Вопросы по интеграции OpenVPN в NDMS

[protos69]

6 минут назад, keenet07 сказал:

В приоритеты подключений загляните.  Есть там ваш VPN? Подвигайте его, выше-ниже.

да, все на месте.  Двигал ВПН туда-сюда, не помогает.  

Edited February 1, 2023 by protos69

[keenet07]

3 минуты назад, protos69 сказал:

да, все на месте.  Двигал ВПН туда-сюда, не помогает.  

Политику VPN создайте в соседней вкладке и переместите туда устройства которые должны ходить через VPN. В статье всё есть.

Edited February 1, 2023 by keenet07

[keenet07]

35 минут назад, protos69 сказал:

да, все на месте.  Двигал ВПН туда-сюда, не помогает.  

Это замечательно. Но то что у вас сейчас настроено подразумевает лишь то, что когда ваш Оператор мобильной связи станет вдруг офлайн. Шлюзом по умолчанию будет назначен ВПН. Но он не сможет им стать, т.к. без интернета также станет оффлайн. И останется только Эзернет провайдера.

Поэтому создайте новую политику, назовите её москва или ВПН, да как угодно и переместите в неё ВПН соединение Moscow. А дальше уже в соседней вкладке настройте применение политики по устройствам.

Edited February 1, 2023 by keenet07

[protos69]

Уфф!   

Спасибо огромное!   Кажется проблема решилась.  Не нужен никакой статический маршрут. 

1. В Приоритетах подключений создаем новую политику доступа и включаем в ней VPN

2. В Политике применения перетаскиваем устройства или сегмент сети в эту политику.

ВАЖНО! - в настройках OpenVPN подключения должна быть проставлена галочка "Получать маршруты от удаленной стороны".  В случае со статическим маршрутом эта галочка наоборот не нужна.  

При перезагрузке все работает как настроили, ничего не сбрасывается. 

[keenet07]

9 минут назад, protos69 сказал:

Спасибо огромное!   Кажется проблема решилась.  Не нужен никакой статический маршрут. 

Хорошо. В следующий раз только создавайте свою тему с вопросом, если не нашли похожей. А то мы тут нафлудили не по теме. )) Хотя тут и без нас уже всё подряд со словом OpenVPN.

Edited February 1, 2023 by keenet07

[pankov]

Здравствуйте.
Устройство: keenetic extra
Установленная версия: 3.8.7
Клиент и сервер OpenVPN установлен

Хочу сделать так: у меня есть 2 точки доступа вайфай, одна из них работает без впн, а другая строго по впн.

У меня пока не выходит, я делаю так:

1) Купил VPN и мне выдали openvpn профиль
2) согласно инструкции я его загрузил в роутер

статус пишет готов, вроде никаких ошибок (в конфиге указал логин и пароль, тип tcp)

3) Далее иду в приоритеты подключений и настраиваю новую политику как на скриншоте

4) после этого на вкладке "применение политик" настраиваю, что все устройства wifi сети (сегмента) должны использовать openVPN политику

Великобритания - это сегмент с wifi точкой доступа к которой я подключаюсь

Вроде все, подключаюсь с другого устройства к wifi, ожидаю что доступ в интернет будет через VPN но у меня вообще доступа в интернет нет, почему?

Пробовал по разному, даже менял политики и строго указывал что использовать устройству 

Результата нет, не могу выйти в интернет, кстати попробовал через спец клиенты openVPN - с ними все работает (те конфиг рабочий), но хочется сделать отдельную wifi сеть для выхода в интернет через vpn?

Когда подключаюсь с wifi (великобритания) то у меня ошибка в барузере err_name_not_resolved
похоже что-то с DNS, куда копать дальше и что делать не могу понять.
Помню что год назад все настроил минут за 5, не было никаких проблем, а сейчас уже сутки сижу...


В логах тоже ничего криминального не вижу, даже ip получаю от vpn
Но смущает все же ipшник DNS:
 

Фев 18 15:42:11

OpenVPN0

++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication

Фев 18 15:42:11

 

OpenVPN0

VERIFY EKU OK

Фев 18 15:42:11

 

OpenVPN0

VERIFY SCRIPT OK: depth=0, CN=server

Фев 18 15:42:11

 

OpenVPN0

VERIFY OK: depth=0, CN=server

Фев 18 15:42:12

 

OpenVPN0

Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, 2048 bit RSA

Фев 18 15:42:12

 

OpenVPN0

[server] Peer Connection Initiated with [AF_INET]51.89.151.241:443

Фев 18 15:42:12

 

ndm

Network::Interface::OpenVpn: "OpenVPN0": connecting via PPPoE0 (PPPoE0).

