openvpn

[Corsair]

Ahoj,
Stále bádám nad tímto návodem

Kód: [Vybrat]

http://wiki.ubuntu.cz/OpenVPN%20serverU kroku 11. už nevím který certifikát vlastně přenést ke klientovi.A ještě se mne nedaří spustit vpn.A poslední krok certifikáty jsou s koncovkou .pem a například u klienta ve windows kde používám gui openvpn požaduju certifikát s koncovkou ovpn

[Petr Merlin Vaněček]

Já myslím, že je to poměrně jasné - klíč, certifikát a certifikát certifikační autority tj. privátní klíč klienta (soukromý), certifikát klienta (veřejný) a certifikát certifikační autority (veřejný) tj. celkem 3 soubory key.pem, cert.pem a cacert.pem

GUI OpenVPN požaduje nikoliv certifikát, ale konfigurační soubor .ovpn (ve kterém jsou informace o 2 certifikátech a 1 klíči)

[Corsair]

Díky, a je nějaká cesta jak ten ovpn vytvořit.

[Petr Merlin Vaněček]

No vždyť to tam také je

Kód: [Vybrat]

remote 1.2.3.4 ### IP adresa serveru
tls-client
dev tap
pull

mute 10
ca /etc/openvpn/cacert.pem
cert /etc/openvpn/cert.pem
key /etc/openvpn/key.pem

comp-lzo
verb 3


[Corsair]

Omluvám se za tyto dotazy ale nejsem v tomto nijak extra pokročilý uživatel :-) ale snažím se do toho proniknout tak všemu úplně nerozumím.

Kód: [Vybrat]

remote 1.2.3.4 ### IP adresa serveru
tls-client
dev tap
pull

mute 10
ca /etc/openvpn/cacert.pem
cert /etc/openvpn/cert.pem
key /etc/openvpn/key.pem

comp-lzo
verb 3Ale toto je dle návodu soubor .conf ten můžu po vytvoření přejmenovat na .ovpn

[Petr Merlin Vaněček]

Jistě - on by se i na linuxu měl jmenovat ovpn, akorát na linuxu si nikdo (naštěstí) moc s koncovkama neláme hlavu, takže to OpenVPN skousne.

[Corsair]

Děkuji,soubor .conf přejmenuji. Ještě mne prosím poraďte do jakého logu se mám podívat když mne při pokusu o spuštění vpn serveru skončí FAIL chybou,podle návodu jsem postupoval krok za krokem ale to spuštění se mne nedaří.

[Petr Merlin Vaněček]

Pravděpodobně by něco mohlo být ve /var/log/syslog nebo v dle configu ve /var/log/openvpn

[Corsair]

Tak jsem koukal do logu a hlásí to tuto chybu:

Kód: [Vybrat]

Apr 26 09:56:47 test-VirtualBox ovpn-vpn_server[3690]: WARNING: you are using user/group/chroot/setcon without persist-tun -- this may cause restarts to failz toho chapu že mě chybí tap adaptér.

[Corsair]

Ahoj,
tak už se asi dostávám k cíli ale ještě mám tento problém.Při spuštění klienta na windows xp mne to při pokusu o spojení hlásí tuto chybu viz log:

Kód: [Vybrat]

