Установка stunnel какой порт использовать?

Question

[dminster94]

использую мануалы вот эти https://github.com/Xaqron/openvpn https://github.com/Xaqron/stunnel
мне указывать 443 или 1194?меня смущает что на скрине указан порт 443 но выше строчка зачеркнута с этим портом и указан 1194, а в конце в настройках винды в Accept вообще используется адрес 127.0.0.1 это что за он?

Answer 1

[res2001]

Зачем вы используете эти мануалы? Что вы хотите получить в итоге?
Это какое-то масло маслянное. Вы заворачиваете одно шифрованное соединение в другое шифрованное соединение. Это, наверное, круто, но смысла в этом нет. Объясните зачем это вам?
1194 порт openvpn по умолчанию и этот порт UDP. Хотя никто не мешает использовать этот же порт на TCP. И этот порт можно поменять.
Но stunnel использует SSL и TCP. Наиболее распространенный порт для этих целей - 443 - это порт для HTTPS трафика по умолчанию. Поэтому тут предлагается использовать порт 443. Но вы не обязаны это делать - выбирайте любой порт какой хотите.

Accept вообще используется адрес 127.0.0.1

Эта фраза говорит stunnel, что надо слушать только локальный (127.0.0.1) порт 443, т.е. он не будет принимать соединения с внешних адресов. Это делается, обычно, когда вам нужно зашифровать трафик какого-то приложения (если оно само не умеет это делать). Тогда приложение и stunnel запускают на одном компе и stunnel слушает только локальный порт. Приложение при этом соединяется с stunnel.

Comments

[res2001]

stunnel это не HTTPS, это только S от него, HTTP там нет. Это и не ВПН, он просто связывает 2 TCP порта защищенным соединением.
Если вам достаточно SSL, то можете просто использовать голый OpenVPN, т.к. его шифрование так же основано на SSL (OpenSSL), так же как и stunnel.
Возможно, вам может понадобиться перевести OpenVPN на TCP (это делается правкой 1 параметра в конфиге) и перенастроить его на порт 443 (еще один параметр).
Рекомендованный для OpenVPN протокол - UDP. На TCP есть определенные проблемы на плохих каналах связи.

[res2001]

dminster94, Давно уже не использовал stunnel. Но когда использовал - никаких проблем с настройкой не было. Правда я его использовал не с OpenVPN. В инете куча мануалов по его настройке, вот например: https://help.ubuntu.ru/wiki/stunnel
OpenVPN при этом должен быть настроен на TCP протокол.

вычесляется фингером

Вам это так принципиально? Даже если протокол чем-то может быть опознан, это не значит, что его расшифруют.

[res2001]

dminster94, Давайте уже больше конкретики.
Выложите конфиги openvpn клиента и сервера, выложите оба конфига stunnel. Реальные адреса можете заменить чем-нибудь. Напишите ошибку при запуске stunnel. На какой стороне происходит ошибка (или на обеих)? Проверьте с помощью netstat слушает ли openvpn сервер локальный адрес (127.0.0.1). И напишите какая у вас ОС на обеих сторонах.

[res2001]

dminster94, stunnel.service - это файл конфигурации службы для systemd.
Что выдает команда: systemctl status stunnel?

В убунту эти файлы лежат кажется тут: /lib/systemd/system.
Проверьте там наличие этого файла. Если файл есть, то может быть служба не включена. Включить ее так:
sudo systemctl enable stunnel
Если файл есть, а все предыдущие команды выдают ошибки, то можно перечитать конфиги:
sudo systemctl daemon-reload

[res2001]

dminster94, На счет связки openvpn + stunnel.
Вы должны настроить openvpn на сервере слушать только адрес 127.0.0.1 на каком-либо TCP порту.
На openvpn клиенте сервером указываете так же адрес 127.0.0.1 с таким же портом на сервере.
В этой связке stunnel будет осуществлять внешнее соединение и передавать полученные данные openvpn. Поэтому все внешние адреса прописываются в конфиге stunnel на обеих сторонах.
Схема примерно такая:

OpenVPN client (proto tcp4; remote 127.0.0.1 12345)
|
stunnel client (client = yes; accept = 127.0.0.1:12345; connect = 204.48.XX.YY:443)
|
stunnel server (client = no; accept = 204.48.XX.YY:443; connect = 127.0.0.1:12345)
|
openvpn server (proto tcp4; port 12345; local 127.0.0.1)

[res2001]

dminster94, Тут

[res2001]

dminster94,

у меня client и сервер это же один и тот же файл я его беру с серва подключаю к опену на винде

Это не может быть один и тот же файл. В таком варианте вы создаете 2 сервера.
Сертификаты и ключи для клиента и сервера разные? Одинаковым должен быть только сертификат CA.
Конфиг сервера, конечно, какой-то куцый, но в принципе может и заработать. Можете попробовать на одном компе запустить и клиент и сервер openvpn, они должны подцепиться друг к другу. Значит конфиги рабочие и можно перехдить к stunnel.
Включите логирование openvpn на сервере и клиенте, запустите его, проверьте состояние службы с помощью systemctl status openvpn

По этой ссылке (https://www.easycoding.org/2019/03/21/primenyaem-s...), которую вы приводили в одном из сообщений, описан вариант, который предлагал я тут.

stunnel.service - TLS tunnel for network daemons
Loaded: loaded (/usr/lib/systemd/system/stunnel.service; enabled; vendor preset: dis>
Active: inactive (dead) это systemctl status stunnel

Это говорит о том, что служба stunnel зарегистрирована в systemd, но не запущена. Скорее всего из-за ошибки. Ошибки смотрите в логах. Возможно подробное логирование надо сначала включить в конфиге.

Выложите конфиги stunnel. Выкладывайте в текстовом виде, так проще читать и логи то же. Странно, что в последнем логе stunnel он перебирает порты. Он не должен так поступать.
Что это у вас за клиент OpenVPN. Стандартный клиент для винды выглядит по другому.

[res2001]

dminster94, Не нужно видео, это слишком долго.
Настройте уже все руками, там не так все страшно. Вы уже неделю топчетесь на месте, там дел на пару часов.

Чтоб были нормальные ответы вы должны дать конфиги и логи где есть ошибки (клиента и сервера, в текстовом виде) с вашими комментариями к ситуации.

[res2001]

dminster94,

1)установка опена с айпи серва или 127 на сервер?
2)создание файла клиент.опен с айпи серва или 127?
3)установка стуннел,так он не ставится....логи кидал только вот получилось на 16.04(не создается папка стуннел так и пишет) зеленым горит,но стунел сервис фейлд.
4)файл .пем переносить с серва на винду ?возможно и файл стунел.конф надо перенести с сервера на винду,потому что на винде как раз таки эти порты и прописаны которые он перебирает
5)в сертификате спрашивают какой у вас Name Unit мне писать айпи серва или 127?
6)мне тут посовтеловали опен +айпитаблес имели дело с настройкой?

1,2. Вы же собираетесь завернуть трафик openvpn в stunnel, поэтому openvpn работает со 127 интерфейсом, а stunnel с обоими. Одинаково и на openvpn сервере и на клиенте.
3. Не понял, куда не ставится, что такое 16.04? Если "сервис фейлд" то надо смотреть логи, там должна быть указан ошибка более детально, либо вы тут не все пишете.
4. По ключам в stunnel ниже. У вас сейчас явно не хватает параметров. В таком виде не заведется.
5. Пофигу, можете там написать vasia, это не обязательно IP. Для stunnel имя вообще пофигу, а в openvpn по имени сертификата (CN) можно делать специфические настройки для конкретного клиента.
6. iptables - это линуксовый фаервол, я ниже пишу про это. Если у вас на линуксе включен фаервол, то он может блокировать трафик, даже если все настроено верно (но у вас пока не верно), поэтому его то же надо подкрутить. По линуксовому фаерволу у меня особо нет опыта. Но вам нужно открывать порты в фаерволе не для openvpn, а для stunnel, т.к. в вашей конфигурации stunnel смотрит на ружу. Openvpn работает с 127 интерфейсом - это локальный интерфейс компьютера там разрешен весь трафик по умолчанию.