Фев 18 15:42:12

 

ndm

Network::Interface::OpenVpn: "OpenVPN0": added host route to remote endpoint 51.89.151.241 via PPPoE0.

Фев 18 15:42:12

 

ndm

Core::System::StartupConfig: configuration saved.

Фев 18 15:42:13

 

OpenVPN0

SENT CONTROL [server]: 'PUSH_REQUEST' (status=1)

Фев 18 15:42:18

 

OpenVPN0

SENT CONTROL [server]: 'PUSH_REQUEST' (status=1)

Фев 18 15:42:18

 

OpenVPN0

PUSH: Received control message: 'PUSH_REPLY,redirect-gateway def1,dhcp-option DNS 216.146.35.35,dhcp-option DNS 1.1.1.1,dhcp-option DNS 74.82.42.42,block-outside-dns,route 10.9.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.9.0.30 10.9.0.29,peer-id 6,cipher AES-256-GCM'

Вот тут вот dhcp-option dhcp-option DNS 216.146.35.35,dhcp-option DNS 1.1.1.1,dhcp-option DNS 74.82.42.42

Edited February 18, 2023 by pankov

[keenet07]

1 час назад, pankov сказал:

Вроде все, подключаюсь с другого устройства к wifi, ожидаю что доступ в интернет будет через VPN но у меня вообще доступа в интернет нет, почему?

Галочка  на "Использовать для выхода в интернет" в настройках VPN стоит?

[SergeIv]

всем привет

подскажите - в openvpn можно как-то включить поддержку аппаратной шифрации?

а то с AES-128-GCM на чистом 100Мб канале всего 20Мб и одно из ядер загружено на 100%.

в то время как если запустить с компа - ~80Мб.

[krass]

22 минуты назад, SergeIv сказал:

всем привет

подскажите - в openvpn можно как-то включить поддержку аппаратной шифрации?

а то с AES-128-GCM на чистом 100Мб канале всего 20Мб и одно из ядер загружено на 100%.

в то время как если запустить с компа - ~80Мб.

Если вы хотите  более скоростной openvpn то из представленных моделей это либо 2710  либо 1811. В остальных гораздо более слабый cpu

[SergeIv]

45 minutes ago, krass said:

Если вы хотите  более скоростной openvpn то из представленных моделей это либо 2710  либо 1811. В остальных гораздо более слабый cpu

поэтому я и спросил про возможность подключения аппаратной шифрации, зачем это делать на процессоре если есть аппаратная поддержка крипто движка…

openvpn поддерживает (openvpn --show-engines), в роутере галочка на hardware network accel стоит.

возмножно просто собран без неё или надо явно что-то указать в "engine <engine-name>"?

[SergeIv]

6 minutes ago, ANDYBOND said:

Всё, что можно, уже включено на новейшей прошивке. Но мощности процессору это не добавляет.

 

грусть-печаль… спасибо.

[SSTP]

в опенвпн не возможно добавить несколько файлов с rsa 4096 b 8192 в одном файле .ovpn keenetic duo

Edited July 23, 2024 by SSTP

[operkot]

Добрый день.

Есть арендованный сервер в Амстердаме с openVPN, на своем роутере настроил ВПН подключение, в приоритетах указал, что все телевизоры\телефоны\планшеты сидят на ВПН, а все компьтера без ВПН. Все это работает. Но так же на роутере установлен торрент клиент стандартный, и он всегда качает через ВПН, что абсолютно не нужно. Можно торрент клиент пустить в обход ВПН?

[Alessio]

В 27.07.2024 в 13:20, operkot сказал:

Добрый день.

Есть арендованный сервер в Амстердаме с openVPN, на своем роутере настроил ВПН подключение, в приоритетах указал, что все телевизоры\телефоны\планшеты сидят на ВПН, а все компьтера без ВПН. Все это работает. Но так же на роутере установлен торрент клиент стандартный, и он всегда качает через ВПН, что абсолютно не нужно. Можно торрент клиент пустить в обход ВПН?

Не удалось ли вам решить эту проблему?

Я бьюсь с похожей ситуацией: пытаюсь понять как назначить определённым сервисам и интерфейсам конкретное интернет подключение, а не только то, что стоит в приоритете.

[Le ecureuil]

В 27.07.2024 в 09:20, operkot сказал:

Добрый день.

