Перейти к содержанию
Как правильно добавить self-test и прочую отладку в тему
Официальное хранилище ПО в виде файлов

Вопросы по интеграции OpenVPN в NDMS

KorDen
 Поделиться

Рекомендуемые сообщения

Алексей Воловиков Новичок

Алексей Воловиков

Опубликовано
Опубликовано

Подскажите, пожалуйста, пытаюсь поднять VPN (от prostovpn), вот что пишет лог:

Это с UDP, с TCP всё окей но нужен именно UDP.

 

Apr 26 08:52:08
 
OpenVPN1
OpenVPN 2.4.6 [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [AEAD]
Apr 26 08:52:08
 
OpenVPN1
library versions: OpenSSL 1.1.1d 10 Sep 2019, LZO 2.10
Apr 26 08:52:08
 
OpenVPN1
UDP link local: (not bound)
Apr 26 08:52:08
 
OpenVPN1
UDP link remote: [AF_INET6]2a00:d880:5:a29::2:1194
Apr 26 08:52:08
 
OpenVPN1
NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Apr 26 08:52:08
 
OpenVPN1
write UDP: Network is unreachable (code=128)
Apr 26 08:52:08
 
OpenVPN1
Network unreachable, restarting
Apr 26 08:52:08
 
OpenVPN1
SIGTERM received, sending exit notification to peer
Apr 26 08:52:09
 
OpenVPN1
SIGTERM[soft,exit-with-notification] received, process exiting
Apr 26 08:52:09
 
ndm
Service: "OpenVPN1": unexpectedly stopped.
  • Ответов 768
  • Создана
  • Последний ответ

Топ авторов темы

Популярные дни

Топ авторов темы

Популярные дни

Популярные посты

Le ecureuil
Le ecureuil

Небольшие новости. По результатам моих тестов выяснилась такая картина :   7621 7513 7628 NONE 68

Le ecureuil
Le ecureuil

Я уже пробовал dco в январе 2021, и на тот момент там было очень "сыро" + в ветке ovpn 2.x не было поддержки, я ее приделал сам, но все равно там далеко от того, что можно показать пользователям было.

Le ecureuil
Le ecureuil

Окольным путем это возможно: - создаете профиль доступа, где есть только openvpn как wan, а остальных нет - туда добавляете нужные устройства В профилях доступа используются только dns, полу

Изображения в теме

Alexashka Пользователь

Alexashka

Опубликовано
Опубликовано
  В 25.04.2020 в 23:53, Алексей Воловиков сказал:

Подскажите, пожалуйста, пытаюсь поднять VPN (от prostovpn), вот что пишет лог:

Это с UDP, с TCP всё окей но нужен именно UDP.

 

Apr 26 08:52:08
 
OpenVPN1
OpenVPN 2.4.6 [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [AEAD]
Apr 26 08:52:08
 
OpenVPN1
library versions: OpenSSL 1.1.1d 10 Sep 2019, LZO 2.10
Apr 26 08:52:08
 
OpenVPN1
UDP link local: (not bound)
Apr 26 08:52:08
 
OpenVPN1
UDP link remote: [AF_INET6]2a00:d880:5:a29::2:1194
Apr 26 08:52:08
 
OpenVPN1
NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Apr 26 08:52:08
 
OpenVPN1
write UDP: Network is unreachable (code=128)
Apr 26 08:52:08
 
OpenVPN1
Network unreachable, restarting
Apr 26 08:52:08
 
OpenVPN1
SIGTERM received, sending exit notification to peer
Apr 26 08:52:09
 
OpenVPN1
SIGTERM[soft,exit-with-notification] received, process exiting
Apr 26 08:52:09
 
ndm
Service: "OpenVPN1": unexpectedly stopped.
Показать   
proto udp4
  • Лайк 1
  • 3 недели спустя...
Алексей Воловиков Новичок

Алексей Воловиков

Опубликовано
Опубликовано (изменено)

А подскажите, пожалуйста, что с этим делать? По совету выше исправил на udp4, все прекрасно работало день, на следующий перестало - пишет на странице соединения No IP Address. Хотя в логе ничего критичного не вижу. Куда копать?