Последние 2 конфига openvpn для сервера и клиента похожи на рабочие.
На всякий случай: в конфиге клиента опции cert и key должны описывать ключи клиента, они не должны быть теми же самыми, что ключи сервера; опция ca - один и тот же сертификат на клиенте и сервере.
Пропишите полный путь к файлам ключей, я думаю в таком виде openvpn не сможет их найти (это конечно зависит от того где они лежат на диске), так же права доступа к файлам ключей должны быть 600, иначе будет ошибка.
Для проверки работоспособности конфига сервера - стартуете openvpn сервер с указанным конфигом. После старта можно проверить, что в процессах есть процесс openvpn: ps -ax | grep openvpn
Дополнитель можно проверить, что openvpn слушает адрес 127.0.0.1 TCP порт 1194: netstat -lntp

По stunnel:
в конфиге сервера поместите "client = no" в секцию openvpn.
На сколько я знаю в stunnel так же как и в openvpn для ключей надо указывать 3 опции: ca, cert, key (они оба используют openssl для криптографии, поэтому работа с ключами у них идентична). У вас только одна. Для простоты в stunnel вы можете использовать те же файлы ключей, что и в openvpn - безопасности это не прибавит, но вы же не для этого все это затеяли. Или другие, тут особой разницы нет.

Дальше стартуете в такой последовательности: openvpn сервер, stunnel сервер, stunnel client, openvpn client. Пока схема не отлажена лучше в ручную.
Если ошибок при старте нет - проверяем пинг с клиента на сервер по внутреннему ВПН адресу сервера: ping 10.8.0.1
Если не работает - идем в /var/log и смотрим логи, ищем там ошибки. По ошибкам, как правило, более-менее ясно, где они возникли и что делать для исправления ситуации.

Возможно понадобиться открыть порт 443 в фаерволе на внешнем интерфейсе.

[res2001]

dminster94, 1. 127.0.0.1 - это и есть IP - IP локального хоста. Любой комп может обратится к самому себе по этому адресу. Он есть везде.
3. Что такая старая то? Сейчас 20.04 актуальна.

[res2001]

dminster94,

может есть идеи что бы впн оставить в покое он же работает,а порешать вопросы со стунел

Мне вообще не понятна ваша цель. Вы хотите добиться, что бы никто не видел, что вы используете ВПН. Зачем? Как я писал в начале этой эпопеи - знание, что вы используете ВПН никак не поможет читать шифрованный трафик, который передается по ВПН. Но, конечно, цели могут быть разные. Я не в курсе нужен ли вам ВПН.
На счет порешать вопросы с stunnel:
stunnel - не работает сам по себе, он лишь организует шифрованный туннель между двумя приложениями. Если нет других приложений, то и stunnel не нужен.
Вы можете потренироваться на чем-нибудь более простом (не на openvpn). Например поднять telnet сервер и клиент и перенастроить их на работу через stunnel. Но, по моему, это трата времени.
Суть не изменится. В любом случае вы сначала настраиваете клиент и сервер (openvpn или telnet или что угодно) так что бы они работали друг с другом на прямую, а потом (когда поднимете stunnel) просто меняете в конфиге приложений адрес и порт, на адрес и порт своего экземпляра stunnel. В этой схеме как у приложения есть 2 части клиент и сервер, так и stunnel настраивается в двух вариантах - для клиента и для сервера.

вы когда настраивали с чем его использовали и что вам это дало?

Я использовал stunnel c LDAP. У меня в конторе использовался LDAP сервер, в котором было старое шифрование и когда SSL3 сломали, пришлось придумывать схему как перевести LDAP сервер на более защищенный протокол. Было еще пару временных решений, где использовался stunnel. Но я уже давно не использую stunnel.

этой командой проверять ОПЕН sudo systemctl status openvpn

Можно этой. Эта команда возвращает состояние службы openvpn в "менеджере служб" (systemd).
Можно и другими, например приведенный вами вывод ps -ax | grep openvpn говорит о том, что процесс openvpn работает, а это значит что как минимум конфиг корректный. Хорошо бы к этому приложить конфиг, чтоб я понимал в какой конфигурации он тут работает.
Дополнительно можно проверить, открыт ли порт, который вы указали в конфиге. Команду для этого я указывал в одном из предыдущих постов. Все эти команды позволяют проверить работу openvpn разными способами.

Нужно как то запускать стунел и опен на сервере?

Вот сейчас не понял! До этого вы что и где запускали?

Давайте вы не будете использовать сразу все найденные в сети рецепты. Остановитесь уже на одном и давайте его доводить до ума. Они в принципе все +-одинаковы, выбирайте любой.
1. Для начала опишите вашу конфигурацию оборудования. Где вы запускаете openvpn и stunnel клиент и сервер? На разных компах? Под какими ОС? Соответствующие части stunnel запускаете там же где работает openvpn или где-то в на других компах?
В типовой конфигурации:

• на одном компе запускается openvpn server + stunnel server
  
• на другом компе openvpn client + stunnel client
  

Но могут быть и другие варианты. Чтоб настроить правильные конфиги всех частей, нужно понимать вашу конфигурацию оборудования.
2. Выберите конфиг openvpn. Настройте openvpn на работу на прямую (без stunnel). Проверьте, чтоб точно все работало (как минимум после подключения клиента должны ходить пинги с клиента на сервер и обратно по внутреннему ВПН адресу сервера/клиента).
3. После того как п.2 заработает, настраивайте stunnel, меняете в конфигах openvpn адреса и порты. Тестируете. Итоговые полные конфиги клиента и сервера openvpn и stunnel сюда. Если опять будут ошибки - логи сюда.

[res2001]

dminster94,

а что то работает что то нет

Это понятно, иначе бы этой портянки не было бы.
Просто перестаньте уже использовать поделки из сети и включайте свою голову.
Поставьте какой-то вариант, не важно работает или нет и давайте его добивать до рабочего состояния. Не нужно этих метаний. У вас уже 100500 вариантов было, не поймешь к какому относятся ваши ответы, логи и т.п.

потом не ставится стуннел.пишет стунел фейлд

На каком этапе, после чего конкретно это пишется, где пишется, пишется что-то еще, какой конфиг stunnel при этом? Не возможно ответить на это "пишет стунел фейлд" как-то вразумительно, если не знать ответы на вышеперечисленные вопросы.

Начните с того, что настройте openvpn на клиенте и на сервере на работу без stunnel. Подключитесь клиентом. Пропингуйте внутренний ВПН адрес сервера с клиента. Конфиги сюда. Ошибки и логи то же сюда.

Когда это заработает будем прикручивать stunnel.

[res2001]

dminster94,

Начните с того, что настройте openvpn на клиенте и на сервере на работу без stunnel. Подключитесь клиентом. Пропингуйте внутренний ВПН адрес сервера с клиента. Конфиги сюда. Ошибки и логи то же сюда.

Выключите пока stunnel, пока займитесь openvpn.

По поводу ваших последних постов:

sudo systemctl status [e-mail]
ps -ax | grep openvpn

Посмотрите внимательно на вывод этих двух команд в вашем предыдущем посте.
Объясняю: команда systemctl status [e-mail] показывает состояние сервиса openvpn, запущенного с конфигом openvpn-server.conf - это файл конфигурации, который будет использоваться при старте openvpn, он должен лежать в /etc/openvpn. И эта команда показывает, что этот сервис не работает: Active: inactive (dead)
ps -ax - показывает, что у вас все же работает openvpn. Смотрим командную строку дальше и видим параметры --config /etc/openvpn/server.conf. Т.е. этот работающий экземпляр openvpn запущен с конфигом server.conf.
Состояние этой службы так же можно посмотреть и через systemctl status server@openvpn
У вас пачка конфигов openvpn, вы дергаете то одно, то другое, не понимаете что происходит, какой из конфигов не рабочий, делаете какие-то выводы из этой каши.
Оставьте 1 конфиг openvpn в каталоге /etc/openvpn.
systemd надо сказать, чтоб он не использовал не нужные службы (конфиги которые вы удалите) openvpn:
sudo systemctl disable <имя конфига>@openvpn
Работайте только с одним конфигом и его доводите до рабочего состояния.

[res2001]

dminster94,

почему горит красным,и он не актив

Я вам в прошлом посте писал об этом.
Смысл в том, что в openvpn вы можете сделать 10 конфигов для разных ВПНов и все их запустить. Каждый конфиг будет отдельно запущенный экземпляр openvpn.
systemd позволяет это делать с помощью указания названия конфига в такой форме:
<имя конфига>@openvpn.service
Когда systemd запускает openvpn он название конфига передает в параметре --config.
Еще раз внимательно посмотрите ваш скриншот:
systemctl status у вас опрашивает openvpn с конфигом "openvpn-server.conf", а ps выдает openvpn с конфигом "server.conf".
Это два разных конфига, в одном конфиге может быть ошибка, в другом нет ошибки. Что бы по второму конфигу запросить статус службы надо дать такую команду:
systemctl status [e-mail]

Конкретные номера портов роли не играют, можете заменить на произвольные цифры максимум 65535, главное их правильно выставить.

остальные скрпиты требуют наличие айпи серва , это означает что я не могу стереть айпи и ввести 127)но 127 и айпи серва это же одно и тоже?

