Анончик, помоги, пожалуйста настроить OpenVPN. Ты моя последняя надежда. Сначала хотел сделать все сам, но уже который день пердолюсь в том, что делается за 15 минут. Подскажи в чем причина, коннект с сервером есть, но нет инета. Делал все четко по схеме.Логи клиентаTue Jun 20 04:38:30 2017 Restart pause, 5 second(s)Tue Jun 20 04:38:35 2017 Preserving previous TUN/TAP instance: Подключение по локальной сети 2Tue Jun 20 04:38:35 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]XX.XX.XX.XX:443Tue Jun 20 04:38:35 2017 Socket Buffers: R=[8192->8192] S=[8192->8192]Tue Jun 20 04:38:35 2017 UDP link local: (not bound)Tue Jun 20 04:38:35 2017 UDP link remote: [AF_INET]XX.XX.XX.XX:443Tue Jun 20 04:38:35 2017 MANAGEMENT: >STATE:1497922715,WAIT,,,,,,
Конфиг клиентаca "\\Program Files\\OpenVPN\\config\\ca.crt"cert "\\Program Files\\OpenVPN\\config\\server.crt"key "\\Program Files\\OpenVPN\\config\\server.key"dev tunproto udpremote xx.xx.xx.xx 443resolv-retry infinitenobinduser nobodygroup nobodypersist-keypersist-tunca "\\Program Files\\OpenVPN\\config\\ca.crt"cert "\\Program Files\\OpenVPN\\config\\server.crt"key "\\Program Files\\OpenVPN\\config\\server.key"tls-auth ta.key 1tls-clientcipher AES-128-CBCauth SHA512ifconfig 10.8.0.2 10.8.0.1verb 3
Конфиг сервераport 443proto udpdev tunca ca.crtcert server.crtkey server.key # This file should be kept secretdh dh2048.pemserver 10.8.0.0 255.255.255.0ifconfig-pool-persist ipp.txtpush "redirect-gateway def1 bypass-dhcp"push "dhcp-option DNS 8.8.8.8"push "dhcp-option DNS 8.8.4.4"keepalive 10 120tls-auth ta.key 0 # This file is secretcipher AES-128-CBC # AEScomp-lzouser nobodygroup nogrouppersist-keypersist-tunstatus openvpn-status.loglog /var/log/openvpn.logverb 3
>>2071938 (OP)Tue Jun 20 05:48:32 2017 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)Tue Jun 20 05:48:32 2017 TLS Error: TLS handshake failed
Оказывается была проблема в брандмауэре, но теперь другая ебола вылезла.Tue Jun 20 06:04:40 2017 read UDP: Connection reset by peer (WSAECONNRESET) (code=10054)Tue Jun 20 06:04:45 2017 read UDP: Connection reset by peer (WSAECONNRESET) (code=10054)Tue Jun 20 06:04:53 2017 read UDP: Connection reset by peer (WSAECONNRESET) (code=10054)
>>2071963Если ты делал по мануалам, то там очень часто может встречаться такая проблема: в iptables не тот интерфейс указан. Это проверял?
>>2071992Чего я только не проверял. Ты ведь про eth0?Делал так# iptables -A FORWARD -i eth0 -o tun0 -m state --state ESTABLISHED,RELATED -j ACCEPT# iptables -A FORWARD -s 10.8.0.0/24 -o eth0 -j ACCEPT# iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADEВ ifconfig у меня тоже eth0. Насколько мне известно, то меня бы не пустило,если бы неправильно было.
Сейчас висит эта хуетаTue Jun 20 08:09:15 2017 MANAGEMENT: >STATE:1497938957,WAIT,,,,,,Tue Jun 20 08:09:15 2017 read UDP: Connection reset by peer (WSAECONNRESET) (code=10054)Tue Jun 20 08:09:17 2017 read UDP: Connection reset by peer (WSAECONNRESET) (code=10054)Tue Jun 20 08:09:21 2017 read UDP: Connection reset by peer (WSAECONNRESET) (code=10054)Tue Jun 20 08:09:29 2017 read UDP: Connection reset by peer (WSAECONNRESET) (code=10054)Tue Jun 20 08:09:45 2017 read UDP: Connection reset by peer (WSAECONNRESET) (code=10054)Tue Jun 20 08:10:16 2017 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)Tue Jun 20 08:10:16 2017 TLS Error: TLS handshake failedTue Jun 20 08:10:16 2017 SIGUSR1[soft,tls-error] received, process restartingTue Jun 20 08:10:16 2017 MANAGEMENT: >STATE:1497939018,RECONNECTING,tls-error,,,,,Tue Jun 20 08:10:16 2017 Restart pause, 300 second(s)Делал уже все что угодно, но ничего не помогает.Вообще кто поможет могу полтос на телефон скинуть (больше у меня нет) или битков отсыпать. Просто я уже реально заебался.