Fri May 04 07:17:32 2012 OpenVPN 2.2.2 Win32-MSVC++ [SSL] [LZO2] [PKCS11] built on Dec 15 2011
Fri May 04 07:17:32 2012 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Fri May 04 07:17:33 2012 Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
Fri May 04 07:17:33 2012 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri May 04 07:17:33 2012 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri May 04 07:17:33 2012 LZO compression initialized
Fri May 04 07:17:33 2012 Control Channel MTU parms [ L:1574 D:166 EF:66 EB:0 ET:0 EL:0 ]
Fri May 04 07:17:33 2012 Socket Buffers: R=[8192->8192] S=[64512->64512]
Fri May 04 07:17:33 2012 Data Channel MTU parms [ L:1574 D:1450 EF:42 EB:135 ET:32 EL:0 AF:3/1 ]
Fri May 04 07:17:33 2012 Local Options hash (VER=V4): '13a273ba'
Fri May 04 07:17:33 2012 Expected Remote Options hash (VER=V4): '360696c5'
Fri May 04 07:17:33 2012 UDPv4 link local: [undef]
Fri May 04 07:17:33 2012 UDPv4 link remote: 192.168.0.254:1194
Fri May 04 07:17:33 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:17:35 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:17:39 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:17:48 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:18:04 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:18:33 2012 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Fri May 04 07:18:33 2012 TLS Error: TLS handshake failed
Fri May 04 07:18:33 2012 TCP/UDP: Closing socket
Fri May 04 07:18:33 2012 SIGUSR1[soft,tls-error] received, process restarting
Fri May 04 07:18:33 2012 Restart pause, 2 second(s)
Fri May 04 07:18:35 2012 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Fri May 04 07:18:35 2012 Re-using SSL/TLS context
Fri May 04 07:18:35 2012 LZO compression initialized
Fri May 04 07:18:35 2012 Control Channel MTU parms [ L:1574 D:166 EF:66 EB:0 ET:0 EL:0 ]
Fri May 04 07:18:35 2012 Socket Buffers: R=[8192->8192] S=[64512->64512]
Fri May 04 07:18:35 2012 Data Channel MTU parms [ L:1574 D:1450 EF:42 EB:135 ET:32 EL:0 AF:3/1 ]
Fri May 04 07:18:35 2012 Local Options hash (VER=V4): '13a273ba'
Fri May 04 07:18:35 2012 Expected Remote Options hash (VER=V4): '360696c5'
Fri May 04 07:18:35 2012 UDPv4 link local: [undef]
Fri May 04 07:18:35 2012 UDPv4 link remote: 192.168.0.254:1194
Fri May 04 07:18:35 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:18:37 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:18:41 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:18:49 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:19:05 2012 read UDPv4: Connection reset by peer (WSAECONNRESET) (code=10054)
Fri May 04 07:19:36 2012 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Fri May 04 07:19:36 2012 TLS Error: TLS handshake failed
Fri May 04 07:19:36 2012 TCP/UDP: Closing socket
Fri May 04 07:19:36 2012 SIGUSR1[soft,tls-error] received, process restarting
Fri May 04 07:19:36 2012 Restart pause, 2 second(s)
Fri May 04 07:19:38 2012 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Fri May 04 07:19:38 2012 Re-using SSL/TLS context

[Petr Merlin Vaněček]

Jaký je log na straně serveru?
Vypadá to na špatný certifikát, ale to jen hádám ...

[Corsair]

Tady je výtažek z syslogu

Kód: [Vybrat]