127.0.0.1 это IP адрес локального хоста. НА КАЖДОМ КОМПЬЮТЕРЕ ЭТОТ АДРЕС ССЫЛАЕТСЯ НА ЭТОТ ЖЕ КОМПЬЮТЕР. Этот адрес есть на каждом компьютере. В конфигурации с stunnel вы должны его использовать.

Настройте конфиги openvpn на клиенте и сервере на прямую (без stunnel), проверьте, чтоб все работало и скиньте сюда конфиги.
Так же скиньте конфиги stunnel клиента и сервера, а напишу, где что поправить.

[res2001]

dminster94, Когда включаете stunnel и настраиваете openvpn на 127 адрес, то там возникает ситуация, которая описана тут: https://help.ubuntu.ru/wiki/stunnel в разделе "Особенности настроек приложений при работе через stunnel", так что простой заменой адреса не обойтись.

[res2001]

dminster94, В такой конфигурации openvpn работает без stunnel?

[res2001]

dminster94,

стунел на свервере работает,на клиенте стунел просто пишет конфигурация заебись,но не подключается

stunnel сам по себе никуда подключаться не будет, он начнет подключаться только когда приложение, которое он обслуживает будет подключаться.
Теперь конфиги stunnel:
Сервер:

[openvpn]
client = no
accept = 443
connect = 127.0.0.1:1194
cert = stunnel.pem

Надо прописать полный путь к ключу.

Клиент:

[openvpn]
client = yes
accept = 127.0.0.1:1194
connect = 104.131.103.27:443
cert = /etc/stunnel/stunnel.pem

Сервер openvpn:

port 1194
local 127.0.0.1
push "route 104.131.103.27 255.255.255.255 net_gateway"

Клиент openvpn:
remote 127.0.0.1 1194

Стартуем openvpn на сервере, stunnel на сервере, stunnel на клиенте, openvpn на клиенте.

Если при запуске ошибки текст ошибок сюда, если не работает - логи сюда.

[dminster94]

res2001,
SERVER STUNNEL

root@ubuntu-s-1vcpu-1gb-nyc3-01:~# systemctl status stunnel4.service
● stunnel4.service - LSB: Start or stop stunnel 4.x (TLS tunnel for network daemons)
     Loaded: loaded (/etc/init.d/stunnel4; generated)
     Active: failed (Result: exit-code) since Sat 2020-12-19 19:57:44 UTC; 10s ago
       Docs: man:systemd-sysv-generator(8)
    Process: 57391 ExecStart=/etc/init.d/stunnel4 start (code=exited, status=1/FAILURE)
      Tasks: 2 (limit: 1137)
     Memory: 20.5M
     CGroup: /system.slice/stunnel4.service
             └─40231 /usr/bin/stunnel4 /etc/stunnel/stunnel.conf

Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[57405]: [!] Binding service [openvpn] failed
Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[57405]: [ ] Deallocating section defaults
Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[57405]: [ ] Unbinding service [openvpn]
Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[57405]: [ ] Service [openvpn] closed
Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[57405]: [ ] Deallocating section [openvpn]
Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[57391]: failed (no pid=pidfile specified!)
Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[57391]: You should check that you have specified the pid= in you configuration file
Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: stunnel4.service: Control process exited, code=exited, status=1/FAILURE
Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: stunnel4.service: Failed with result 'exit-code'.
Dec 19 19:57:44 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: Failed to start LSB: Start or stop stunnel 4.x (TLS tunnel for network daemons).

[dminster94]

сейчас поставли варгуард и он тоже не работает хотя раньше подключался на изи походу что то в винде не то

[res2001]

dminster94,

SERVER STUNNEL

Надо не менять конфиги, вы все равно не понимаете, что делаете, а идти смотреть лог stunnel. Из приведенного фрагмента в принципе понятно, что stunnel не смог достучаться до openvpn. Значит надо смотреть, что с openvpn.
Команда остановки сервисов в линукс:
sudo systemctl stop <имя сервиса>
Команда старта сервиса:
sudo systemctl start <имя сервиса>
Команда проверки состояния сервиса:
sudo systemctl status <имя сервиса>

Остановите все ваши openvpnы и stunnelы и стартуйте по одному в том порядке как я писал. Один стартовал, посмотрел сразу лог, чтоб там не было ошибок, проверил состояние службы, убедился что процесс службы запущен (ps -ex | grep openvpn), проверил, что порты открыты и прослушиваются сервисом (где-то выше команду приводил). Если все нормально стартуем следующий. Если не нормально - разбираемся с этим сервисом и ДАЛЬШЕ НЕ ЛЕЗЕМ!

Так что приведите конфиги в то состояние, что я писал выше, стартуйте openvpn на сервере, проверьте, что он стартовал и порты открыты. Если нет - то лог сюда...

к какому ключу?если .pem то он стандартно всегда

Да к pem. Что всегда стандартно? Нет, это не стандартно, стандартно - писать полный путь. Когда ключ прописан без пути, то программа будет искать его только в текущем каталоге (возможно еще где-то по собственному усмотрению), а когда вы стартуете сервис, то вы не знаете какой у программы текущий каталог (часто это /, но могут быть и другие варианты). Так что полный путь к файлу ключа - это нормально и правильно.

[dminster94]

res2001, сейчас поставил новую ось на ней вообще ничего не работает)из коробки)попробую винду 10)вы сможете у себя проврить есть 15мнут и впс?мне нужен скрин с 2ip.ru/privacy. такой вопрос если 127 айпи localhost то локалхост это мой комп?тогда откуда порт 1194 там?если это комп сервера то там же ip4 внешний айпи,я понять не могу accept это комп сервера откуда 1194?коннект это подлючениеь к впн там 443 порт потому ччто я утсановил впн на 443 порт,откуда 1194???????????путти+сервер =22 порт

[dminster94]

Да к pem. Что всегда стандартно?

cert = /etc/stunnel/stunnel.pem
cert = stunnel.pem
это имелось в виду

[res2001]

dminster94,

это имелось в виду

В том числе, если у вас pem файл лежит по этому пути. В конфигах openvpn то же самое.

вы сможете у себя проврить есть 15мнут и впс

Нет, я у себя ставить не буду и ВПСа у меня сейчас нет.

такой вопрос если 127 айпи localhost то локалхост это мой комп?

localhost это имя для адреса 127.0.0.1. Если вы говорите про localhost относительно конкретного хоста, то этот адрес означает локальный адрес этого конкретного хоста. Если мы перейдем к другому компу, то localhost применительно к нему будет означать его локальный адрес. Т.к. у всех хостов есть свой собственный localhost, то по этому адресу они могут обращаться только сами к себе. Именно по этому мы используем localhost в варианте openvpn + stunnel, т.е. сам openvpn слушает только локальный адрес и принимает подключения только от stunnel, а внешний адрес слушает stunnel и передает весь полученный трафик openvpn.
Про порты: На любом сетевом интерфейсе компьютера (в т.ч. и на localhost) есть "вирутальные" порты, они пронумерованы от 1 до 65535. Любой порт можно открыть, настроив программу использовать этот порт. Порты для TCP и UDP - это разные порты, т.е. одна программа может открыть порт TCP 1000, а другая UDP 1000.
В конфиге stunnel фраза accept означает адрес и порт по которому stunnel принимает соединение. Для client=yes - accept принимает соединение от клиента openvpn (т.е. для openvpn клиента stunnel является как-бы сервером openvpn, но на самом деле он посредник), поэтому тут надо указать localhost (т.к. в openvpn клиент указываем remote 127.0.01.
Для client=no - accept принимает соединение от stunnel клиента, поэтому тут указываем внешний адрес и порт, т.к. между собой клиент и сревер stunnel обмениваются через интернет.

откуда 1194

Вы задаете его в конфиге и программа начинает его использовать. Задайте другой порт - будет использовать другой. Но если вы зададите порт, который уже используется другой программой, то будет ошибка. Например порт 22 используется sshd, поэтому openvpn не сможет его открыть (или, смотря кто первый стартует, openvpn откроет, а sshd нет). Никаких чудес.

[res2001]

dminster94, Давайте уже сконфигурируйте openvpn сервер и stunnel сервер так как я писал, запустите сначала openvpn, потом stunnel вручную и покажите мне логи и конфиги обоих.

PS: Кстати, если хотите больше понимать в сетях, можете почитать серию статей "Сети для самых маленьких". Не смотря на название - это очень не плохие статьи для введения в сети.