>>2071942У тебя клиент имеет auth sha512, а сервер дефолтный sha1. Укажи в обоих случаях auth sha256
>>2072163 Хотя скоре всего дело в фаерволе. На сервере добавь в rc.localiptables -A FORWARD -s 10.8.0.0/24 -j ACCEPTiptables -t nat -A POSTROUTING -o venet0 -j SNAT --to-source public_ipiptables -A INPUT -i tun+ -j ACCEPTiptables -A FORWARD -i tun+ -j ACCEPTИ на клиенте отключи все что можно.
>>2071943> Конфиг клиента> tls-auth ta.key 1В пердоконфигах не шарю особо, но проверь место расположение сего файла
>>2072174Сделал так, теперь выдает только такую ошибку"TLS key negotiation failed to occur within 60 seconds (check your network connectivity)".Пробовал переключать тип соединения на tcp, но в итоге все по кругу реконнектится.
>>2072306В каком смысле проверить? С ta.key все вроде впорядке, но чую в этом и есть проблема.
>>2073136Проверь доходят ли вообще пакеты до сервера>tcpdump -ni eth0 udp and port 443и если доходят давай лог сервера
>>2072021Ебать, у меня такие же шахматы есть.
>>2073745Сделал, по tcp соединению доходят пакеты.Fri Jun 23 00:24:55 2017 TCP connection established with [AF_INET]xx.xx.xx.xx:55950Fri Jun 23 00:24:55 2017 xx.xx.xx.xx:55950 TLS: Initial packet from [AF_INET]xx.xx.xx.xx:55950, sid=ce468a5f f9a9a69aFri Jun 23 00:24:58 2017 xx.xx.xx.xx:55950 VERIFY ERROR: depth=0, error=unsupported certificate purpose: C=ef, ST=ef, L=efa, O=efa, OU=efa, CN=efa, name=efa, emailAddress=efaFri Jun 23 00:24:58 2017 xx.xx.xx.xx:55950 TLS_ERROR: BIO read tls_read_plaintext error: error:140890B2:SSL routines:SSL3_GET_CLIENT_CERTIFICATE:no certificate returnedFri Jun 23 00:24:58 2017 xx.xx.xx.xx:55950 TLS Error: TLS object -> incoming plaintext read errorFri Jun 23 00:24:58 2017 xx.xx.xx.xx:55950 TLS Error: TLS handshake failedFri Jun 23 00:24:58 2017 xx.xx.xx.xx:55950 Fatal TLS error (check_tls_errors_co), restartingFri Jun 23 00:24:58 2017 xx.xx.xx.xx:55950 SIGUSR1[soft,tls-error] received, client-instance restartingПо udp опять ошибкаTue Jun 20 08:09:15 2017 read UDP: Connection reset by peer (WSAECONNRESET) (code=10054)
>>2071938 (OP)>пик 2 Орнул
>>2074151Там не такие.Лучше помоги мне разобраться, анон
>>2074156Разбираться с опенвпн у меня в очень долгосрочных планах
>>2074134>no certificate returnedЧто скажешь?
>>2071942>ca "\\Program Files\\OpenVPN\\config\\ca.crt">cert "\\Program Files\\OpenVPN\\config\\server.crt">key "\\Program Files\\OpenVPN\\config\\server.key"Почему два раза повторяется? Сократи до >ca "ca.crt" и так каждую строку, наверняка у тебя конфиг валяется в одной с ними папке.>tls-auth ta.key 1>tls-clientОно тебе вообще надо, кстати?
>>2071943>comp-lzoВ конфиг клиента добавь.
Проигрываю с пердопопыток что-то диагностировать.
>>2074383Хуле там диагностировать если на человеческом по серому написано, что проблема с сертификатом.
