Почему не проходит трафик OpenVPN?

Question

[primarch_sangvinius]

Доброго вечера. В связи с блокировкой ovpn некоторыми операторами, пошарахался с другими протоколами. SSTP режет скорость... кхм. не важно

суть. накатил по новой OpenVPN на tcp 443. nginx подвинул, port-share запилил. запускаю... и трафик с интернетом не ходит!

ufw спит, clamav, который вместе с другим пакетом влез, тоже отправился спать.

iptables(задублил правила, ну да хрен с ним)

:POSTROUTING ACCEPT [329:22407]
-A POSTROUTING -o ens3 -j MASQUERADE
-A POSTROUTING -o ens3 -j MASQUERADE
COMMIT
# Completed on Mon May 15 17:48:23 2023
# Generated by iptables-save v1.8.4 on Mon May 15 17:48:23 2023
*filter
:INPUT ACCEPT [8698:3820869]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8814:3894587]
-A FORWARD -i ens3 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o ens3 -j ACCEPT
-A FORWARD -i ens3 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o ens3 -j ACCEPT

wtf?

Comments

[Valentin Barbolin]

Клиент подключается?
cat /proc/sys/net/ipv4/ip_forward ?

[primarch_sangvinius]

Valentin Barbolin, единичка. да, про него написать забыл

слушай, яж на tcp протоколе. мб iptables для tcp что-то еще указывать надо?

[Модератор]

Фрагменты кода надо размещать в виде текста и оборачивать тэгом code для корректного отображения. Удобно делать кнопкой </>
Это обязательно, см.п.3.8 Регламента.
Сюда же относится traceback, ввод и вывод в консоли и другая структурированная текстовая инфа.

[Модератор]

Также обратите внимание на п.3.4

[AlexVWill]

ip -br a
точно ens3 выдает?

[primarch_sangvinius]

AlexVWill,

root@gate:~# ip -br a
lo               UNKNOWN        127.0.0.1/8 ::1/128
ens3             UP             *цензура*/24 2a03:e340:0:2::1ff/64 fe80::5054:ff:fecb:3ac4/64
tun0             UNKNOWN        10.8.0.1 peer 10.8.0.2/32 fe80::4189:26ef:4366:ca50/64

точно tun

[primarch_sangvinius]

AlexVWill,
кофиг сервер

port 443
proto tcp-server
port-share 127.0.0.1 4443
dev tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key
dh /etc/openvpn/dh.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist /var/log/openvpn/ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
persist-local-ip
tls-auth /etc/openvpn/ta.key
cipher AES-256-CBC
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
verb 3
client-to-client

кофиг клиент

client
dev tun
proto tcp-client
remote *цензура* 443
resolv-retry infinite
nobind
persist-key
persist-tun
persist-local-ip
remote-cert-tls server
cipher AES-256-CBC
client-to-client
verb 3
<cert>
*цензура*
</cert>
<ca>
*цензура*
</ca>
<key>
*цензура*
</key>
<tls-auth>
*цензура*
</tls-auth>

[AlexVWill]

в /var/log/syslog при подключении какие то ошибки есть?
ваще если у тебя был UFW до этого, то лучше верни его, а настройки маршрутизации на сервере сделай по инструкции, заменив порт и TCP
https://www.digitalocean.com/community/tutorials/h...

[Valentin Barbolin]

primarch_sangvinius,

:INPUT ACCEPT [8698:3820869]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8814:3894587]

У тебя во всех таблицах ACCEPT, любые другие правила в этих таблицах после такого уже не работают, то есть разрешено все)
Гетвей пингаешь 10.8.0.1?
Покажи вывод iptables-save.

[primarch_sangvinius]

AlexVWill, в логах только извещение об обнаружении не-впн трафика и перенаправлении его на порт nginx. при подключении нет проблем