[dminster94]

res2001, ок тогда почему на стороне сервера есть работющий впн IP Сервер ПОРТ 443 проверял командой

sudo systemctl status [e-mail]

и кофниг стуннел

[openvpn]
accept = 1194
connect = server_ip:443
cert = /etc/stunnel/stunnel.pem

проверял командой systemctl status stunnel4.service но когда меняешь наоборот не работает

[openvpn]
accept = server_ip:443
connect = 1194
cert = /etc/stunnel/stunnel.pem

у меня мысля такая что от опен впн порта завист и стуннел,давайте другие порты попробуем везде ,поэтмоу конфиг и не работает,поясню если опен поставить на порт 1194 то и этот 2 конфиг будет работать

[dminster94]

в этом 2 конфиге к чему стуннел подключается конкретно!,что в нашем случае локалхост я уже 3 раз спрашиваю ,вы мне отвечаете википедией)?

spoiler

localhost (так называемый, «местный» от англ. local, или «локальный хост», по смыслу — этот компьютер)

этот комп сервер или мой комп?
читал в одном мануале

spoiler

надо 127 поменять только в клиент конфиге трогать сервер не надо,но все равно не сработало

[dminster94]

дублирую

openvpn server (IP SERVER XXXX port)
|
OpenVPN client (IP SERVER XXXX port )
|
stunnel server (client = no; accept = IP SERVER XXXX:443 ; connect = 127.0.0.1:1194)
|
stunnel client (client = yes; accept = 127.0.0.1:1194; connect = IP SERVER XXXX:443)

[res2001]

dminster94,

что в нашем случае локалхост я уже 3 раз спрашиваю ,вы мне отвечаете википедией)?

Википедией я вам ни разу не отвечал, возможно зря. Как написано в вики localhost - это этот компьютер.
Например, когда вы в конфиге openvpn пишите "local 127.0.0.1" вы этим заставляете openvpn слушать только порт на адресе 127.0.0.1, т.е. он будет принимать только подключения с этого же компьютера (т.е. openvpn клиент должен быть запущен на этом же компьютере). Никакие другие компы не могут подключиться по адресу 127.0.0.1 на этом компьютере к нему.
Даже когда компьютер в сети, адрес 127.0.0.1 принадлежит конкретно этому компьютеру.
На всех остальных компьютерах в сети так же есть свой адрес 127.0.0.1.

у меня мысля такая что от опен впн порта завист и стуннел,давайте другие порты попробуем везде ,поэтмоу конфиг и не работает,поясню если опен поставить на порт 1194 то и этот 2 конфиг будет работать

Естественно, от порта openvpn зависят и настройки stunnel, потому что подключаться к openvpn будет stunnel, а не клиент openvpn. stunnel в этой связке выступает посредником между клиентом и сервером openvpn.
Менять порты смысла нет, поменяете - будет все то же самое, но с другими портами. Фактические значения портов большого смысла не имеют, главное чтоб они были не используемыми на этом компьютере, и клиент знал на каком порту работает сервер.

Давайте уже сконфигурируйте openvpn сервер и stunnel сервер так как я писал, запустите сначала openvpn, потом stunnel вручную и покажите мне логи и конфиги обоих.

Вы ничего не делаете из того, что я вам пишу. Похоже пора закрывать тему.

[dminster94]

res2001, я делал , вы игнорировали логи,когда я создаю впн с айпи серва настройки там все дела, потом в конфиге меняю на 127 это как влияет на конфиг? логика где, создавать на айпи и порт один потом менять на другой порт и на 127 он разве не ломается?так стуннел наверно не работает потому что надо серв опена создавать на 1194 порту ,потому что совпадают они в стуннел конфиг а не должны так?порты имеет значение поменять я пойму в чем ваша логика заключается,в стуннеле же указа 443 порт,но опен на клиенте настроен на 1194 как он подлючаться будет то

[res2001]

dminster94, возможно в этой портянке что-то и проигнорировал.
Давайте значит еще раз с начала. Пока ограничьтесь только сервером. Добьемся чтоб на сервере поднялась связка openvpn + stunnel.
Сконфигурируйте и запустите вручную, конфиги и логи сюда.

[dminster94]

res2001,

stunnel4.service - LSB: Start or stop stunnel 4.x (TLS tunnel for network daemons)
     Loaded: loaded (/etc/init.d/stunnel4; generated)
     Active: failed (Result: exit-code) since Tue 2020-12-22 14:20:37 UTC; 7s ago
       Docs: man:systemd-sysv-generator(8)
    Process: 33701 ExecStart=/etc/init.d/stunnel4 start (code=exited, status=1/FAILURE)

Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[33725]: [!] Binding service [openvpn] failed
Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[33725]: [ ] Deallocating section defaults
Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[33725]: [ ] Unbinding service [openvpn]
Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[33725]: [ ] Service [openvpn] closed
Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[33725]: [ ] Deallocating section [openvpn]
Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[33701]: failed (no pid=pidfile specified!)
Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[33701]: You should check that you have specified the pid= in you configuration file
Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: stunnel4.service: Control process exited, code=exited, status=1/FAILURE
Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: stunnel4.service: Failed with result 'exit-code'.
Dec 22 14:20:37 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: Failed to start LSB: Start or stop stunnel 4.x (TLS tunnel for network daemons).

это лог?

[openvpn]
accept = server_ip:443
connect = 1194
cert = /etc/stunnel/stunnel.pem

вы хотите от меня ч то бы я поставил опен с айпи и портом потому изменил его на 1194 и 127 а потом уже ставил стуннел так?

[res2001]

dminster94, Это кусок лога (systemd не выводит весь лог). Посмотрите в /var/log. Если в ОС не настроен отдельный файл для логирования сервиса, то все сообщения валятся в файл syslog. Он достаточно большой, после старта сервиса переходите в конец syslog и все что касается сервиса тащите сюда.

Что этот весь конфиг stunnel? Конфиг и лог openvpn то же сюда тащите.

[res2001]

dminster94,

вы хотите от меня ч то бы я поставил опен с айпи и портом потому изменил его на 1194 и 127 а потом уже ставил стуннел так?

Настраивайте уже сразу 127.

[dminster94]

res2001, ок ,но он скорей всего не будет работать,сейчас проверил на андроиде не работает(

[res2001]

dminster94, Настраивайте сначала сервер. С клиентами потом разберемся.

[res2001]

dminster94, Что stunnel работает на андроиде?

[dminster94]

res2001, там похожая программа SSL Socks

[dminster94]

при установке впн вот такой вопрос

If your server is NATed (e.g. LowEndSpirit), I need to know the external IP
If that's not the case, just ignore this and leave the next field blank
External IP:

я ввожу 127

[res2001]

dminster94, Надеюсь клиент на винде у вас есть? SSL socks может не работать с stunnel.

[dminster94]

Установил он работает?

root@ubuntu-s-1vcpu-1gb-nyc3-01:~# sudo systemctl status openvpn
● openvpn.service - OpenVPN service
     Loaded: loaded (/lib/systemd/system/openvpn.service; enabled; vendor prese>
     Active: inactive (dead)
lines 1-3/3 (END)...skipping...
● openvpn.service - OpenVPN service
     Loaded: loaded (/lib/systemd/system/openvpn.service; enabled; vendor preset: enabled)
     Active: inactive (dead)

КОНФИГ СЕРВЕРА

port 1194
proto tcp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
cipher AES-256-CBC
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

[res2001]

dminster94, Пора уже конфиги вручную редактировать. Не нужны скрипты, вы же не знаете что конкретно они делают, может помимо конфига openvpn он еще что-то делает.

[dminster94]

res2001,
If your server is NATed (e.g. LowEndSpirit), I need to know the external IP
If that's not the case, just ignore this and leave the next field blank
External IP:
я ввожу 127?????

[dminster94]

res2001,

Пора уже конфиги вручную редактировать. Не нужны скрипты, вы же не знаете что конкретно они делают, может помимо конфига openvpn он еще что-то делает.