May  4 08:27:40 test-virtual-machine ovpn-server[13155]: Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: TLS-Auth MTU parms [ L:1574 D:166 EF:66 EB:0 ET:0 EL:0 ]
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: Socket Buffers: R=[229376->131072] S=[229376->131072]
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: TUN/TAP device tap0 opened
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: TUN/TAP TX queue length set to 100
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: /etc/openvpn/up.sh br0 tap0 1500 1574   init
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: WARNING: External program may not be called unless '--script-security 2' or higher is enabled.  Use '--script-security 3 system' for backward compatibility with 2.1_rc8 and earlier.  See --help text or man page for detailed info.
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: WARNING: Failed running command (--up/--down): external program fork failed
May  4 08:27:40 test-virtual-machine ovpn-server[13155]: Exiting
May  4 08:27:40 test-virtual-machine avahi-daemon[678]: Withdrawing workstation service for tap0.
May  4 08:27:40 test-virtual-machine NetworkManager[679]:    SCPlugin-Ifupdown: devices added (path: /sys/devices/virtual/net/tap0, iface: tap0)
May  4 08:27:40 test-virtual-machine NetworkManager[679]:    SCPlugin-Ifupdown: device added (path: /sys/devices/virtual/net/tap0, iface: tap0): no ifupdown configuration found.
May  4 08:27:40 test-virtual-machine NetworkManager[679]:    SCPlugin-Ifupdown: devices removed (path: /sys/devices/virtual/net/tap0, iface: tap0)
May  4 08:30:52 test-virtual-machine ovpn-client[14493]: OpenVPN 2.2.1 x86_64-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [eurephia] [MH] [PF_INET6] [IPv6 payload 20110424-2 (2.2RC2)] built on Mar 30 2012
May  4 08:30:52 test-virtual-machine ovpn-client[14493]: NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
May  4 08:30:52 test-virtual-machine ovpn-client[14493]: Cannot load certificate file nadc0094.crt: error:02001002:system library:fopen:No such file or directory: error:20074002:BIO routines:FILE_CTRL:system lib: error:140AD002:SSL routines:SSL_CTX_use_certificate_file:system lib
May  4 08:30:52 test-virtual-machine ovpn-client[14493]: Exiting
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: OpenVPN 2.2.1 x86_64-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [eurephia] [MH] [PF_INET6] [IPv6 payload 20110424-2 (2.2RC2)] built on Mar 30 2012
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: NOTE: when bridging your LAN adapter with the TAP adapter, note that the new bridge adapter will often take on its own IP address that is different from what the LAN adapter was previously set to
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: Diffie-Hellman initialized with 1024 bit key
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: TLS-Auth MTU parms [ L:1574 D:166 EF:66 EB:0 ET:0 EL:0 ]
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: Socket Buffers: R=[229376->131072] S=[229376->131072]
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: TUN/TAP device tap0 opened
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: TUN/TAP TX queue length set to 100
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: /etc/openvpn/up.sh br0 tap0 1500 1574   init
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: WARNING: External program may not be called unless '--script-security 2' or higher is enabled.  Use '--script-security 3 system' for backward compatibility with 2.1_rc8 and earlier.  See --help text or man page for detailed info.
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: WARNING: Failed running command (--up/--down): external program fork failed
May  4 08:30:52 test-virtual-machine ovpn-server[14506]: Exiting
May  4 08:30:52 test-virtual-machine avahi-daemon[678]: Withdrawing workstation service for tap0.
May  4 08:30:52 test-virtual-machine NetworkManager[679]:    SCPlugin-Ifupdown: devices added (path: /sys/devices/virtual/net/tap0, iface: tap0)
May  4 08:30:52 test-virtual-machine NetworkManager[679]:    SCPlugin-Ifupdown: device added (path: /sys/devices/virtual/net/tap0, iface: tap0): no ifupdown configuration found.
May  4 08:30:52 test-virtual-machine NetworkManager[679]:    SCPlugin-Ifupdown: devices removed (path: /sys/devices/virtual/net/tap0, iface: tap0)
May  4 08:31:05 test-virtual-machine ovpn-client[14642]: OpenVPN 2.2.1 x86_64-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [eurephia] [MH] [PF_INET6] [IPv6 payload 20110424-2 (2.2RC2)] built on Mar 30 2012
May  4 08:31:05 test-virtual-machine ovpn-client[14642]: NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
May  4 08:31:05 test-virtual-machine ovpn-client[14642]: Cannot load certificate file nadc0094.crt: error:02001002:system library:fopen:No such file or directory: error:20074002:BIO routines:FILE_CTRL:system lib: error:140AD002:SSL routines:SSL_CTX_use_certificate_file:system lib
May  4 08:31:05 test-virtual-machine ovpn-client[14642]: Exiting
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: OpenVPN 2.2.1 x86_64-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [eurephia] [MH] [PF_INET6] [IPv6 payload 20110424-2 (2.2RC2)] built on Mar 30 2012
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: NOTE: when bridging your LAN adapter with the TAP adapter, note that the new bridge adapter will often take on its own IP address that is different from what the LAN adapter was previously set to
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: Diffie-Hellman initialized with 1024 bit key
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: TLS-Auth MTU parms [ L:1574 D:166 EF:66 EB:0 ET:0 EL:0 ]
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: Socket Buffers: R=[229376->131072] S=[229376->131072]
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: TUN/TAP device tap0 opened
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: TUN/TAP TX queue length set to 100
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: /etc/openvpn/up.sh br0 tap0 1500 1574   init
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: WARNING: External program may not be called unless '--script-security 2' or higher is enabled.  Use '--script-security 3 system' for backward compatibility with 2.1_rc8 and earlier.  See --help text or man page for detailed info.
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: WARNING: Failed running command (--up/--down): external program fork failed
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: Exiting
May  4 08:31:05 test-virtual-machine avahi-daemon[678]: Withdrawing workstation service for tap0.
May  4 08:31:05 test-virtual-machine NetworkManager[679]:    SCPlugin-Ifupdown: devices added (path: /sys/devices/virtual/net/tap0, iface: tap0)
May  4 08:31:05 test-virtual-machine NetworkManager[679]:    SCPlugin-Ifupdown: device added (path: /sys/devices/virtual/net/tap0, iface: tap0): no ifupdown configuration found.
May  4 08:31:05 test-virtual-machine NetworkManager[679]:    SCPlugin-Ifupdown: devices removed (path: /sys/devices/virtual/net/tap0, iface: tap0)Jinak postupoval jsem dle této literatury
https://help.ubuntu.com/10.04/serverguide/network-configuration.html#bridging
vytvořil jsem bridge
https://help.ubuntu.com/10.04/serverguide/openvpn.html
nastavil oponvpn

