openconnect

[Le ecureuil]

В 04.02.2025 в 16:22, Владислав В. сказал:

Здравствуйте. Которую неделю бодаюсь с OpenConnect - заставить его работать не удаётся. В данном примере сервером выступает KN-1010 с прошивкой 4.3 Beta 0.1, к нему пытаются подключиться KN-1912 и KN-1913 с прошивкой 4.2.5, а также KN-1710 прошивкой 4.3 Beta 0. Соединение не устанавливается.

В обратную сторону, когда KN-1010 выступает клиентом, соединение его с 1912 и 1913 устанавливается, аптайм тикает, но трафик нулевой, роутеры по их локальным IP недоступны. Со стороны клиента 1710 OpenConnect не устанавливается ни с одним из трёх роутеров.  Точно также не устанавливается соединение с ним как с сервером. Журналы пока, во избежание путаницы, приложил только для проблемы из первого абзаца.

Покажите пожалуйста self-test с включенным oc-server debug на версии 4.3.0, когда к нему или не удается подключиться, или не ходит трафик.

[Le ecureuil]

@Владислав В. не нужно ничего упрощать, ставить 4.2 или делать другие непрошенные вещи.

Нужно простое - на версии 4.3 включить oc-server debug и показать что происходит при подключении в виде селф-теста.

[dogoma]

Всем привет.

Есть у меня в одном месте Keenetiс с настроенным OpenConnect сервером, есть в другом месте Keenetic с OpenConnect клиентом, настроил его так, чтобы он весь трафик пускал через первый — работает.

Подскажите, а можно как-то настроить, чтобы и DNS запросы клиент делал у сервера?

Изменено 15 февраля пользователем dogoma

[Timuridze]

После одного из обновленния не скажу точно какого, но сейчас 4.3 Beta 1 перестал соединятся с удаленным Openconnect сервером, в логах такое

[I] Feb 18 00:51:57 openconnect: Configured as 10.10.11.28 + fda9:4efe:7e3b:2f68:630e:428f:45a5:97bc/64, with SSL + LZS connected and DTLS + LZS disabled 
[I] Feb 18 00:51:57 ndm: OpenConnect::Interface: "OpenConnect0": banner: "". 
[I] Feb 18 00:51:57 ndm: Network::Interface::Base: "OpenConnect0": "oc" changed "link" layer state "pending" to "running". 
[I] Feb 18 00:51:57 ndm: Network::Interface::Base: "OpenConnect0": default MTU is 1464. 
[I] Feb 18 00:52:02 ndm: Network::Interface::Base: "OpenConnect0": "base" changed "conf" layer state "running" to "disabled". 
[I] Feb 18 00:52:02 ndm: Network::Interface::Base: "OpenConnect0": interface is down. 
[I] Feb 18 00:52:02 ndm: Core::System::StartupConfig: saving (http/rci). 
[I] Feb 18 00:52:03 openconnect: Failed to write incoming packet: I/O error 
[I] Feb 18 00:52:03 openconnect: Send BYE packet: Aborted by caller 
[I] Feb 18 00:52:03 openconnect: User cancelled (SIGINT/SIGTERM); exiting. 
[I] Feb 18 00:52:05 ndm: Core::System::StartupConfig: configuration saved. 

 

[Le ecureuil]

15 часов назад, Timuridze сказал:

После одного из обновленния не скажу точно какого, но сейчас 4.3 Beta 1 перестал соединятся с удаленным Openconnect сервером, в логах такое

[I] Feb 18 00:51:57 openconnect: Configured as 10.10.11.28 + fda9:4efe:7e3b:2f68:630e:428f:45a5:97bc/64, with SSL + LZS connected and DTLS + LZS disabled 
[I] Feb 18 00:51:57 ndm: OpenConnect::Interface: "OpenConnect0": banner: "". 
[I] Feb 18 00:51:57 ndm: Network::Interface::Base: "OpenConnect0": "oc" changed "link" layer state "pending" to "running". 
[I] Feb 18 00:51:57 ndm: Network::Interface::Base: "OpenConnect0": default MTU is 1464. 
[I] Feb 18 00:52:02 ndm: Network::Interface::Base: "OpenConnect0": "base" changed "conf" layer state "running" to "disabled". 
[I] Feb 18 00:52:02 ndm: Network::Interface::Base: "OpenConnect0": interface is down. 
[I] Feb 18 00:52:02 ndm: Core::System::StartupConfig: saving (http/rci). 
[I] Feb 18 00:52:03 openconnect: Failed to write incoming packet: I/O error 
[I] Feb 18 00:52:03 openconnect: Send BYE packet: Aborted by caller 
[I] Feb 18 00:52:03 openconnect: User cancelled (SIGINT/SIGTERM); exiting. 
[I] Feb 18 00:52:05 ndm: Core::System::StartupConfig: configuration saved. 