в плане?в рчную опен поднимать сложно, я пробовал ,не фурычит на половине,мануала,а кофниги да я в ручную меняю

[res2001]

dminster94,

вот такой вопрос

Я то откуда знаю. Судя по приведенному конфигу он 127 использует где-то в другом месте. Интересно в каком? Возможно он вам и iptables пытается настраивать.
Но не важно. В конфиг openvpn сервера добавьте:

local 127.0.0.1
push "route <тут внешний IP сервера> 255.255.255.255 net_gateway"

Стартуйте и проверьте в каком состоянии openvpn

[dminster94]

res2001,

root@ubuntu-s-1vcpu-1gb-nyc3-01:~# sudo systemctl status openvpn
● openvpn.service - OpenVPN service
     Loaded: loaded (/lib/systemd/system/openvpn.service; enabled; vendor prese>
     Active: inactive (dead)
lines 1-3/3 (END)...skipping...
● openvpn.service - OpenVPN service
     Loaded: loaded (/lib/systemd/system/openvpn.service; enabled; vendor preset: enabled)
     Active: inactive (dead)

может его перезагруджать надо как сутунеел? sudo service stunnel4 restart
ЗАРАБОТАЛ но вывод 2-ой?

root@ubuntu-s-1vcpu-1gb-nyc3-01:~# sudo systemctl status openvpn
● openvpn.service - OpenVPN service
     Loaded: loaded (/lib/systemd/system/openvpn.service; enabled; vendor prese>
     Active: active (exited) since Tue 2020-12-22 15:18:34 UTC; 4s ago
    Process: 35001 ExecStart=/bin/true (code=exited, status=0/SUCCESS)
   Main PID: 35001 (code=exited, status=0/SUCCESS)

Dec 22 15:18:34 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: Starting OpenVPN service>
Dec 22 15:18:34 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: Finished OpenVPN service.
lines 1-8/8 (END)...skipping...
● openvpn.service - OpenVPN service
     Loaded: loaded (/lib/systemd/system/openvpn.service; enabled; vendor preset: enabled)
     Active: active (exited) since Tue 2020-12-22 15:18:34 UTC; 4s ago
    Process: 35001 ExecStart=/bin/true (code=exited, status=0/SUCCESS)
   Main PID: 35001 (code=exited, status=0/SUCCESS)

Dec 22 15:18:34 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: Starting OpenVPN service...
Dec 22 15:18:34 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: Finished OpenVPN service.

[res2001]

dminster94,

в рчную опен поднимать сложно

Не сложно. У него есть шаблонный конфиг для сервера и клиента с коментариями для наиболее употребимых опций. Как правило туда достаточно 2-3 изменения внести (не считая файлов ключей) и все работает.

[res2001]

dminster94,

Active: inactive (dead)

Давайте сюда еще раз конфиг с которым запускался openvpn и лог.

[dminster94]

res2001,

Не сложно. У него есть шаблонный конфиг для сервера и клиента с коментариями для наиболее употребимых опций. Как правило туда достаточно 2-3 изменения внести (не считая файлов ключей) и все работает.

в каком мануале это?я видео только 10500 страничные

[dminster94]

sudo service stunnel4 start после этой команды ничего не просиходит это норма?

client
dev tun
proto tcp
sndbuf 0
rcvbuf 0
remote 127.0.0.1 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
comp-lzo
setenv opt block-outside-dns
key-direction 1
verb 3
<ca>
-----BEGIN CERTIFICATE-----

[openvpn]
client = yes
accept = 1194
connect = server_ip:443
cert = /etc/stunnel/stunnel.pem

все норм?

[res2001]

dminster94,

sudo service stunnel4 start после этой команды ничего не просиходит это норма?

Да, так и должно быть, когда сервис нормально стартует.
Вернитесь к серверу. Без сервера клиент все равно не заработает, так что первым надо поднимать сервер.

[res2001]

dminster94, Ключи можно (нужно) не постить - много места занимают, ну и вы их компрометируете. Засветившиеся в инете ключи уже нельзя использовать безопасно. Но для тестов можно :)

[res2001]

dminster94,

все норм?

Без настроек сервера не ясно.

[dminster94]

может все таки в тг?на 15 минут)мне кажется вы на ответы тут больше времени тратите

[dminster94]

res2001,
If your server is NATed (e.g. LowEndSpirit), I need to know the external IP
If that's not the case, just ignore this and leave the next field blank
External IP:
я ввожу 127 или пустым надо было оставить?????попробовал оставить путсым,в конфиге на серве нет ключей это норм?)

если в конфигах все ок

[openvpn]
client = no
accept = 104.236.32.200:443
connect = 127.0.0.1:1194
cert = /etc/stunnel/stunnel.pem

[openvpn]
client = yes
accept = 127.0.0.1:1194
connect = 104.236.32.200:443
cert = stunnel.pem

ТО ВОТ

2020.12.23 02:03:28 LOG5[0]: Service [openvpn] accepted connection from 127.0.0.1:5667
2020.12.23 02:03:28 LOG5[0]: s_connect: connected 104.236.32.200:443
2020.12.23 02:03:28 LOG5[0]: Service [openvpn] connected remote server from 192.168.100.2:5668
2020.12.23 02:03:54 LOG3[0]: SSL_write: Connection reset by peer (WSAECONNRESET) (10054)
2020.12.23 02:03:54 LOG5[0]: Connection reset: 27088 byte(s) sent to TLS, 4004 byte(s) sent to socket
2020.12.23 02:04:02 LOG5[1]: Service [openvpn] accepted connection from 127.0.0.1:5686
2020.12.23 02:04:05 LOG3[1]: s_connect: connect 104.236.32.200:443: Software caused connection abort (WSAECONNABORTED) (10053)
2020.12.23 02:04:05 LOG3[1]: No more addresses to connect
2020.12.23 02:04:05 LOG5[1]: Connection reset: 0 byte(s) sent to TLS, 0 byte(s) sent to socket