>>2072030https://rusadmin.biz/zashhita-i-bezopasnost/openvpn-na-debian/>>2074386проблема не с сертификатом
>>2074403>проблема не с сертификатом>error=unsupported certificate >no certificate returned
>>2074404долбоеб, проблема с tls-хендшейком а не с сертификатом.
>>2074405А почему с ним проблема-то? Это следствие, не причина. У него хэндшэйк фейлился и до этого, хотя подключения не было.
>>2074406>А почему с ним проблема-то?Потому что долбоеб-ОП не прописал путь до ta.key в клиенте. Это не проблема сертификата.
>>2074415>tls-auth ta.key 1Вот же.
>>2074406>У него хэндшэйк фейлился и до этого, хотя подключения не было. потому что фейл шендшейка это следствие, а причин может быть овердохуя>>2074416у него абсолютный путь в ca, серта и ключа клиента, до ta.key путь хуй пойми как прописангораздо проще и быстрее переставить опенвпн с нуля по нормальному гайду, а не искать проблему без нормального лога с сервера и конфигов
>>2074435>потому что фейл шендшейка это следствие, а причин может быть овердохуяНу да, я же говорю>error=unsupported certificate https://forums.openvpn.net/viewtopic.php?t=18550>у него абсолютный путь в ca, серта и ключа клиента, до ta.key путь хуй пойми как прописанМетодом дедукции я предсказываю, что все файлы лежат в папке конфиг опенвпн, так что проблем быть не должно.>гораздо проще и быстрее переставить опенвпн с нуля по нормальному гайду, а не искать проблему без нормального лога с сервера и конфиговКак бы двачую, но траблшутинг проблем это не есть плохо, не всегда же переустанавливать шиндошс.
О, OpenVPN-тред, не придется свой собственный делать.У меня более странная хуйня. Проблемы не с настройкой - я в начале лета сам настроил серверок при помощи инструкции из >>2074403 , некоторого количества гуглежа и немного тыканья наугад. При том, я до этого с линупсом дел не имел и даже базовейшая хуйня была для меня просто инопланетной. Как-то оно заработало, и удовлетворительно работало без остановки до сегодняшнего дня.А сегодня с утра сломалось. Ничего не менял в конфигах(по крайней мере до поломки). Файлы конфигов и ключей не перемещал - точно перепроверил. Никто пекарню трогать не мог. Сервис точно оплачен до 4 июля 2017 года. Сервер работает, и открывается через putty. На сайте провайдера никаких сообщений о неполадках нет. Лимит трафика в 2Tb я точно выбрать не мог. Никаких изменений физически в способ подключения к сети не вносил.Заметил с утра в консоли при подключении что-то выглядело НЕ ТАК. Что именно - я вспомнить не смогу, так как не запоминал и не записывал, как выглядели сообщения нормального подключения. И естественно оно было не так - интернет тупо пропал. Из этого я понял, что мой пк с серваком связался, но дальше дело не але.Но вот то, что оно пишет сейчас. Мне кажется, что лог короче, чем бывал раньше:Fri Jun 23 20:59:03 2017 OpenVPN 2.4.2 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on May 11 2017Fri Jun 23 20:59:03 2017 Windows version 6.1 (Windows 7) 64bitFri Jun 23 20:59:03 2017 library versions: OpenSSL 1.0.2k 26 Jan 2017, LZO 2.10Fri Jun 23 20:59:03 2017 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340Fri Jun 23 20:59:03 2017 Need hold release from management interface, waiting...Fri Jun 23 20:59:04 2017 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340Fri Jun 23 20:59:04 2017 MANAGEMENT: CMD 'state on'Fri Jun 23 20:59:04 2017 MANAGEMENT: CMD 'log all on'Fri Jun 23 20:59:04 2017 MANAGEMENT: CMD 'echo all on'Fri Jun 23 20:59:04 2017 MANAGEMENT: CMD 'hold off'Fri Jun 23 20:59:04 2017 MANAGEMENT: CMD 'hold release'Fri Jun 