Почему после подключения к OpenVPN перестает работать интернет?

Question

[beduin01]

После подключения к OpenVPN перестает работать интернет. Никак не могу понять в чем может быть причина. Подключаюсь соответственно с Windows 10.

Локальный конфиг:

client
dev tun
proto udp
sndbuf 0
rcvbuf 0
remote <ip_removed> 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
comp-lzo
setenv opt block-outside-dns
key-direction 1
verb 3
auth SHA512

Конфиг серевера:

port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
#push "redirect-gateway def1 bypass-dhcp"
push "redirect-gateway def1"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
cipher AES-256-CBC
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

Без подключения к VPN:
>nslookup
Address: 192.168.3.1

После:
>nslookup
Address: 8.8.8.8

После подключения ping так же не работает.

Answer 1

[pcdesign]

В логах должно быть написано в чем причина.
А так на в скид, видимо не прописан выход наружу на сервере.
Типа того:

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source x.x.x.x

Где x.x.x.x - IP сервера откуда трафик должен выходить наружу.

И должен быть разрешен форвард пакетов:
echo "1" > /proc/sys/net/ipv4/ip_forward
И в файле /etc/sysctl.conf
net.ipv4.ip_forward = 1

Comments

[beduin01]

По логам ничего не вижу. Делаю: grep VPN /var/log/syslog. Форватинг пакетов разрешен.

По поводу выхода наружу на сервере не совсем понял. C сервера все ресурсы пингуются нормально.

[pcdesign]

beduin01, логика такая, что надо разрешить выходить пакетам из виртуальной сети 10.8.0.0/24 наружу.
Делается это с помощью nat или MASQUERADE. Я привел образец команды для iptables, но если на сервере другой файрвол, то другая будет команда.

[beduin01]

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source ВнешнийИПМоегоСервера

так?

[pcdesign]

beduin01, да если на сервере iptables

[beduin01]

Я делал вот по этой инструкции blog.sedicomm.com/2018/02/06/kak-ustanovit-i-nastr...

root@me:~# cat /etc/rc.local
#!/bin/sh -e
iptables -I FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD -s 10.8.0.0/24 -j ACCEPT
iptables -I INPUT -p udp --dport 1194 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to <внешний-ип-моего-сервера>

По прежнему не работает. Может не внешний ИП туда надо вписывать, а откуда я подключаюсь?

[pcdesign]

beduin01, имхо, дурной тон команды iptables засовывать в rc.local. По идее он должен сработать только после перезагрузки сервера. Да и то для centos7 не так все просто с rc.local.

Покажите вывод команд

iptables -t nat -nvL

ifconfig

[beduin01]

root@me:~# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 426 packets, 50643 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 2 packets, 228 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 5880  605K SNAT       all  --  *      *       10.8.0.0/24         !10.8.0.0/24          to:83.217.214.19
    0     0 MASQUERADE  all  --  *      eth0    10.8.0.0/24          0.0.0.0/0           
    0     0 SNAT       all  --  *      *       10.8.0.0/24          0.0.0.0/0            to:37.252.121.240

Где 37.252.121.240 это внешний сервер, а 83.217.254.29 мой внешний IP на Винде.

root@me:~# ifconfig 
ens3: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 37.252.121.240  netmask 255.255.255.0  broadcast 37.252.127.255
        inet6 2a02:2770:9:0:21a:4aff:fe43:99d4  prefixlen 64  scopeid 0x0<global>
        inet6 fe80::21a:4aff:fe43:99d4  prefixlen 64  scopeid 0x20<link>
        ether 00:1a:4a:43:99:d4  txqueuelen 1000  (Ethernet)
        RX packets 52083  bytes 32620895 (31.1 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 35654  bytes 4497158 (4.2 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1  (Local Loopback)
        RX packets 162  bytes 13038 (12.7 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 162  bytes 13038 (12.7 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

tun0: flags=4305<UP,POINTOPOINT,RUNNING,NOARP,MULTICAST>  mtu 1500
        inet 10.8.0.1  netmask 255.255.255.0  destination 10.8.0.1
        inet6 fe80::9806:4123:a1c1:42f9  prefixlen 64  scopeid 0x20<link>
        unspec 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  txqueuelen 100  (UNSPEC)
        RX packets 6480  bytes 495896 (484.2 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 33  bytes 1608 (1.5 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

ps цифры немного изменил, чтобы не палить реальные адреса.

[pcdesign]

beduin01, ip - адрес винды здесь вообще ни к месту.
Попробуйте удалить все это командой
iptables --table nat --flush
И затем введите команду
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source x.x.x.x

Где x.x.x.x - белый айпи вашего удаленного сервера.

[beduin01]

pcdesign, ооо! Спасибо огромное! заработало!!!

[pcdesign]

beduin01, надо сохранить это правило iptables, иначе после ребута сервера все сломается. И имхо держаться подальше от такого дурацкого мануала по вашей ссылке, человек не сечет фишку.

[beduin01]

pcdesign, могу я просто эту команду добавить в /etc/rc.local ?

[pcdesign]

beduin01, лучше сделать один раз по человечески
https://www.thomas-krenn.com/en/wiki/Saving_Iptabl...

Сохранить эти правила постоянно, чем втыкать их в rc.local.
Но, если лень, то и в rc.local должно срабатывать.