2020-12-23 02:03:26 WARNING: Compression for receiving enabled. Compression has been used in the past to break encryption. Sent packets are not compressed unless "allow-compression yes" is also set.
2020-12-23 02:03:26 DEPRECATED OPTION: --cipher set to 'AES-256-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM). Future OpenVPN version will ignore --cipher for cipher negotiations. Add 'AES-256-CBC' to --data-ciphers or change --cipher 'AES-256-CBC' to --data-ciphers-fallback 'AES-256-CBC' to silence this warning.
2020-12-23 02:03:26 OpenVPN 2.5.0 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Oct 28 2020
2020-12-23 02:03:26 Windows version 6.1 (Windows 7) 64bit
2020-12-23 02:03:26 library versions: OpenSSL 1.1.1h  22 Sep 2020, LZO 2.10
Enter Management Password:
2020-12-23 02:03:26 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
2020-12-23 02:03:26 Need hold release from management interface, waiting...
2020-12-23 02:03:27 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
2020-12-23 02:03:27 MANAGEMENT: CMD 'state on'
2020-12-23 02:03:27 MANAGEMENT: CMD 'log all on'
2020-12-23 02:03:27 MANAGEMENT: CMD 'echo all on'
2020-12-23 02:03:27 MANAGEMENT: CMD 'bytecount 5'
2020-12-23 02:03:27 MANAGEMENT: CMD 'hold off'
2020-12-23 02:03:27 MANAGEMENT: CMD 'hold release'
2020-12-23 02:03:27 MANAGEMENT: CMD 'proxy NONE  '
2020-12-23 02:03:28 Outgoing Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
2020-12-23 02:03:28 Incoming Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
2020-12-23 02:03:28 TCP/UDP: Preserving recently used remote address: [AF_INET]127.0.0.1:1194
2020-12-23 02:03:28 Socket Buffers: R=[8192->8192] S=[8192->8192]
2020-12-23 02:03:28 Attempting to establish TCP connection with [AF_INET]127.0.0.1:1194 [nonblock]
2020-12-23 02:03:28 MANAGEMENT: >STATE:1608681808,TCP_CONNECT,,,,,,
2020-12-23 02:03:28 TCP connection established with [AF_INET]127.0.0.1:1194
2020-12-23 02:03:28 TCP_CLIENT link local: (not bound)
2020-12-23 02:03:28 TCP_CLIENT link remote: [AF_INET]127.0.0.1:1194
2020-12-23 02:03:28 MANAGEMENT: >STATE:1608681808,WAIT,,,,,,
2020-12-23 02:03:28 MANAGEMENT: >STATE:1608681808,AUTH,,,,,,
2020-12-23 02:03:28 TLS: Initial packet from [AF_INET]127.0.0.1:1194, sid=eea428a2 ab16462b
2020-12-23 02:03:28 VERIFY KU OK
2020-12-23 02:03:28 Validating certificate extended key usage
2020-12-23 02:03:28 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
2020-12-23 02:03:28 VERIFY EKU OK
2020-12-23 02:03:28 VERIFY OK: depth=0, CN=server
2020-12-23 02:03:28 Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, 2048 bit RSA
2020-12-23 02:03:28 [server] Peer Connection Initiated with [AF_INET]127.0.0.1:1194
2020-12-23 02:03:30 MANAGEMENT: >STATE:1608681810,GET_CONFIG,,,,,,
2020-12-23 02:03:30 SENT CONTROL [server]: 'PUSH_REQUEST' (status=1)
2020-12-23 02:03:30 PUSH: Received control message: 'PUSH_REPLY,redirect-gateway def1 bypass-dhcp,dhcp-option DNS 8.8.8.8,dhcp-option DNS 8.8.4.4,route-gateway 10.8.0.1,topology subnet,ping 10,ping-restart 120,ifconfig 10.8.0.2 255.255.255.0,peer-id 0,cipher AES-256-GCM'
2020-12-23 02:03:30 OPTIONS IMPORT: timers and/or timeouts modified
2020-12-23 02:03:30 OPTIONS IMPORT: --ifconfig/up options modified
2020-12-23 02:03:30 OPTIONS IMPORT: route options modified
2020-12-23 02:03:30 OPTIONS IMPORT: route-related options modified
2020-12-23 02:03:30 OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modified
2020-12-23 02:03:30 OPTIONS IMPORT: peer-id set
2020-12-23 02:03:30 OPTIONS IMPORT: adjusting link_mtu to 1627
2020-12-23 02:03:30 OPTIONS IMPORT: data channel crypto options modified
2020-12-23 02:03:30 Data Channel: using negotiated cipher 'AES-256-GCM'
2020-12-23 02:03:30 Outgoing Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
2020-12-23 02:03:30 Incoming Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
2020-12-23 02:03:30 interactive service msg_channel=280
2020-12-23 02:03:30 ROUTE_GATEWAY 192.168.100.1/255.255.255.0 I=15 HWADDR=00:24:1d:d4:fe:a9
2020-12-23 02:03:30 open_tun
2020-12-23 02:03:30 tap-windows6 device [OpenVPN TAP-Windows6] opened
2020-12-23 02:03:30 TAP-Windows Driver Version 9.24 
2020-12-23 02:03:30 Set TAP-Windows TUN subnet mode network/local/netmask = 10.8.0.0/10.8.0.2/255.255.255.0 [SUCCEEDED]
2020-12-23 02:03:30 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.8.0.2/255.255.255.0 on interface {189A30FA-7E70-4EB6-9B6F-0D2223246E28} [DHCP-serv: 10.8.0.254, lease-time: 31536000]
2020-12-23 02:03:30 Successful ARP Flush on interface [25] {189A30FA-7E70-4EB6-9B6F-0D2223246E28}
2020-12-23 02:03:30 MANAGEMENT: >STATE:1608681810,ASSIGN_IP,,10.8.0.2,,,,
2020-12-23 02:03:30 IPv4 MTU set to 1500 on interface 25 using service
2020-12-23 02:03:30 Blocking outside dns using service succeeded.
2020-12-23 02:03:35 TEST ROUTES: 1/1 succeeded len=0 ret=1 a=0 u/d=up
2020-12-23 02:03:35 C:\Windows\system32\route.exe ADD 127.0.0.1 MASK 255.255.255.255 192.168.100.1
2020-12-23 02:03:35 Route addition via service succeeded
2020-12-23 02:03:35 C:\Windows\system32\route.exe ADD 0.0.0.0 MASK 128.0.0.0 10.8.0.1
2020-12-23 02:03:35 Route addition via service succeeded
2020-12-23 02:03:35 C:\Windows\system32\route.exe ADD 128.0.0.0 MASK 128.0.0.0 10.8.0.1
2020-12-23 02:03:35 Route addition via service succeeded
2020-12-23 02:03:35 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
2020-12-23 02:03:35 Initialization Sequence Completed
2020-12-23 02:03:35 MANAGEMENT: >STATE:1608681815,CONNECTED,SUCCESS,10.8.0.2,127.0.0.1,1194,127.0.0.1,5667
2020-12-23 02:03:54 Connection reset, restarting [-1]
2020-12-23 02:03:54 Unblocking outside dns using service succeeded.
2020-12-23 02:03:54 SIGUSR1[soft,connection-reset] received, process restarting
2020-12-23 02:03:54 MANAGEMENT: >STATE:1608681834,RECONNECTING,connection-reset,,,,,
2020-12-23 02:03:54 Restart pause, 5 second(s)
2020-12-23 02:04:02 MANAGEMENT: CMD 'proxy NONE  '
2020-12-23 02:04:02 Outgoing Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
2020-12-23 02:04:02 Incoming Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
2020-12-23 02:04:02 TCP/UDP: Preserving recently used remote address: [AF_INET]127.0.0.1:1194
2020-12-23 02:04:02 Socket Buffers: R=[8192->8192] S=[8192->8192]
2020-12-23 02:04:02 Attempting to establish TCP connection with [AF_INET]127.0.0.1:1194 [nonblock]
2020-12-23 02:04:02 MANAGEMENT: >STATE:1608681842,TCP_CONNECT,,,,,,
2020-12-23 02:04:02 TCP connection established with [AF_INET]127.0.0.1:1194
2020-12-23 02:04:02 TCP_CLIENT link local: (not bound)
2020-12-23 02:04:02 TCP_CLIENT link remote: [AF_INET]127.0.0.1:1194
2020-12-23 02:04:02 MANAGEMENT: >STATE:1608681842,WAIT,,,,,,
2020-12-23 02:04:05 C:\Windows\system32\route.exe DELETE 127.0.0.1 MASK 255.255.255.255 192.168.100.1
2020-12-23 02:04:05 Route deletion via service succeeded
2020-12-23 02:04:05 C:\Windows\system32\route.exe DELETE 0.0.0.0 MASK 128.0.0.0 10.8.0.1
2020-12-23 02:04:05 Route deletion via service succeeded
2020-12-23 02:04:05 C:\Windows\system32\route.exe DELETE 128.0.0.0 MASK 128.0.0.0 10.8.0.1
2020-12-23 02:04:05 Route deletion via service succeeded
2020-12-23 02:04:05 Closing TUN/TAP interface
2020-12-23 02:04:05 TAP: DHCP address released
2020-12-23 02:04:05 Unblocking outside dns using service succeeded.
2020-12-23 02:04:05 SIGTERM[hard,] received, process exiting
2020-12-23 02:04:05 MANAGEMENT: >STATE:1608681845,EXITING,SIGTERM,,,,,

давайте свой мануал про который говорили попробую по нему
Успех подлючилось и не отключается вставил строку с рутом в клиент а не на сервер,но без доступа к интернету

[dminster94]

попробовал уже 3 разных метода взеде + - одно и тоже,может напишите мини мануал с опеном и стуннелом?

[dminster94]

https://www.digitalocean.com/community/tutorials/h...
а то это долго не не фурычит

[res2001]

dminster94, Чтоб написать свой мануал нужно всю конструкцию воспроизвести на стенде и настроить. А у меня сейчас под руками только домашний ноутбук.

Вышеприведенные логи OpenVPN на сколько я понял - это клиент.
Я же писал, что надо начинать с сервера. Давайте конфиг и логи openvpn сервера и stunnel сервера сразу после старта служб (без подключения клиента).

Судя по логу openvpn клиента и то что stunnel пишет "Software caused connection abort" очень похоже на проблему, описанную тут.

[dminster94]

res2001, я же написал все сделано по вашим конфигам все работает и подключается,но потом отключается и снова подключается без доступа к сети,3 скрипта впн работают немного по разному. поэтому думаю надо пондять впн ручками вы написали что это просто,как перезагружать опен когда конфиг на сервере меняю?
может поэтмооу всегда работает ,подхватывает старый,не может же быть таокго что все работает на сервер, при этом не работает на клиенте?5 раз If your server is NATed (e.g. LowEndSpirit), I need to know the external IP
If that's not the case, just ignore this and leave the next field blank
External IP:
я ввожу 127 или пустым надо было оставить?????попробовал оставить путсым,в конфиге на серве нет ключей это норм?) должен ли работать на клиенте впн без стунела?

[res2001]

как перезагружать опен когда конфиг на сервере меняю?

sudo systemctl stop openvpn
sudo systemctl start openvpn

должен ли работать на клиенте впн без стунела?

Если конфигурируете openvpn сервер с local 127.0.0.1 то клиент не будет подключаться.
Если в клиенте указываете remote 127.0.0.1 - то же без stunnel не будет работать.

я же написал все сделано по вашим конфигам все работает

Я полные конфиги не давал. Хотелось бы увидеть конфиг openvpn и то что он пишет в логе при старте. Чтоб лог соответствовал конфигу.
То же самое и по stunnel.

попробовал оставить путсым,в конфиге на серве нет ключей это норм?

Нет это не норм. openvpn без ключей работать не будет. Ключи можно сгенерировать самому, в инете есть мануалы. Видимо IP указывается в CN ключа, поэтому если нет IP, то нет и ключа. Но не факт, что скрипт ограничивается только этим.