23 20:59:04 2017 Outgoing Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authenticationFri Jun 23 20:59:04 2017 Incoming Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authenticationFri Jun 23 20:59:04 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]xxx.xxx.xxx.192:20100Fri Jun 23 20:59:04 2017 Socket Buffers: R=[8192->8192] S=[8192->8192]Fri Jun 23 20:59:04 2017 UDP link local: (not bound)Fri Jun 23 20:59:04 2017 UDP link remote: [AF_INET]xxx.xxx.xxx.192:20100Fri Jun 23 20:59:04 2017 MANAGEMENT: >STATE:1498240744,WAIT,,,,,,Fri Jun 23 20:59:05 2017 MANAGEMENT: >STATE:1498240745,AUTH,,,,,,Fri Jun 23 20:59:05 2017 TLS: Initial packet from [AF_INET]xxx.xxx.xxx.192:20100, sid=xxxxxFri Jun 23 20:59:05 2017 VERIFY OK: depth=1, C=X, ST=X, L=X, O=X, OU=X, CN=X, name=X, emailAddress=XFri Jun 23 20:59:05 2017 VERIFY KU OKFri Jun 23 20:59:05 2017 Validating certificate extended key usageFri Jun 23 20:59:05 2017 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server AuthenticationFri Jun 23 20:59:05 2017 VERIFY EKU OKFri Jun 23 20:59:05 2017 VERIFY OK: depth=0, C=X, ST=X, L=X, O=X, OU=X, CN=X, name=X, emailAddress=XFri Jun 23 20:59:06 2017 Control Channel: TLSv1.2, cipher TLSv1/SSLv3 DHE-RSA-AES256-GCM-SHA384, 2048 bit RSAFri Jun 23 20:59:06 2017 [serv] Peer Connection Initiated with [AF_INET]xxx.xxx.xxx.192:20100Fri Jun 23 20:59:07 2017 MANAGEMENT: >STATE:1498240747,GET_CONFIG,,,,,,Fri Jun 23 20:59:07 2017 SENT CONTROL [serv]: 'PUSH_REQUEST' (status=1)Fri Jun 23 20:59:08 2017 PUSH: Received control message: 'PUSH_REPLY,redirect-gateway def1 bypass-dhcp,dhcp-option DNS 8.8.8.8,dhcp-option DNS 8.8.4.4,route 10.8.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.6 10.8.0.5'Fri Jun 23 20:59:08 2017 OPTIONS IMPORT: timers and/or timeouts modifiedFri Jun 23 20:59:08 2017 OPTIONS IMPORT: --ifconfig/up options modifiedFri Jun 23 20:59:08 2017 OPTIONS IMPORT: route options modifiedFri Jun 23 20:59:08 2017 OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modifiedFri Jun 23 20:59:08 2017 Data Channel Encrypt: Cipher 'AES-256-CBC' initialized with 256 bit keyFri Jun 23 20:59:08 2017 Data Channel Encrypt: Using 512 bit message hash 'SHA512' for HMAC authenticationFri Jun 23 20:59:08 2017 Data Channel Decrypt: Cipher 'AES-256-CBC' initialized with 256 bit keyFri Jun 23 20:59:08 2017 Data Channel Decrypt: Using 512 bit message hash 'SHA512' for HMAC authenticationFri Jun 23 20:59:08 2017 interactive service msg_channel=0Fri Jun 23 20:59:08 2017 ROUTE_GATEWAY 192.168.1.1/255.255.255.0 I=11 HWADDR=xxxxxxxxxxxxFri Jun 23 20:59:08 2017 open_tunFri Jun 23 20:59:08 2017 TAP-WIN32 device [Подключение по локальной сети 3] opened: \\.\Global\{DC37DD2B-6B73-4507-AA00-333D7292C0E6}.tapFri Jun 23 20:59:08 2017 TAP-Windows Driver Version 9.21 Fri Jun 23 20:59:08 2017 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.8.0.6/255.255.255.252 on interface {DC37DD2B-6B73-4507-AA00-333D7292C0E6} [DHCP-serv: 10.8.0.5, lease-time: 31536000]Fri Jun 23 20:59:08 2017 Successful ARP Flush on interface [20] {DC37DD2B-6B73-4507-AA00-333D7292C0E6}Fri Jun 23 20:59:08 2017 do_ifconfig, tt->did_ifconfig_ipv6_setup=0Fri Jun 23 20:59:08 2017 MANAGEMENT: >STATE:1498240748,ASSIGN_IP,,10.8.0.6,,,,Fri Jun 23 20:59:13 2017 TEST ROUTES: 2/2 succeeded len=1 ret=1 a=0 u/d=upFri Jun 23 20:59:13 2017 C:\Windows\system32\route.exe ADD xxx.xxx.xxx.192 MASK 255.255.255.255 192.168.1.1Fri Jun 23 20:59:13 2017 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=25 and dwForwardType=4Fri Jun 23 20:59:13 2017 Route