  Показать контент
Изменено пользователем Алексей Воловиков
  • 1 месяц спустя...
maxvit Новичок

maxvit

Опубликовано
Опубликовано

Имеется Keenetic 4G, KeeneticOS: 3.4.6. Есть проблема с подключением к OpenVPN серверу.

Конфиг: 

client
dev tun
proto udp
remote 192.168.0.1 1195
resolv-retry infinite
auth SHA1
cipher BF-CBC
comp-lzo
verb 5

<ca>
...
</ca>

<cert>
...
</cert>

<key>
...
</key>

Лог: 

[I] Jun 22 16:06:34 OpenVPN1: Local Options String (VER=V4): 'V4,dev-type tun,link-mtu 1542,tun-mtu 1500,proto UDPv4,comp-lzo,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-client'
[I] Jun 22 16:06:34 OpenVPN1: Expected Remote Options String (VER=V4): 'V4,dev-type tun,link-mtu 1542,tun-mtu 1500,proto UDPv4,comp-lzo,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-server'
[I] Jun 22 16:06:34 OpenVPN1: Socket Buffers: R=[155648->155648] S=[155648->155648]
[I] Jun 22 16:06:34 OpenVPN1: UDP link local (bound): [AF_INET][undef]:1194
[I] Jun 22 16:06:34 OpenVPN1: UDP link remote: [AF_INET]192.168.0.1:1195
[I] Jun 22 16:06:34 OpenVPN1: NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
[I] Jun 22 16:06:34 OpenVPN1: TLS: Initial packet from [AF_INET]192.168.0.1:1195, sid=c399bbe9 6b9069d9
[E] Jun 22 16:06:35 OpenVPN1: OpenSSL: error:1425F102:lib(20):func(607):reason(258)
[E] Jun 22 16:06:35 OpenVPN1: TLS_ERROR: BIO read tls_read_plaintext error
[E] Jun 22 16:06:35 OpenVPN1: TLS Error: TLS object -> incoming plaintext read error
[E] Jun 22 16:06:35 OpenVPN1: TLS Error: TLS handshake failed
[I] Jun 22 16:06:35 OpenVPN1: TCP/UDP: Closing socket
[I] Jun 22 16:06:35 OpenVPN1: SIGTERM[soft,tls-error] received, process exiting
[E] Jun 22 16:06:35 ndm: Service: "OpenVPN1": unexpectedly stopped

Я так понимаю, проблема в том, что на сервере OpenVPN используется TLSv1, а на Keenetic openssl без поддержки TLSv1. Можно ли как-то включить поддержку TLSv1?

Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 22.06.2020 в 14:14, maxvit сказал:

Имеется Keenetic 4G, KeeneticOS: 3.4.6. Есть проблема с подключением к OpenVPN серверу.

Конфиг: 

client
dev tun
proto udp
remote 192.168.0.1 1195
resolv-retry infinite
auth SHA1
cipher BF-CBC
comp-lzo
verb 5

<ca>
...
</ca>

<cert>
...
</cert>

<key>
...
</key>

Лог: 

[I] Jun 22 16:06:34 OpenVPN1: Local Options String (VER=V4): 'V4,dev-type tun,link-mtu 1542,tun-mtu 1500,proto UDPv4,comp-lzo,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-client'
[I] Jun 22 16:06:34 OpenVPN1: Expected Remote Options String (VER=V4): 'V4,dev-type tun,link-mtu 1542,tun-mtu 1500,proto UDPv4,comp-lzo,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-server'
[I] Jun 22 16:06:34 OpenVPN1: Socket Buffers: R=[155648->155648] S=[155648->155648]
[I] Jun 22 16:06:34 OpenVPN1: UDP link local (bound): [AF_INET][undef]:1194
[I] Jun 22 16:06:34 OpenVPN1: UDP link remote: [AF_INET]192.168.0.1:1195
[I] Jun 22 16:06:34 OpenVPN1: NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
[I] Jun 22 16:06:34 OpenVPN1: TLS: Initial packet from [AF_INET]192.168.0.1:1195, sid=c399bbe9 6b9069d9
[E] Jun 22 16:06:35 OpenVPN1: OpenSSL: error:1425F102:lib(20):func(607):reason(258)
[E] Jun 22 16:06:35 OpenVPN1: TLS_ERROR: BIO read tls_read_plaintext error
[E] Jun 22 16:06:35 OpenVPN1: TLS Error: TLS object -> incoming plaintext read error
[E] Jun 22 16:06:35 OpenVPN1: TLS Error: TLS handshake failed
[I] Jun 22 16:06:35 OpenVPN1: TCP/UDP: Closing socket
[I] Jun 22 16:06:35 OpenVPN1: SIGTERM[soft,tls-error] received, process exiting
[E] Jun 22 16:06:35 ndm: Service: "OpenVPN1": unexpectedly stopped