If your server is NATed (e.g. LowEndSpirit), I need to know the external IP

Указывайте тут ваш внешний IP. Потом конфиг openvpn отредактируете вручную - добавите туда local 127.0.0.1

[dminster94]

res2001, stunnel.pem где хранятся ответы на вопросы типо какая страна и тд ,с сервера надо на клиент перетаскивать?в конце на вопрос Unit NAme я ответил localhost.
ВСЕ НЕ ВЛЕЗАЕТ В 1 коммент

OPEN VPN CLIENT

client
dev tun
proto tcp
remote 127.0.0.1 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
ignore-unknown-option block-outside-dns
block-outside-dns
verb 3
<ca>
-----BEGIN CERTIFICATE-----

OPEN VPN SERVER
local 127.0.0.1
port 1194
proto tcp
dev tun
ca ca.crt /etc/openvpn/server
cert server.crt /etc/openvpn/server
key server.key /etc/openvpn/server
dh dh.pem /etc/openvpn/server
auth SHA512
tls-crypt tc.key /etc/openvpn/server
topology subnet
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

OPENPVN LOG CLIENT

2020-12-24 00:50:57 DEPRECATED OPTION: --cipher set to 'AES-256-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM). Future OpenVPN version will ignore --cipher for cipher negotiations. Add 'AES-256-CBC' to --data-ciphers or change --cipher 'AES-256-CBC' to --data-ciphers-fallback 'AES-256-CBC' to silence this warning.
2020-12-24 00:50:57 OpenVPN 2.5.0 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Oct 28 2020
2020-12-24 00:50:57 Windows version 6.1 (Windows 7) 64bit
2020-12-24 00:50:57 library versions: OpenSSL 1.1.1h  22 Sep 2020, LZO 2.10
Enter Management Password:
2020-12-24 00:50:57 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
2020-12-24 00:50:57 Need hold release from management interface, waiting...
2020-12-24 00:50:57 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
2020-12-24 00:50:57 MANAGEMENT: CMD 'state on'
2020-12-24 00:50:57 MANAGEMENT: CMD 'log all on'
2020-12-24 00:50:57 MANAGEMENT: CMD 'echo all on'
2020-12-24 00:50:57 MANAGEMENT: CMD 'bytecount 5'
2020-12-24 00:50:57 MANAGEMENT: CMD 'hold off'
2020-12-24 00:50:57 MANAGEMENT: CMD 'hold release'
2020-12-24 00:50:57 Outgoing Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
2020-12-24 00:50:57 Outgoing Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
2020-12-24 00:50:57 Incoming Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
2020-12-24 00:50:57 Incoming Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
2020-12-24 00:50:57 TCP/UDP: Preserving recently used remote address: [AF_INET]127.0.0.1:1194
2020-12-24 00:50:57 Socket Buffers: R=[8192->8192] S=[8192->8192]
2020-12-24 00:50:57 Attempting to establish TCP connection with [AF_INET]127.0.0.1:1194 [nonblock]
2020-12-24 00:50:57 MANAGEMENT: >STATE:1608763857,TCP_CONNECT,,,,,,
2020-12-24 00:50:57 TCP connection established with [AF_INET]127.0.0.1:1194
2020-12-24 00:50:57 TCP_CLIENT link local: (not bound)
2020-12-24 00:50:57 TCP_CLIENT link remote: [AF_INET]127.0.0.1:1194
2020-12-24 00:50:57 MANAGEMENT: >STATE:1608763857,WAIT,,,,,,
2020-12-24 00:50:58 Connection reset, restarting [-1]
2020-12-24 00:50:58 SIGUSR1[soft,connection-reset] received, process restarting
2020-12-24 00:50:58 MANAGEMENT: >STATE:1608763858,RECONNECTING,connection-reset,,,,,
2020-12-24 00:50:58 Restart pause, 5 second(s)
2020-12-24 00:51:03 Outgoing Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
2020-12-24 00:51:03 Outgoing Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
2020-12-24 00:51:03 Incoming Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
2020-12-24 00:51:03 Incoming Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
2020-12-24 00:51:03 TCP/UDP: Preserving recently used remote address: [AF_INET]127.0.0.1:1194
2020-12-24 00:51:03 Socket Buffers: R=[8192->8192] S=[8192->8192]
2020-12-24 00:51:03 Attempting to establish TCP connection with [AF_INET]127.0.0.1:1194 [nonblock]
2020-12-24 00:51:03 MANAGEMENT: >STATE:1608763863,TCP_CONNECT,,,,,,
2020-12-24 00:51:03 TCP connection established with [AF_INET]127.0.0.1:1194
2020-12-24 00:51:03 TCP_CLIENT link local: (not bound)
2020-12-24 00:51:03 TCP_CLIENT link remote: [AF_INET]127.0.0.1:1194
2020-12-24 00:51:03 MANAGEMENT: >STATE:1608763863,WAIT,,,,,,
2020-12-24 00:51:03 Connection reset, restarting [-1]
2020-12-24 00:51:03 SIGUSR1[soft,connection-reset] received, process restarting
2020-12-24 00:51:03 MANAGEMENT: >STATE:1608763863,RECONNECTING,connection-reset,,,,,
2020-12-24 00:51:03 Restart pause, 5 second(s)
2020-12-24 00:51:08 Outgoing Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
2020-12-24 00:51:08 Outgoing Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
2020-12-24 00:51:08 Incoming Control Channel Encryption: Cipher 'AES-256-CTR' initialized with 256 bit key
2020-12-24 00:51:08 Incoming Control Channel Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
2020-12-24 00:51:08 TCP/UDP: Preserving recently used remote address: [AF_INET]127.0.0.1:1194
2020-12-24 00:51:08 Socket Buffers: R=[8192->8192] S=[8192->8192]
2020-12-24 00:51:08 Attempting to establish TCP connection with [AF_INET]127.0.0.1:1194 [nonblock]
2020-12-24 00:51:08 MANAGEMENT: >STATE:1608763868,TCP_CONNECT,,,,,,
2020-12-24 00:51:08 TCP connection established with [AF_INET]127.0.0.1:1194
2020-12-24 00:51:08 TCP_CLIENT link local: (not bound)
2020-12-24 00:51:08 TCP_CLIENT link remote: [AF_INET]127.0.0.1:1194
2020-12-24 00:51:08 MANAGEMENT: >STATE:1608763868,WAIT,,,,,,
2020-12-24 00:51:09 Connection reset, restarting [-1]
2020-12-24 00:51:09 SIGUSR1[soft,connection-reset] received, process restarting
2020-12-24 00:51:09 MANAGEMENT: >STATE:1608763869,RECONNECTING,connection-reset,,,,,
2020-12-24 00:51:09 Restart pause, 5 second(s)
2020-12-24 00:51:13 SIGTERM[hard,init_instance] received, process exiting
2020-12-24 00:51:13 MANAGEMENT: >STATE:1608763873,EXITING,init_instance,,,,,

[dminster94]

STUNNEL CLIENT

cert = clientcert.pem
key = clientkey.pem
[openvpn]
client = yes
accept = 1194
connect = 104.131.22.85:443
cert = stunnel.pem

<code>
STUNNEL LOG CLIENT

2020.12.24 00:46:52 LOG5[main]: stunnel 5.57 on x64-pc-mingw32-gnu platform
2020.12.24 00:46:52 LOG5[main]: Compiled/running with OpenSSL 1.1.1h  22 Sep 2020
2020.12.24 00:46:52 LOG5[main]: Threading:WIN32 Sockets:SELECT,IPv6 TLS:ENGINE,OCSP,PSK,SNI
2020.12.24 00:46:52 LOG5[main]: Reading configuration from file stunnel.conf
2020.12.24 00:46:52 LOG5[main]: UTF-8 byte order mark detected
2020.12.24 00:46:52 LOG4[main]: Service [openvpn] needs authentication to prevent MITM attacks
2020.12.24 00:46:52 LOG5[main]: Configuration successful
2020.12.24 00:47:06 LOG5[main]: Reading configuration from file stunnel.conf
2020.12.24 00:47:06 LOG5[main]: UTF-8 byte order mark detected
2020.12.24 00:47:06 LOG4[main]: Service [openvpn] needs authentication to prevent MITM attacks
2020.12.24 00:47:06 LOG5[main]: Configuration successful
2020.12.24 00:50:57 LOG5[0]: Service [openvpn] accepted connection from 127.0.0.1:1369
2020.12.24 00:50:57 LOG5[0]: s_connect: connected 104.131.22.85:443
2020.12.24 00:50:57 LOG5[0]: Service [openvpn] connected remote server from 192.168.100.2:1370
2020.12.24 00:50:58 LOG3[0]: SSL_read: Connection reset by peer (WSAECONNRESET) (10054)
2020.12.24 00:50:58 LOG5[0]: Connection reset: 56 byte(s) sent to TLS, 0 byte(s) sent to socket
2020.12.24 00:51:03 LOG5[1]: Service [openvpn] accepted connection from 127.0.0.1:1371
2020.12.24 00:51:03 LOG5[1]: s_connect: connected 104.131.22.85:443
2020.12.24 00:51:03 LOG5[1]: Service [openvpn] connected remote server from 192.168.100.2:1372
2020.12.24 00:51:03 LOG3[1]: SSL_read: Connection reset by peer (WSAECONNRESET) (10054)
2020.12.24 00:51:03 LOG5[1]: Connection reset: 56 byte(s) sent to TLS, 0 byte(s) sent to socket
2020.12.24 00:51:08 LOG5[2]: Service [openvpn] accepted connection from 127.0.0.1:1373
2020.12.24 00:51:08 LOG5[2]: s_connect: connected 104.131.22.85:443
2020.12.24 00:51:08 LOG5[2]: Service [openvpn] connected remote server from 192.168.100.2:1374
2020.12.24 00:51:09 LOG3[2]: SSL_read: Connection reset by peer (WSAECONNRESET) (10054)
2020.12.24 00:51:09 LOG5[2]: Connection reset: 56 byte(s) sent to TLS, 0 byte(s) sent to socket</code>
<code>