[Petr Merlin Vaněček]

Kód: [Vybrat]

May  4 08:31:05 test-virtual-machine ovpn-client[14642]: Cannot load certificate file nadc0094.crt: error:02001002:system library:fopen:No such file or directory: error:20074002:BIO routines:FILE_CTRL:system lib: error:140AD002:SSL routines:SSL_CTX_use_certificate_file:system lib
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: WARNING: Failed running command (--up/--down): external program fork failed
May  4 08:31:05 test-virtual-machine ovpn-server[14655]: Exiting

Na tyhle chyby bych se mrknul blíže

[Corsair]

Ahoj,
tak toto je první věc kterou jsem vzdal v ubuntu.Opravdu už nevím jak na to.Možná za čas se k tomu zase vrátím.

[Petr Merlin Vaněček]

Podle té chyby, kterou tam vidím, je špatně zadaná cesta k certifikátu nadc0094.crt ...

[Corsair]

Ahoj, tak jsem bádal dlouho do noci 
A postupoval dle tohoto podle mne celkem dobrého návodu

Kód: [Vybrat]

https://help.ubuntu.com/10.04/serverguide/openvpn.htmla také jsem si dle tohoto návodu vytvořil z druhé karty bridge.
Na windows klientské aplikaci openvpn gui mne to při pokusu hlásí pořád stejnou chybu.

Kód: [Vybrat]

Fri May 18 08:44:42 2012 OpenVPN 2.0.9 Win32-MinGW [SSL] [LZO] built on Oct  1 2006
Fri May 18 08:44:42 2012 IMPORTANT: OpenVPN's default port number is now 1194, based on an official port number assignment by IANA.  OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
Fri May 18 08:44:42 2012 Cannot load certificate file nadc0094.crt: error:0906D06C:PEM routines:PEM_read_bio:no start line: error:140AD009:SSL routines:SSL_CTX_use_certificate_file:PEM lib
Fri May 18 08:44:42 2012 Exiting
Přitom tento certifikát je na klientovi i je cesta k certifikátu v conf souboru.

[Corsair]

certifikáty jsem vygeneroval znovu, tváří se že je to v pořádku ale končím na této chybě na straně klienta ve windows.

Zkoušel jsem nastvit iptables

Kód: [Vybrat]

iptables -A INPUT -p udp --dport 1194 -j ACCEPT
iptables -A OUTPUT -p udp --sport 1194 -j ACCEPT

Ale to nějak nepomohlo.

[Petr Merlin Vaněček]

Máte na obou stranách zadaný správně port a protokol?

[Corsair]

Myslím že ano, přikládám conf soubory serveru a klienta.

[příloha smazaná administrátorem]

[Petr Merlin Vaněček]

Na ten server z klienta pingnete? Lze prověřit otevřené porty? (např. nmap server)
V logu na serveru se pokus o připojení objeví?

[Corsair]

Ano ping na 192.168.0.254 mam.V logu žádný záznam není, teda pokud se dívám do správného.
A příkaz nmap píše toto:
a koukám že port 1194 skutečně neběží dle výpisu nmap
test@test-virtual:/$ nmap 192.168.0.254

Kód: [Vybrat]

test@test-virtual:/$ nmap 192.168.0.254

Starting Nmap 5.21 ( http://nmap.org ) at 2012-05-22 11:51 CEST
Nmap scan report for 192.168.0.254
Host is up (0.00044s latency).
Not shown: 997 closed ports
PORT    STATE SERVICE
22/tcp  open  ssh
139/tcp open  netbios-ssn
445/tcp open  microsoft-ds

Nmap done: 1 IP address (1 host up) scanned in 0.13 seconds
Ale příkaz /etc/init.d/openvpn restart proběhne v pořádku.

[ntz_reloaded]

ach jo .. nmap by default scanuje jen porty 1-1000, pokud chces vyssi, musis mu to pomoci -p rict

[Corsair]

Děkuji za poznám při zadání parametru nmap -p22-1199 mne stejně port s openvpn nenajde, takže neběží.

[ntz_reloaded]

jak to muzes rict jen kvuli nmapu ?

na serveru se koukni pomoci netstat -an a nebo lsof -i

[Corsair]

také nic