Я так понимаю, проблема в том, что на сервере OpenVPN используется TLSv1, а на Keenetic openssl без поддержки TLSv1. Можно ли как-то включить поддержку TLSv1?

Показать  

Поддержка TLS 1.0 есть, равно как и 1.2. Нет только SSL3 и TLS1.1.

maxvit Новичок

maxvit

Опубликовано
Опубликовано
  В 23.06.2020 в 13:27, Le ecureuil сказал:

Поддержка TLS 1.0 есть, равно как и 1.2. Нет только SSL3 и TLS1.1.

Показать  

Удалось обновить openssl и openvpn на сервере.

 

Проблема вопроизводится при указании в конфигурации сервера: 

tls-version-max 1.0

 

  • 6 месяцев спустя...
r13 Старожил

r13

Опубликовано
Опубликовано (изменено)
  В 28.12.2020 в 16:51, SSTP сказал:

chacha20 использовать !

Показать  

Оно с прошивки 3.3 доступно

 

Изменено пользователем r13
  • 6 месяцев спустя...
Oleg Nekrylov Старожил

Oleg Nekrylov

Опубликовано
Опубликовано (изменено)

Вопрос, надо ли делать “ip nat OpenVPNx”, для tap, если мне надо попасть внутрь сети подключённого клиента (на стороне клиента входящий трафик разрешён). Точнее, будет ли в принципе работать, тк в таблице маршрутизации tap не виден, тк сидит на Bridge0? При этом я тоже являюсь клиентом и в конфигурации сервера клиент-клиент разрешён.

Изменено пользователем Oleg Nekrylov
  • 2 месяца спустя...
SSTP Пользователь

SSTP

Опубликовано
Опубликовано

почему опенвпн не подключается по порту 53 ??? и поддерживает ли openvpn клиент tls-crypt v2  ??? openvpn уже 2.5.3 есть ! а  кенетик 2.4.6 !

  • Не понял 1
Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 30.09.2021 в 17:27, SSTP сказал:

почему опенвпн не подключается по порту 53 ??? и поддерживает ли openvpn клиент tls-crypt v2  ??? openvpn уже 2.5.3 есть ! а  кенетик 2.4.6 !

Показать  

Давайте по шагам.

 - OpenVPN на 53 порту по идее не работает, это порт для DNS.

 - tls-crypt-v2 поддерживает.

 - в нашей версии 2.4.6 есть все патчи по CVE и принесена поддержка chapoly. Что еще вам не хватает в 2.4.6 из 2.5.3?

  • Лайк 1
SSTP Пользователь

SSTP

Опубликовано
Опубликовано
  В 01.10.2021 в 09:32, Le ecureuil сказал:

OpenVPN на 53 порту по идее не работает

Показать  

этот порт не работает только на кенетике на остальнов всем работает

  В 01.10.2021 в 09:32, Le ecureuil сказал:

Давайте по шагам.

 - tls-crypt-v2 поддерживает.

Показать  

это хорошо !

  В 01.10.2021 в 09:32, Le ecureuil сказал:

Что еще вам не хватает в 2.4.6 из 2.5.3?

Показать  

мне та хвотает просто вы почитайте что нового в последних версиях много чего ввели . и новое она и есть новое

Andy Moore Новичок

Andy Moore

Опубликовано
Опубликовано

tls-crypt-v2  работает только начиная с версии 2.5.0 и он не может работать на версии  2.4.х 

может перепутали просто tls-crypt ??? На 2.4.x  работает tls-crypt и tls-auth

Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 01.10.2021 в 12:29, Andy Moore сказал:

tls-crypt-v2  работает только начиная с версии 2.5.0 и он не может работать на версии  2.4.х 

может перепутали просто tls-crypt ??? На 2.4.x  работает tls-crypt и tls-auth

Показать  

Хм, да, появилась такая тема.
А реально какие-то серверы ее требуют (покупные, а не самодельные)?

