:00 2012 Local Options hash (VER=V4): '7e068940'
Thu Apr  5 13:38:00 2012 Expected Remote Options hash (VER=V4): 'db02a8f8'
Thu Apr  5 13:38:00 2012 TCP connection established with xx.xx.xx.xx:52082
Thu Apr  5 13:38:00 2012 TCPv4_SERVER link local: [undef]
Thu Apr  5 13:38:00 2012 TCPv4_SERVER link remote: xx.xx.xx.xx:52082
Thu Apr  5 13:38:00 2012 xx.xx.xx.xx:52082 TLS: Initial packet from xx.xx.xx.xx:52082, sid=e9b8a9d6 d6661d0b
Thu Apr  5 13:38:02 2012 xx.xx.xx.xx:52082 VERIFY OK: depth=1, /C=US/ST=CA/L=SanFrancisco/O=Fort-Funston/CN=Fort-Funston_CA/[email protected]
Thu Apr  5 13:38:02 2012 xx.xx.xx.xx:52082 VERIFY OK: depth=0, /C=US/ST=CA/L=SanFrancisco/O=Fort-Funston/CN=client/[email protected]
Thu Apr  5 13:38:02 2012 xx.xx.xx.xx:52082 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Thu Apr  5 13:38:02 2012 xx.xx.xx.xx:52082 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Apr  5 13:38:02 2012 xx.xx.xx.xx:52082 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Thu Apr  5 13:38:02 2012 xx.xx.xx.xx:52082 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Apr  5 13:38:02 2012 xx.xx.xx.xx:52082 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Thu Apr  5 13:38:02 2012 xx.xx.xx.xx:52082 [client] Peer Connection Initiated with xx.xx.xx.xx:52082
Thu Apr  5 13:38:02 2012 client/xx.xx.xx.xx:52082 MULTI: Learn: 10.0.0.6 -> client/xx.xx.xx.xx:52082
Thu Apr  5 13:38:02 2012 client/xx.xx.xx.xx:52082 MULTI: primary virtual IP for client/xx.xx.xx.xx:52082: 10.0.0.6
Thu Apr  5 13:38:05 2012 client/xx.xx.xx.xx:52082 PUSH: Received control message: 'PUSH_REQUEST'
Thu Apr  5 13:38:05 2012 client/xx.xx.xx.xx:52082 SENT CONTROL [client]: 'PUSH_REPLY,route 10.0.0.0 255.255.255.0,redirect-gateway,route 10.0.0.0 255.255.255.0,topology net30,ping 10,ping-restart 60,ifconfig 10.0.0.6 10.0.0.5' (status=1)
Thu Apr  5 13:38:25 2012 client/xx.xx.xx.xx:52082 Connection reset, restarting [-1]
Thu Apr  5 13:38:25 2012 client/xx.xx.xx.xx:52082 SIGUSR1[soft,connection-reset] received, client-instance restarting
Thu Apr  5 13:38:25 2012 TCP/UDP: Closing socket

Client Logfile:

PHP: 
Thu Apr 05 13:43:41 2012 OpenVPN 2.2.2 Win32-MSVC++ [SSL] [LZO2] [PKCS11] built on Dec 15 2011
Thu Apr 05 13:43:41 2012 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Thu Apr 05 13:43:41 2012 Attempting to establish TCP connection with xx.xx.xx.xx:1194
Thu Apr 05 13:43:41 2012 TCP connection established with xx.xx.xx.xx:1194
Thu Apr 05 13:43:41 2012 TCPv4_CLIENT link local: [undef]
Thu Apr 05 13:43:41 2012 TCPv4_CLIENT link remote: xx.xx.xx.xx:1194
Thu Apr 05 13:43:43 2012 [server] Peer Connection Initiated with xx.xx.xx.xx:1194
Thu Apr 05 13:43:45 2012 TAP-WIN32 device [LAN-Verbindung 4] opened: \\.\Global\{AE5958CA-3CCA-48A8-B0A0-882D4B2E8A13}.tap
Thu Apr 05 13:43:45 2012 Notified TAP-Win32 driver to set a DHCP IP/netmask of 10.0.0.6/255.255.255.252 on interface {AE5958CA-3CCA-48A8-B0A0-882D4B2E8A13} [DHCP-serv: 10.0.0.5, lease-time: 31536000]
Thu Apr 05 13:43:45 2012 Successful ARP Flush on interface [22] {AE5958CA-3CCA-48A8-B0A0-882D4B2E8A13}
Thu Apr 05 13:43:51 2012 WARNING: potential route subnet conflict between local LAN [10.0.0.4/255.255.255.252] and remote VPN [10.0.0.0/255.255.255.0]
Thu Apr 05 13:43:51 2012 WARNING: potential route subnet conflict between local LAN [10.0.0.4/255.255.255.252] and remote VPN [10.0.0.0/255.255.255.0]
Thu Apr 05 13:43:51 2012 ROUTE: route addition failed using CreateIpForwardEntry: Das Objekt ist bereits vorhanden.   [status=5010 if_index=22]
Hinzufügen der Route fehlgeschlagen: Das Objekt ist bereits vorhanden.
Thu Apr 05 13:43:51 2012 Initialization Sequence Completed