 

self-test с interface OpenConnect0 debug нужно.

Сервер у вас какой?

[Timuridze]

3 часа назад, Le ecureuil сказал:

self-test с interface OpenConnect0 debug нужно.

Не подскажете где я могу почитать как его сделать?

 

Сервер 

ocserv 1.1.3

Compiled with: seccomp, tcp-wrappers, oath, radius, gssapi, PAM, PKCS#11, AnyConnec
t
GnuTLS version: 3.7.3 (compiled with 3.7.1)

 

[Leshiyart]

53 минуты назад, Timuridze сказал:

Не подскажете где я могу почитать как его сделать?

https://help.keenetic.com/hc/ru/articles/213965889-Интерфейс-командной-строки-CLI-интернет-центра

 

https://help.keenetic.com/hc/ru/articles/360000440120-Сохранение-файла-системы-self-test

[HEcaxap]

Добрый вечер, @Timuridze
Ваше сообщение с селф-тестом скрыто и доступно теперь только модерaторам. Публикация селф-теста в открытом доступе может быть небезопасна, поэтому в следующий раз обязательно скрывайте такие сообщения (три точки в верхнем правом углу - скрыть).

[Le ecureuil]

@Timuridzeв вашем журнале соединение установилось  и работает, разрывов нет. Нужно именно когда разрывы показать.

[Timuridze]

13 часов назад, Le ecureuil сказал:

@Timuridzeв вашем журнале соединение установилось  и работает, разрывов нет. Нужно именно когда разрывы показать.

К сожалению. соединения нет.  Пробовал создавать политику , что бы добавить туда соединение, но соединения нет

[Yhwh]

Подскажите пожалуйста, как поменять порт на openconnect vpn c 443 на другой? Все запросы в роутере на 443 и 80 перенаправляются на обратный прокси в сети. Поэтому не работает openconnect vpn. В web и в CLI не нашел где можно поменять порт.

[Leshiyart]

13 часов назад, Yhwh сказал:

Подскажите пожалуйста, как поменять порт на openconnect vpn c 443 на другой? Все запросы в роутере на 443 и 80 перенаправляются на обратный прокси в сети. Поэтому не работает openconnect vpn. В web и в CLI не нашел где можно поменять порт.

В вебе поменять порт https веба, они связаны

[ip_tara]

Хозяйкам на заметку. В прошивке 4.2.6 пароль для пользователя в OpenConnect был 20 символов. Работало. Обновил на 4.3 бету 1. Со старым паролем перестало работать. В процессе изучения проблемы выяснилось, что уменьшение знаков в пароле до 13 решает.

[Yhwh]

12 часов назад, Leshiyart сказал:

В вебе поменять порт https веба, они связаны

Спасибо огромное, все получилось...

[beh01d]

Здравствуйте, хочу подключить oc-client на своем кинетике к cisco asa по ssl-vpn. Можно ли как-то добавить параметр клиенту для подключения? Необходимый параметр - --useragent=AnyConnect  без него получаю "Got HTTP response: HTTP/1.1 404 Not Found".

 

[Le ecureuil]

2 часа назад, beh01d сказал:

Здравствуйте, хочу подключить oc-client на своем кинетике к cisco asa по ssl-vpn. Можно ли как-то добавить параметр клиенту для подключения? Необходимый параметр - --useragent=AnyConnect  без него получаю "Got HTTP response: HTTP/1.1 404 Not Found".

 

В следующих версиях (но в 4.3.b.2 вероятно еще нет) при задании команды interface openconnect proto anyconnect смена UserAgent будет происходить автоматически, спасибо за репорт.