Я лично жду версии 2.6, чтобы сразу с dco все добавить. Если сейчас добавлять на месяца-полтора 2.5, а потом снова 2.6 - это лишняя работа. Прошу немного обождать.

  • Лайк 2
Andy Moore Новичок

Andy Moore

Опубликовано
Опубликовано
  В 01.10.2021 в 12:48, Le ecureuil сказал:

Хм, да, появилась такая тема.
А реально какие-то серверы ее требуют (покупные, а не самодельные)?

Показать  

Есть и самодельные и покупные , есть те кто не стоит на месте 

 

  В 01.10.2021 в 12:48, Le ecureuil сказал:

Я лично жду версии 2.6

Показать  

не думаю что в ближайшие года 2 мы ее увидим 

  • Лайк 1
vadimbn Старожил

vadimbn

Опубликовано
Опубликовано
  В 30.09.2021 в 17:27, SSTP сказал:

почему опенвпн не подключается по порту 53 ???

Показать  

Потому что... 

~ # lsof -P -i |grep ndnproxy 
================================== Skiped ==================================
ndnproxy   1438   root    4u  IPv4     13102      0t0  UDP *:53 
ndnproxy   1438   root    5u  IPv4     13103      0t0  UDP *:56298 
ndnproxy   1438   root    6u  IPv6     13104      0t0  UDP *:53 
ndnproxy   1438   root    8u  IPv4     13106      0t0  TCP *:53 (LISTEN)
ndnproxy   1438   root    9u  IPv6     13107      0t0  TCP *:53 (LISTEN)
================================== Skiped ==================================

Что вы будете делать с DNS proxy?  Свой DNS-сервер ставить?

Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 01.10.2021 в 12:54, Andy Moore сказал:

есть те кто не стоит на месте 

Показать  

Тот, кто не стоит на месте может спокойно в opkg замутить что хочет (или в sdk).

Если массовой потребности нет, то пока я смысла вижу мало.

  • Лайк 1
Andy Moore Новичок

Andy Moore

Опубликовано
Опубликовано

Мое дело предложить, как потребителю продукта , а решать уже вам, релиз 2.4.6 был в апреле 2018 если не ошибаюсь, а нынче грядет 2022

  • Лайк 2
zhidkovu Пользователь

zhidkovu

Опубликовано
Опубликовано
  В 01.10.2021 в 12:48, Le ecureuil сказал:

Хм, да, появилась такая тема.
А реально какие-то серверы ее требуют (покупные, а не самодельные)?

Я лично жду версии 2.6, чтобы сразу с dco все добавить. Если сейчас добавлять на месяца-полтора 2.5, а потом снова 2.6 - это лишняя работа. Прошу немного обождать.

Показать  

Полностью за такое решение!

Лучше бросьте ресурсы на действительно важную функцию - на ускорение OpenVPN (dco)

Думаю многие вам за это скажут спасибо и для кого-то это будет плюс для выбора кинетика для покупки, т.к. у остальных роутеров эта функция думаю появится намного позже, судя по скорости развития вами NDMS..

Я например жду ускорения OVPN с момента покупки Giga уже пару лет, т.к. сейчас скорость 100мбит канала утилизируется только на четверть.. а другие VPN утилизируют канал на 100% но по разным причинам не подходят.. например Wireguard работал-работал, а потом резко перестал и мне так и не удалось его больше заставить работать... пришлось вернуться на медленный но надежный OVPN

  • Лайк 1
  • Не согласен 1
Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 01.10.2021 в 17:58, Yury Zhidkov сказал:

Полностью за такое решение!

Лучше бросьте ресурсы на действительно важную функцию - на ускорение OpenVPN (dco)

Думаю многие вам за это скажут спасибо и для кого-то это будет плюс для выбора кинетика для покупки, т.к. у остальных роутеров эта функция думаю появится намного позже, судя по скорости развития вами NDMS..