завел uwf.
Valentin Barbolin, к тебе сие тоже. до того, как завел uwf, все правила, что были, я показал выше. буквально все.
гетвей даже пигавать не буду - при подключении к впн коннект с сервером через ssh сохраняется

iptables-save
# Generated by iptables-save v1.8.4 on Mon May 15 20:20:11 2023
*nat
:PREROUTING ACCEPT [133:7612]
:INPUT ACCEPT [11:437]
:OUTPUT ACCEPT [25:1500]
:POSTROUTING ACCEPT [25:1500]
-A POSTROUTING -o ens3 -j MASQUERADE
-A POSTROUTING -s 10.0.0.0/8 -o ens3 -j MASQUERADE
COMMIT
# Completed on Mon May 15 20:20:11 2023
# Generated by iptables-save v1.8.4 on Mon May 15 20:20:11 2023
*filter
:INPUT DROP [7:280]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:ufw-after-forward - [0:0]
:ufw-after-input - [0:0]
:ufw-after-logging-forward - [0:0]
:ufw-after-logging-input - [0:0]
:ufw-after-logging-output - [0:0]
:ufw-after-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-before-input - [0:0]
:ufw-before-logging-forward - [0:0]
:ufw-before-logging-input - [0:0]
:ufw-before-logging-output - [0:0]
:ufw-before-output - [0:0]
:ufw-logging-allow - [0:0]
:ufw-logging-deny - [0:0]
:ufw-not-local - [0:0]
:ufw-reject-forward - [0:0]
:ufw-reject-input - [0:0]
:ufw-reject-output - [0:0]
:ufw-skip-to-policy-forward - [0:0]
:ufw-skip-to-policy-input - [0:0]
:ufw-skip-to-policy-output - [0:0]
:ufw-track-forward - [0:0]
:ufw-track-input - [0:0]
:ufw-track-output - [0:0]
:ufw-user-forward - [0:0]
:ufw-user-input - [0:0]
:ufw-user-limit - [0:0]
:ufw-user-limit-accept - [0:0]
:ufw-user-logging-forward - [0:0]
:ufw-user-logging-input - [0:0]
:ufw-user-logging-output - [0:0]
:ufw-user-output - [0:0]
-A INPUT -j ufw-before-logging-input
-A INPUT -j ufw-before-input
-A INPUT -j ufw-after-input
-A INPUT -j ufw-after-logging-input
-A INPUT -j ufw-reject-input
-A INPUT -j ufw-track-input
-A FORWARD -i ens3 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o ens3 -j ACCEPT
-A FORWARD -j ufw-before-logging-forward
-A FORWARD -j ufw-before-forward
-A FORWARD -j ufw-after-forward
-A FORWARD -j ufw-after-logging-forward
-A FORWARD -j ufw-reject-forward
-A FORWARD -j ufw-track-forward
-A OUTPUT -j ufw-before-logging-output
-A OUTPUT -j ufw-before-output
-A OUTPUT -j ufw-after-output
-A OUTPUT -j ufw-after-logging-output
-A OUTPUT -j ufw-reject-output
-A OUTPUT -j ufw-track-output
-A ufw-after-input -p udp -m udp --dport 137 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 138 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 139 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 445 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 67 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 68 -j ufw-skip-to-policy-input
-A ufw-after-input -m addrtype --dst-type BROADCAST -j ufw-skip-to-policy-input
-A ufw-after-logging-input -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-forward -j ufw-user-forward
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP
-A ufw-before-input -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-input -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A ufw-before-input -j ufw-not-local
-A ufw-before-input -d 224.0.0.251/32 -p udp -m udp --dport 5353 -j ACCEPT
-A ufw-before-input -d 239.255.255.250/32 -p udp -m udp --dport 1900 -j ACCEPT
-A ufw-before-input -j ufw-user-input
-A ufw-before-output -o lo -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -j ufw-user-output
-A ufw-logging-allow -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] "
-A ufw-logging-deny -m conntrack --ctstate INVALID -m limit --limit 3/min --limit-burst 10 -j RETURN
-A ufw-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP
-A ufw-skip-to-policy-forward -j ACCEPT
-A ufw-skip-to-policy-input -j DROP
-A ufw-skip-to-policy-output -j ACCEPT
-A ufw-track-forward -p tcp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-track-forward -p udp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-track-output -p tcp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-track-output -p udp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 443 -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 22 -m comment --comment "\'dapp_OpenSSH\'" -j ACCEPT
-A ufw-user-limit -m limit --limit 3/min -j LOG --log-prefix "[UFW LIMIT BLOCK] "
-A ufw-user-limit -j REJECT --reject-with icmp-port-unreachable
-A ufw-user-limit-accept -j ACCEPT
COMMIT
# Completed on Mon May 15 20:20:11 2023

[primarch_sangvinius]

10.8.0.0 255.255.255.0 10.8.0.5 10.8.0.6 281
10.8.0.4 255.255.255.252 On-link 10.8.0.6 281
10.8.0.6 255.255.255.255 On-link 10.8.0.6 281

route print с винды. что-то тут не получается не сходится...