addition via IPAPI succeeded [adaptive]Fri Jun 23 20:59:13 2017 C:\Windows\system32\route.exe ADD 0.0.0.0 MASK 128.0.0.0 10.8.0.5Fri Jun 23 20:59:13 2017 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=20 and dwForwardType=4Fri Jun 23 20:59:13 2017 Route addition via IPAPI succeeded [adaptive]Fri Jun 23 20:59:13 2017 C:\Windows\system32\route.exe ADD 128.0.0.0 MASK 128.0.0.0 10.8.0.5Fri Jun 23 20:59:13 2017 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=20 and dwForwardType=4Fri Jun 23 20:59:13 2017 Route addition via IPAPI succeeded [adaptive]Fri Jun 23 20:59:13 2017 MANAGEMENT: >STATE:1498240753,ADD_ROUTES,,,,,,Fri Jun 23 20:59:13 2017 C:\Windows\system32\route.exe ADD 10.8.0.1 MASK 255.255.255.255 10.8.0.5Fri Jun 23 20:59:13 2017 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=20 and dwForwardType=4Fri Jun 23 20:59:13 2017 Route addition via IPAPI succeeded [adaptive]Fri Jun 23 20:59:13 2017 Initialization Sequence CompletedFri Jun 23 20:59:13 2017 MANAGEMENT: >STATE:1498240753,CONNECTED,SUCCESSИногда вместо второй и третьей выделенной строк выдается:> Route addition via IPAPI failed [adaptive]> ROUTE: route addition failed using CreateIpForwardEntryно потом все равно у него Sequence Completed и SUCCESSС утра также было:> TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)> TLS Error: TLS handshake failedно я после этого что-то ковырял в конфигах по советам в гугле и оно исчезло. Но подключение не появилось, ясен хуй.Гуглил в основном по выделенным болдом и гринтекстом строчкам. Несмотря на почти весь день ковыряния в поиске нихуя полезных ответов я не выбил - решение или дебильноватый совет из нулевых "запускайте оpenvpn из-под администратора - о боже спасибо помогло", наверное в пятидесяти процентах ответов(нихуя не помогает, естественно); или "добавьте какие-то там строчки в конфиг клиента" - добавляю указанное, просто пишется меньше сообщений, результат идентичный; или "вот еще несколько строчек" - теперь лезет больше ошибок, которые при введении в гугл показывают те же самые страницы; или "переключитесь на другой порт/включите tcp" - другой порт нихуя не меняет, tcp просто виснет на века на стадии поиска сервера.Мне кажется, что я упускаю что-то очень простое и важное.
>>2074616>Fri Jun 23 20:59:04 2017 UDP link local: (not bound)У меня так же, работает нормально.Попробую разобрать остальное. А вообще, >CONNECTED,SUCCESSМожет иптаблес поломался?
>>2074616И теперь конфиги:Клиент:tls-clientclientdev tunproto udpremote xxx.xxx.xxx.192 20100resolv-retry infinitenobindpersist-keypersist-tunca ca.crtcert client.crtkey client.keyremote-cert-tls servertls-auth ta.key 1cipher AES-256-CBCauth SHA512tls-version-min 1.2comp-lzoverb 3И сервер:tls-servermode serverport 20100proto udpdev tunca ca.crtcert server.crtkey server.keydh dh2048.pemserver 10.8.0.0 255.255.255.0ifconfig-pool-persist ipp.txtpush "redirect-gateway def1 bypass-dhcp"push "dhcp-option DNS 8.8.8.8"push "dhcp-option DNS 8.8.4.4"keepalive 10 120tls-auth ta.key 0cipher AES-256-CBCauth SHA512tls-version-min 1.2comp-lzomax-clients 100user nobodygroup nogrouppersist-keypersist-tunstatus openvpn-status.loglog-append /etc/openvpn/openvpn.logverb 5Я их немного ковырял, вроде лог выше - с выключеным и у клиента и сервера TLS, но и с включенным та же хуета.
Если я уже подключаюсь к сети через провайдеровский впн, то можно как-то второй поставить сверху?
Просто он вам не нужен, недоразвитые. Ещё и настроите неправильно, так, что никакой безопасности не будет, а ваш трафик сможет расшифровать даже обезьяна.
