Почему не меняется IP после подключения к VPN?

Question

[Вячеслав]

Доброе время суток.
Я учусь настраивать VPN на Linux Debian.

Делалось все по туториалу:
debian-help.ru/articles/ustanovka-nastroika-openvp...

Конфиг сервера:

port 1194
proto tcp
dev tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key
dh /etc/openvpn/dh2048.pem
server 93.189.42.0 255.255.255.0
push "redirect-gateway eth0"
push "dhcp-option DNS 8.8.8.8"
ifconfig-pool-persist ipp.txt
keepalive 10 120
tls-auth /etc/openvpn/ta.key 0
cipher DES-EDE3-CBC
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3
tmp-dir /etc/openvpn/tmp

Конфиг клиента:

dev tun
proto tcp
remote 93.189.42.## 1194
route-delay 3
client
tls-client
ns-cert-type server
ca C:\\cert\\ca.crt
cert C:\\cert\\user.crt
key C:\\cert\\user.key
tls-auth C:\\cert\\ta.key 1
cipher DES-EDE3-CBC
comp-lzo
tun-mtu 1500
tun-mtu-extra 32
mssfix 1450
ping-restart 120
ping 10
status C:\\cert\\certopenvpn-status.log
log C:\\cert\\openvpn.log
verb 3

IPTABLES:

iptables -t nat -A POSTROUTING -s 93.189.42.0/24 -o eth0 -j MASQUERADE

Сервер запускается успешно. Клиент подключается тоже успешно.
Но при попытки загрузить какую-то страницу, браузер ресолвит хостнейм секунды 2-3, а потом загружает страницу.
Но проблема в том, что IP НЕ меняется на IP VPN.

Подскажите, где я намудрил, и как исправить.

Comments

[ldv]

в директиве server 93.###.##.0 255.255.255.0
специально указана белая подсеть?

[Вячеслав]

ldv: я не до конца написал конфиги. кое-что скрыл, фиксанул..

[ldv]

Вячеслав: в смысле, что в этой директиве указывается подсеть для виртуальной сети. Это не реальный адрес сервера

[Вячеслав]

ldv: если я не ошибся, там нужно указывать подсеть виртуальной сети. сейчас попробую указать реальный адрес сервера.

[Вячеслав]

ldv: нет. необходима подсеть виртуальной сети. если указать реальный адрес машины, появляется ошибка: 'Options error: --server directive network/netmask combination is invalid'

[ldv]

Вячеслав: у вас сейчас указана белая подсеть, а должно быть 192.168.1.0 или что-то подобное

[ldv]

Вячеслав: я про это и говорю

[ldv]

Вячеслав: и строчка "push "redirect-gateway eth0"" неверна
надо push "redirect-gateway def1"

[Вячеслав]

ldv: сейчас..

[Вячеслав]

ldv: фиксанул, все равно не работает. попробую совет ниже.

[ldv]

Вячеслав: покажите текущий конфиг, совет ниже неверен во второй части

[Вячеслав]

ldv: port 1194
proto tcp
dev tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key
dh /etc/openvpn/dh2048.pem
server 93.189.42.0 255.255.255.0
push "redirect-gateway def1"
push "dhcp-option DNS 8.8.8.8"
ifconfig-pool-persist ipp.txt
keepalive 10 120
tls-auth /etc/openvpn/ta.key 0
cipher DES-EDE3-CBC
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3
;auth-user-pass-verify /etc/openvpn/verify.sh via-file
;client-cert-not-required
;username-as-common-name
tmp-dir /etc/openvpn/tmp
;script-security 2

[ldv]

Вячеслав: я же написал server 93.189.42.0 255.255.255.0 неправильно

[ldv]

Вячеслав:
server 192.168.1.0 255.255.255.0
или server 10.0.0.0 255.255.255.0

и iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

[Вячеслав]

ldv: а как правильно? i.imgur.com/rmyNTIZ.png

[ldv]

Вячеслав: в директиве server указывается пул, из которого клиенты будут получать адреса

[Вячеслав]

ldv: т.е. указать этот адресс? i.imgur.com/XFE7Yyl.png

[ldv]

server 192.168.1.0 255.255.255.0

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

[Вячеслав]

ldv: а.. не увидел выше, сейчас попробую..

[ldv]

Вячеслав: то если у клиента - адрес не из этой подсети

[ldv]

Вячеслав: маршрутизацию включили?
www.ducea.com/2006/08/01/how-to-enable-ip-forwardi...

[Вячеслав]

ldv: маршрутизация была включена. все получилось, я понял, спасибо!

Answer 1

[Azazel PW]

iptables -t nat -A POSTROUTING -s подсеть клиента из тунеля -d 0.0.0.0/0 -j SNAT --to-source %ipaddress eth0%

на клиенте должно быть
route add default gw %ip openvpn server%

Answer 2

[n1mda]

route add default gw %ip openvpn server%

у него клиент на винде

а по делу, так поставьте там кальмара, и ходите через него, пока у вас поднят тунель.
и еще немножко про тун и винду, в виндоусе только ТАП! поставьте его и на сервере и тогда виндовс, сможет понимать маршруты от сервера впн

Answer 3

[younghacker]

Речь идёт о сети интернет?
Тогда что это????

server 93.189.42.0 255.255.255.0

Разве адрес который сервер использует для построения своей локальной сети не должен быть из local диапазонов? 10.x.x.x, 172.16.x.x 192.168.x.x
выберите любой каких нет у вашего компьютера-клиента в "локалках".
Например
server 10.22.44.0 255.255.255.0
Когда произоёдет подключение у клиента должен появиться один роут
0.0.0.0/0 --> tunX с лёгким весом (легче чем у оригинального через ваш локальный сетевой интерфейс)
и второй роут на сервер 93.189.42.##

А в iptables добавьте вот это правило:

iptables -t nat -A POSTROUTING -o tun+ -j MASQUERADE

Это правило гласит: любой пакет в через любой tun интерфейс "замаскарадить"

И ещё. Проверьте что DNS на клиенте изменился на 8.8.8.8. (хотя я бы рекомендовал поднять DNS на сервере и не сливать гуглу свои похождения по интернетам)
К тому же я обычно даже блокирую любой DNS трафик через интерфейс отличный от tun чтобы избежать DNS leak когда VPN отваливается.

После этого можете войти браузером на сервис по определению IP.