Есть арендованный сервер в Амстердаме с openVPN, на своем роутере настроил ВПН подключение, в приоритетах указал, что все телевизоры\телефоны\планшеты сидят на ВПН, а все компьтера без ВПН. Все это работает. Но так же на роутере установлен торрент клиент стандартный, и он всегда качает через ВПН, что абсолютно не нужно. Можно торрент клиент пустить в обход ВПН?

Торрент можно засунуть в политику, где будет только ISP.

[Le ecureuil]

1 час назад, Alessio сказал:

Не удалось ли вам решить эту проблему?

Я бьюсь с похожей ситуацией: пытаюсь понять как назначить определённым сервисам и интерфейсам конкретное интернет подключение, а не только то, что стоит в приоритете.

Звучит как то, что нужно использовать стандартные политики.

[alblks]

Наткнулся на некую странность (прошивка последняя стабильная 4.2.6.1). После установления соединения с OpenVPN-сервером NDM зачем-то удаляет дефолтный IPv6-маршрут (причём уже после отработки хука из /opt/etc/ndm/openvpn-route-up.d , то есть помешать этому с помощью какого-то Opkg-скрипта невозможно):

[I] Mar  1 21:31:29 root: openvpn-route-up ndm_opkg_id=OpenVPN0 ndm_opkg_argc=0
...
[I] Mar  1 21:31:30 ndm: Network::Interface::Ip6: "OpenVPN0": removing default route via OpenVPN0.

С IPv4-маршрутом при этом ничего такого не происходит.

НО! Если в конфиг openvpn добавить "route-delay" секунды в 3, то всё в порядке, дефолтный маршрут никуда не девается:

(config)> show ipv6 route table 10 sort destination ascending 

           route6: 
          destination: ::/0
              gateway: ::
            interface: OpenVPN0
               metric: 1024
                flags: U
            rejecting: no
                proto: boot
             floating: no
               static: no

Собственно, вопрос — я очень сомневаюсь, что это поведение так задумано. Но если таки да, может быть, есть смысл это где-нибудь описать?

Edited March 1 by alblks
добавил версию прошивки

[Le ecureuil]

23 часа назад, alblks сказал:

Наткнулся на некую странность (прошивка последняя стабильная 4.2.6.1). После установления соединения с OpenVPN-сервером NDM зачем-то удаляет дефолтный IPv6-маршрут (причём уже после отработки хука из /opt/etc/ndm/openvpn-route-up.d , то есть помешать этому с помощью какого-то Opkg-скрипта невозможно):

[I] Mar  1 21:31:29 root: openvpn-route-up ndm_opkg_id=OpenVPN0 ndm_opkg_argc=0
...
[I] Mar  1 21:31:30 ndm: Network::Interface::Ip6: "OpenVPN0": removing default route via OpenVPN0.

С IPv4-маршрутом при этом ничего такого не происходит.

НО! Если в конфиг openvpn добавить "route-delay" секунды в 3, то всё в порядке, дефолтный маршрут никуда не девается:

(config)> show ipv6 route table 10 sort destination ascending 

           route6: 
          destination: ::/0
              gateway: ::
            interface: OpenVPN0
               metric: 1024
                flags: U
            rejecting: no
                proto: boot
             floating: no
               static: no

Собственно, вопрос — я очень сомневаюсь, что это поведение так задумано. Но если таки да, может быть, есть смысл это где-нибудь описать?

Пришлите лог с включенным interface OpenVPN0 debug во время подключения.

[Le ecureuil]

Выглядит как race condition. У вас OpenVPN0 является самым высокоприоритетным в системе?

[Slava69]

Извините за беспокойства я так сказать начинающий пытаюсь разобраться в определённых программах роутера ввиду понятной надобности. Есть роутер Keenetic Hoper 3811  установил сервер и клиент open vpn. Вопрос  где купить как правильно настроить чтобы VPN шёл только на несколько ресурсов остальное по каналу провайдера заранее благодарен за любые ответы. 

[FFFt]

Добрый вечер. Подскажите пожалуйста как на keenetic speedster kn-3013 роутере настроить отдельные устройства, у которых будет проходить весь трафик через VPN?

[mrGhotius]

20 часов назад, FFFt сказал:

Добрый вечер. Подскажите пожалуйста как на keenetic speedster kn-3013 роутере настроить отдельные устройства, у которых будет проходить весь трафик через VPN?

Создать политику доступа, приоритетным подключением выбрать VPN, переместить необходимые устройства в эту политику.

https://support.keenetic.ru/eaeu/speedster/kn-3013/ru/17892-connection-policies.html