Как помочь клиентам VPN увидеть друг друга?

Question

[Валерий Рябошапко]

Приветствую.

Есть три машины. На одной из них сервер VPN, на другой сервер RDP, на третьей клиент RDP. Нужно, чтобы с третьей машины подключаться на вторую. Туннели я поднять таки смог, а вот друг друга машинки не видят, даже сервер. Подскажите, что я упустил?

Конфиг сервера

port 1194
proto udp
dev tun
ca keys/ca.crt
cert keys/server.crt
dh keys/dh4096.pem
server 192.168.10.0 255.255.255.0
ifconfig-pool-persist ipp.txt
client-to-client
keepalive 10 120
comp-lzo
status /var/log/openvpn-status.log
log-append  /var/log/openvpn.log
verb 4

Конфиг клиентов (одинаков, отличаются только ключи и сертификаты)

client
remote vpn.example.com
dev tun
nobind
persist-key
persist-tun
keepalive 3 10
fragment 1400
verb 2
log-append openvpn.log
cipher BF-CBC
ca [inline]
cert [inline]
key [inline]
comp-lzo
askpass pass

<ca>
...
</ca>
<key>
....
</key>
<cert>
...
</cert>

После подключения клиента вижу вот такую картину

$ ifconfig tun0
tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  
          inet addr:192.168.10.6  P-t-P:192.168.10.5  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

$ route
Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags Metric Ref Use Iface
default         192.168.1.1     0.0.0.0         UG    0      0        0 wlan0
192.168.1.0     *               255.255.255.0   U     9      0        0 wlan0
192.168.10.0    192.168.10.5    255.255.255.0   UG    0      0        0 tun0
192.168.10.5    *               255.255.255.255 UH    0      0        0 tun0

По идее, всё правильно, но пинги не ходють, ни до сервера, ни до другого клиента. ICMP включён, плюс пытался telnet-ом на открытые порты подцепиться.

Так что я упустил-то?

UPD. Форвард в ядре сервера включил, но это не изменило ситуацию: пинги всё ещё не доходят до сервера, соответственно, форвардить ему нечего.

Answer 1

[ldv]

а tcpdump на сервере пинги видит?

fragment обязательно указывать на обоих сторонах

Comments

[Валерий Рябошапко]

Нет, на сервере не видит, на клиенте видит.

[ldv]

Валерий Рябошапко: пишут, что fragment обязательно указывать на обоих сторонах соединения

[Валерий Рябошапко]

ldv: вах! :-D

[Валерий Рябошапко]

ldv: допишите, пожалуйста, по fragment в ответ, чтоб его было лучше видно олухам вроде меня :-)

Answer 2

[mureevms]

Форвард в ядре на OVPN сервере включен?
echo "1" > /proc/sys/net/ipv4/ip_forward

Comments

[Валерий Рябошапко]

Точно, про него забыл, только что добавил. Но это только часть проблемы, клиент всё ещё не может допинговаться до сервера.

[Валерий Рябошапко]

Тончее, клиенты всё ещё не видят ни друг друга, ни сервер.

[mureevms]

Разрешающие правила фаера есть?
Какая вообще политика фаера?

[Валерий Рябошапко]

mureevms: политика весьма либеральная :-)

# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

[mureevms]

Хм.
Какая адресация подсети на сервере RDP?

[Валерий Рябошапко]

mureevms: не уверен, что речь именно об этом, но как-то так

$ ifconfig tun0
tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  
          inet addr:192.168.10.2  P-t-P:192.168.10.1  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

$ route
Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags Metric Ref Use Iface
default         192.168.1.1     0.0.0.0         UG    0      0        0 eth0
link-local      *               255.255.0.0     U     1000   0        0 eth0
192.168.1.0     *               255.255.255.0   U     0      0        0 eth0
192.168.10.0    192.168.10.1    255.255.255.0   UG    20     0        0 tun0
192.168.10.1    *               255.255.255.255 UH    0      0        0 tun0

[mureevms]

Вы уверены, что это RDP сервер? Просто когда говорят RDP подразумевают винду, а тут линь.
Нарисуйте на листочке как клиенты подключены друг к другу и зафотайте :) Быть может что-то не так в самой схеме подключения

[Валерий Рябошапко]

mureevms: да, уверен, это просто такой изврат. На сервере стоит линь, но бухгалтеру привычен Удалённый доступ Windows, поэтому там поднят xrdp. Клиенты, подключены совершенно бесхитростно. Как-то так. Поднять VPN прямо на сервере с RDP нельзя, так как он за NAT, поэтому потребовался отдельный VPN сервер.

[mureevms]

аа, так оба клиента подключены через интернет к OVPN серверу, я правильно понимаю?
Сначала подумал, что OVPN и RDP сервер в одной подсети.

[Валерий Рябошапко]

mureevms: да, физически сервер RDP и клиент RDP в разных подсетях, каждый за свои NAT. С помощью VPN хочу объединить их в одну подсеть.

[mureevms]

На обоих клиентах внутри локальной сети одинаковая адресация или нет?
Если одинаковая, то попробуйте сменить на одном из них и пинговать не адрес внутри OVPN сети, а адрес локальной сети противоположного клиента

[mureevms]

Так, а с OVPN сервера клиенты-то пингуются?

[Валерий Рябошапко]

mureevms: не уверен, что это сработает, по конфигу видно, что я настраивал туннель через VPN, а не бридж. А так-то да, на wlan0 у клиента RDP и eth0 у сервера RDP одни и та же подсеть.

[Валерий Рябошапко]

mureevms: нет, никто ниоткуда не пингуется.

[mureevms]

> никто ниоткуда не пингуется.
Вот это очень странно

[mureevms]

> не уверен, что это сработает, по конфигу видно, что я настраивал туннель через VPN, а не бридж.
Предлагаю проверить, ели больше ни чего не выйдет. Только надо будет запушить конфиги подсетей обоим клиентам, примерно так:
push "route 192.168.1.0 255.255.254.0"
push "route 192.168.2.0 255.255.254.0"

Answer 3

[Radjah]

Не вижу client-to-client в конфиге сервера.