Я например жду ускорения OVPN с момента покупки Giga уже пару лет, т.к. сейчас скорость 100мбит канала утилизируется только на четверть.. а другие VPN утилизируют канал на 100% но по разным причинам не подходят.. например Wireguard работал-работал, а потом резко перестал и мне так и не удалось его больше заставить работать... пришлось вернуться на медленный но надежный OVPN

Показать  

Я уже пробовал dco в январе 2021, и на тот момент там было очень "сыро" + в ветке ovpn 2.x не было поддержки, я ее приделал сам, но все равно там далеко от того, что можно показать пользователям было. Сейчас уже стало вроде постабильнее, будем ждать и надеятся что в 2.6 таки допилят сами разработчики (а если нет, то я может и реанимирую код январский и доделаю).

  • Лайк 5
  • 1 месяц спустя...
  • 2 недели спустя...
drk Пользователь

drk

Опубликовано
Опубликовано

Добрый день. Надеюсь - не ошибся тредом и прошу извинить, если информация избыточна.

Имеется центральный офис, в котором в локальной сети на сервере VmWare развернут Open VPN сервер на FreeBSD (используется pfSense 2.4.4). С этим сервером успешно работают филиалы, в качестве клиентов - Mikrotik, FreeBSD(pfSense) и т.д, Keenetic в этой сети пока не было.
Исользуется конфигурация Open VPN site-to-site, филиалы видят сеть офиса за Open VPN, офис видит сети клиентов.
Планируя очередной филиал, решил выбрать Keenetic Viva KN-1910 для подключения к Интернет, развертывания mesh и поднятия на нем Open VPN клиента.
Столкнулся с тем, что сеть за этим клиентом не видит сеть офиса за Open VPN сервером, а сеть офиса - сеть за клиентом. Туннель поднимается, но из сети клиента доступен только LAN IP сервера VPN 192.168.7.65. Маршруты в сеть за сервером клиент Keenetic получает.

Keenetic Viva KN-1910 (3.6.12)
Сеть за сервером 192.168.0.0/21
Сеть туннеля 10.20.20.0/24
Сеть за клиентом, на котором тестировался Keenetic 10.10.5.0/24

Конфиг сервера:
 

  Показать контент

iroute для всех сетей филиалов на сервере в /ccd указаны

Конфиг клиента Keenetic:

  Показать контент

Клиент с данным конфигом успешно проверен на Mikrotik,Padavan

Пингуя хост удаленной сети делал захват пакетов. 

Пообщался с поддержкой.  Ответили так:

Я могу предположить, что сервер ожидает в качестве источника ip не адрес в OVPN туннеле клиента, а непосредственно адрес хоста клиента в сети 10.10.5.0/24

При конфигурации site-to-site вполне естественно, что сервер ожидает адрес хоста клиента в сети 10.10.5.0/24. Однако в туннель  IP хостов не уходят. NAT?

Поддержка:

Проверить это можно отключив NAT
no ip nat Home
ip static Home ISP
system configuration save

Естественно, при отключенном NAT все работает. Но тогда, что естественно, с ПК за Кинетик теряется доступ в интернет.

Решаема ли эта проблема?

 

Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано

Если вопрос только в NAT, то отлючаете его совсем для домашней сети:
> no ip nat Home
и включаете только между теми интерфейсами, где он нужен:
> ip static Home ISP

в таком случае у вас из Home в ISP NAT будет, а в OpenVPN - нет.

drk Пользователь

drk

Опубликовано
Опубликовано
  В 23.11.2021 в 12:46, Le ecureuil сказал:

Поддержка, кстати, все правильно сказала.

Показать  

Поддержка на то и поддержка. 😃

Home и Home ISP - это универсальные наименования интерфейсов?

  В 23.11.2021 в 12:42, Le ecureuil сказал:

в таком случае у вас из Home в ISP NAT будет, а в OpenVPN - нет

Показать  

Да, вероятно нужно отключть NAT только для OpenVPN, оставив доступ с LAN\Wi-Fi и в туннель и в интернет.

Приведенные вами и поддержкой команды, как писал выше, делают интернет недоступным

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку тем

  • Последние посетители   0 пользователей онлайн

    • Ни одного зарегистрированного пользователя не просматривает данную страницу
×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю