🚀 go-pugleaf

Piotr Lechowicz wrote:

> 
> 
> W dniu 2016-02-24 o 11:25, Krystian pisze:
> > Piotr Lechowicz wrote:
> >
> >>>> W dniu 2016-02-23 o 22:01, Krystian pisze:
> >>>>> OpenVPN (Dostęp do klientów za serwerem_głównym_VPN dla klientów za
> >>>>> serverem_klientem_VPN)
> >>>>>
> >>>>> Dobry wieczór,
> >>>>>
> >>>>> nie wiem co robię źle ale nie "widzę" klientów za serwerem głównym
> >>>>> (serwer01) VPN przez klientów za serwerem klientem (serwer02),
> >>>>>
> >>>>
> >>>> [...]
> >>>>
> >>>
> >>> Poniżej szczegóły konfiguracji:
> >>>
> >>> --==serwer01==--
> >>>
> >>> [...]
> >>>
> >>> serwer01 Kernel IP routing table
> >>> Destination     Gateway         Genmask         Flags Metric Ref    Use
> >>> Iface
> >>> 10.8.0.2        0.0.0.0         255.255.255.255 UH    0      0        0
> >>> tun0
> >>> 79.x.x.224  0.0.0.0         255.255.255.224 U     0      0        0 eth1
> >>> 10.8.0.0        10.8.0.2        255.255.255.0   UG    0      0        0
> >>> tun0
> >>> 192.168.0.0     0.0.0.0         255.255.255.0   U     0      0        0
> >>> eth0
> >>> 127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0
> >>> lo
> >>> 0.0.0.0         79.x.x.233  0.0.0.0         UG    1      0        0 eth1
> >>>
> >>> --==serwer02==--
> >>>
> >>> [...]
> >>>
> >>> serwer02 Kernel IP routing table
> >>> Destination     Gateway         Genmask         Flags Metric Ref    Use
> >>> Iface
> >>> 0.0.0.0         79.X.X.249   0.0.0.0         UG    1      0        0
> >>> eth1
> >>> 10.8.0.1        10.8.0.5        255.255.255.255 UGH   0      0        0
> >>> tun0
> >>> 10.8.0.5        0.0.0.0         255.255.255.255 UH    0      0        0
> >>> tun0
> >>> 79.X.X.248   0.0.0.0         255.255.255.252 U     0      0        0
> >>> eth1
> >>> 127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0
> >>> lo
> >>> 192.168.0.0     10.8.0.5        255.255.255.0   UG    0      0        0
> >>> tun0
> >>> 192.168.14.0    0.0.0.0         255.255.255.0   U     0      0        0
> >>> eth0
> >>>
> >>>
> >>
> >> Na szybko:
> >>
> >> Na serwer02 masz trasę do sieci za serwer01:
> >>
> >>> 192.168.0.0 10.8.0.5 255.255.255.0 UG 0 0 0 tun0
> >>
> >> ale na serwer01 nie masz odpowiednika dla ruchu przez VPN do 192.168.14.0/24.
> >>
> >> Piotr
> >>
> >>
> >
> > Panie
> 
> zbędne
> 
> > Piotrze ale nie bardzo rozumiem dlaczego z serwer02 moge pingować
> > wszystko co na i za serwerem serwer01.
> >
> 
> A sprawdzałeś ten ruch traceroutem albo snifferem?
> 
> Wydaje mi się, że błędnie zakładasz, że w twoich testach serwer02 używa
> adresu 192.168.14.250.
> 
> A z twojego schematu wygląda, że ruch z serwer02 do 192.168.0.0/24, zgodnie z trasą
> > 192.168.0.0     10.8.0.5        255.255.255.0   UG    0      0        0 tun0
> wychodzi (jest inicjowany) z interfejsu tun0
>   z adresacją 10.8.0. i trasa powrotna dla tego
> ruchu *jest określona* w tabeli routingu na serwer01.
> 
> Dla ruchu inicjowanego z 192.168.14. do 192.168.0. serwer01 *nie zna*
> prawidłowej trasy powrotnej. Test nie działa, bo
> serwer01 wysyła ruch powrotny do 192.168.14. przez eth1 (przez swoją
> bramę domyślną)  do "chmurki", zgodnie z trasą
> > 0.0.0.0         79.x.x.233  0.0.0.0         UG    1      0        0 eth1
> 
> Wysyłam ci na priva schematy dla obu przypadków. Porównaj sobie te bazgrołki ;)
> 
> > Czy raczej IPTABLES tłumaczące ruch z 192.168.14.0/24 na 192.168.0.0/24
> > przez VPN, ale jak ?
> 
> Reguł iptables nie pokazałeś.
> Filtrujesz ruch z i do VPNu?
> NATujesz (w rozumieniu iptables -t nat ...) ten ruch?
> Jak?
> Dlaczego?
> 
> >
> > Proszę o informację czy się mylę.
> >
> > dziękuję,
> >
> > Krystian.
> >
> 
> Piotr

Dziękuję wszystkim za pomoc, działa po ponizszych zabiegach:

1. 
analiza z programem  tracert obowiązkowa ! :)

2.
dodanie trasy powrotnej na serwer01
route add -net 192.168.14.0 netmask 255.255.255.0 gw 10.8.0.2 dev tun0

3.
na serwer01 przepuszczenie ruchu pomiędzy interfejsami dla 192.168.14.0
iptables -A FORWARD -i ${TUN} -s 192.168.14.0/255.255.255.0 -j ACCEPT
iptables -A FORWARD -i ${LAN} -d 192.168.14.0/255.255.255.0 -j ACCEPT

4.
na serwer02 przepuszczenie ruchu pomiędzy interfejsami dla 192.168.14.0
i 192.168.0.0

iptables -A FORWARD -i ${LAN} -s 192.168.14.0/255.255.255.0 -j ACCEPT
iptables -A FORWARD -i ${TUN} -d 192.168.14.0/255.255.255.0 -j ACCEPT

iptables -A FORWARD -i ${LAN} -s 192.168.0.0/255.255.255.0 -j ACCEPT
iptables -A FORWARD -i ${TUN} -d 192.168.0.0/255.255.255.0 -j ACCEPT

iptables -t nat -A POSTROUTING -o ${TUN} -j MASQUERADE

Teraz pozostaje mi wykonać to samo dla sieci serwerów VPN 192.168.12.0 i
192.168.13.0

Ufff :)

pozdrawiam Krystian