Jetzt zu meinem Problem:

Wenn ich mit dem Server verbunden bin, kann ich auf alle Lokalen Dienste durch die LAN IP problemlos zugreifen. Das Surfen im Internet klappt aber garnichtmehr solange der VPN läuft.

Ausserdem verstehe ich nicht wieso der Client die IP 10.0.0.6 zugewiesen bekommen hat, wieso der DHCP die 10.0.0.5 hat und warum mir mein OpenVPN Client ständig potenzielle Subnet Konflikte anzeigt.

Habe ich einfach nur eine Einstellung falsch gesetzt? Ich hoffe ihr könnt mir helfen:)

Das Ziel des OpenVPN Servers ist es, den kompletten Datenverkehr über den Server zu tunneln.
 
OpenVPN teilt das zugewiesene Subnet in mehrere kleinere Subnetze auf, die jeweils vier IPs verbrauchen (Netzadresse, Serverseitige und clientseitige IP, Broadcast-Adresse).
Für deine VPN-Range brauchst du keine zusätzliche Route zu pushen (die wird automatisch gesetzt), nur für die IP-Ranges, die über die VPN-Verbindung erreichbar sind.
 
um nochmal auf das Problem zurückzukommen das du nicht »durch« den Tunnel surfen kannst:

Ich selbst hatte damit gestern so meine Probleme und wurde damit ein paar Minuten älter ;-)

ip r l auf dem Client sagte mir meine default route würde auf Tap0 zeigen.

ip r del default
ip r add default via 10.0.0.1 (Server ip)

löste mein Problem! Allerdings muss dafür in der Server sysctl ipv4forwarding=1 stehen.

Darhbrrhinaus muss man noch in den iptables eine ausgehende nat definieren!

Interessant wäre nun was für ein Client du einsetzt und welche Routen bei ihm liegen! Dann kann man weitergucken! :)

LG Op
 
Last edited by a moderator:
Hallo Zusammen, ich habe das Problem gestern noch selbst gelöst, ich hatte zu Testzwecken die IPTables deaktiviert, aber nicht bedacht das dieser Dienst für die Weiterleitung verantwortlich war, nach der Aktivierung ging alles wieder.

Ich hab aber bereits ein neues Problem mit den VPN. Wenn ich durch den VPN spielen will wie z.b. CounterStrike, dann habe ich das Problem, das ich in der Serverlist manche Server sehen kann, andere wiederum nicht. Da steht dann immer nur "Server antwortet nicht". Über die Windows Konsole kann ich diese Server aber problemlos pingen.

Das Problem tritt aber nur Anschluss-abhängig auf, soll heißen:

Wenn ich mich zu Hause mit den VPN verbinde, geht alles Problemlos. Wenn ich aber mich in einen Anschluss einlinke wo diverse Ports gesperrt sind, funktionieren Dienste wie z.b. Teamspeak, aber andere Dienste wie z.b. Xfire oder die meisten CS:S Server nicht.

Ich habe mir die ausdrückliche Erlaubnis geholt die besagten Anwendungen zu "tunneln", da der Router Besitzer das Router Passwort einfach vergessen hat, aber nicht auf Werkseinstellungen zurücksetzen möchte.

Ich dachte gestern lange Zeit ich hätte bei dem Port Forwarding was falsch gemacht, aber auch wenn ich die Firewall komplett deaktiviere funktioniert es nicht.

Ich hatte auch schon die Überlegung nur den UDP Traffic über den VPN laufen zu lassen, den normalen Web-Traffic aber ohne den VPN. Ist sowas ohne weiteres möglich?

Hat zufällig jemand einen Lösungsansatz?
 
Last edited by a moderator:
Das Problem hat sich erledigt, ich hatte vergessen den Haken bei "Als Administrator starten" zu setzen jetzt geht alles :)
 
You must log in or register to reply here.
Back
Top