STUNNEL SERVER


cert = /etc/stunnel/cert.pem
key = /etc/stunnel/key.pem
[openvpn]
accept = 104.131.22.85:443
connect = 127.0.0.1:1194
cert = /etc/stunnel/stunnel.pem



</code>

[res2001]

dminster94, В конфигах stunnel уберите (удалите, закоментируйте) лишние секции сервисов: [gmail-pop3] и т.п. Они только мешают. Оставьте только секцию openvpn и те опции, что вне секций
В конфиге стуннел опция debug=7 - включает повышенный режим отладки - больше сообщений в лог. Выставьте ее вместо debug=info. Уберите коментарий в этой строке и поменяйте info на 7 (когда все заработает можно будет вернуть обратно).
Конфиг клиента stunnel у вас целая портянка, а сервер 4 строки :-) так и есть?
В обоих конфигах openvpn для файлов ключей нужны полные пути. Это опции:

ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-crypt tc.key

Логи больше интересны на стороне сервера, а не клиента.
По логам на клиенте видно, что тут связка openvpn+stunnel работает. Но отлуп приходит от сервера, поэтому надо смотреть логи сервера.
То что изменяются порты с которых идет подключение openvpn клиента - это нормально - он получает отлуп, делает еще одну попытку подключиться, для этого открывает новый порт, stunnel получает запрос на соединение и открывает у себя новый порт для подключения к серверу на интерфейсе 192.168.100.2.

Давайте логи с сервера stunnel и openvpn.

[dminster94]

res2001,этими командами?systemctl status stunnel4.service sudo systemctl status openvpn

openvpn.service - OpenVPN service
     Loaded: loaded (/lib/systemd/system/openvpn.service; enabled; vendor preset: enabled)
     Active: active (exited) since Thu 2020-12-24 12:32:21 UTC; 16s ago
    Process: 39834 ExecStart=/bin/true (code=exited, status=0/SUCCESS)
   Main PID: 39834 (code=exited, status=0/SUCCESS)

Dec 24 12:32:21 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: Starting OpenVPN service...
Dec 24 12:32:21 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: Finished OpenVPN service.

stunnel4.service - LSB: Start or stop stunnel 4.x (TLS tunnel for network daemons)
     Loaded: loaded (/etc/init.d/stunnel4; generated)
     Active: active (running) since Thu 2020-12-24 12:36:01 UTC; 4s ago
       Docs: man:systemd-sysv-generator(8)
    Process: 39907 ExecStart=/etc/init.d/stunnel4 start (code=exited, status=0/SUCCESS)
      Tasks: 2 (limit: 1137)
     Memory: 1.8M
     CGroup: /system.slice/stunnel4.service
             └─39933 /usr/bin/stunnel4 /etc/stunnel/stunnel.conf

Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel[39931]: LOG5[ui]: Compiled with OpenSSL 1.1.1c  28 May 2019
Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel[39931]: LOG5[ui]: Running  with OpenSSL 1.1.1f  31 Mar 2020
Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel[39931]: LOG5[ui]: Threading:PTHREAD Sockets:POLL,IPv6,SYSTEMD TLS:ENGINE,FIPS,OCSP,PSK,SNI Auth:LIBWRAP
Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel[39931]: LOG5[ui]: Reading configuration from file /etc/stunnel/stunnel.conf
Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel[39931]: LOG5[ui]: UTF-8 byte order mark not detected
Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel[39931]: LOG5[ui]: FIPS mode disabled
Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel[39931]: LOG4[ui]: Insecure file permissions on /etc/stunnel/stunnel.pem
Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel[39931]: LOG5[ui]: Configuration successful
Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 stunnel4[39907]: Starting TLS tunnels: /etc/stunnel/stunnel.conf: started (no pid=pidfile specified!)
Dec 24 12:36:01 ubuntu-s-1vcpu-1gb-nyc3-01 systemd[1]: Started LSB: Start or stop stunnel 4.x (TLS tunnel for network daemons).

В обоих конфигах openvpn для файлов ключей нужны полные пути. Это опции:
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-crypt tc.key

В клиенте не таких ключей
ОБНОВИЛ КОММЕНТ ВЫШЕ

[res2001]

dminster94,

В клиенте не таких ключей

Да, в клиенте у вас ключи "встроенные". Это один из вариантов задания ключей, обычно применяется для мобильных версий openvpn, на десктопах проще с файлами.

этими командами?

По выводу systemctl status видно, что openvpn уже завершился.
Нет этого куска не достаточно. Логи нужны полные из /var/log.
Стартуйте сервер, стартуйте клиента (вместе с stunnel). Потом можно на сервере по логам мониторить клиентские запросы, как клиент отвалится можно логи сюда тащить.
В вашей схеме запрос инициирует openvpn клиент, далее он попадает в strunnel клиент, тот передает его stunnel серверу, и в конце запрос попадает openvpn серверу. В такой последовательности меняются и логи в зависимости от прохождения запроса. Ответ от openvpn сервера идет в обратной последовательности.

[dminster94]

res2001,

2020.12.27 22:07:13 LOG5[ui]: stunnel 5.56 on x86_64-pc-linux-gnu platform
2020.12.27 22:07:13 LOG5[ui]: Compiled with OpenSSL 1.1.1c 28 May 2019
2020.12.27 22:07:13 LOG5[ui]: Running with OpenSSL 1.1.1f 31 Mar 2020
2020.12.27 22:07:13 LOG5[ui]: Threading:PTHREAD Sockets:POLL,IPv6,SYSTEMD TLS:ENGINE,FIPS,OCSP,PSK,SNI Auth:LIBWRAP
2020.12.27 22:07:13 LOG5[ui]: Reading configuration from file /etc/stunnel/stunnel.conf
2020.12.27 22:07:13 LOG5[ui]: UTF-8 byte order mark not detected
2020.12.27 22:07:13 LOG5[ui]: FIPS mode disabled
2020.12.27 22:07:13 LOG5[ui]: Configuration successful
2020.12.27 22:07:19 LOG5[0]: Service [openvpn] accepted connection from 37.215.48.74:19946
2020.12.27 22:07:19 LOG3[0]: s_connect: connect 127.0.0.1:1194: Connection refused (111)
2020.12.27 22:07:19 LOG3[0]: No more addresses to connect
2020.12.27 22:07:19 LOG5[0]: Connection reset: 0 byte(s) sent to TLS, 0 byte(s) sent to socket
2020.12.27 22:07:25 LOG5[1]: Service [openvpn] accepted connection from 37.215.48.74:49432
2020.12.27 22:07:25 LOG3[1]: s_connect: connect 127.0.0.1:1194: Connection refused (111)
2020.12.27 22:07:25 LOG3[1]: No more addresses to connect
2020.12.27 22:07:25 LOG5[1]: Connection reset: 0 byte(s) sent to TLS, 0 byte(s) sent to socket
2020.12.27 22:07:30 LOG5[2]: Service [openvpn] accepted connection from 37.215.48.74:29946
2020.12.27 22:07:30 LOG3[2]: s_connect: connect 127.0.0.1:1194: Connection refused (111)
2020.12.27 22:07:30 LOG3[2]: No more addresses to connect
2020.12.27 22:07:30 LOG5[2]: Connection reset: 0 byte(s) sent to TLS, 0 byte(s) sent to socket
2020.12.27 22:07:35 LOG5[3]: Service [openvpn] accepted connection from 37.215.48.74:52121
2020.12.27 22:07:35 LOG3[3]: s_connect: connect 127.0.0.1:1194: Connection refused (111)
2020.12.27 22:07:35 LOG3[3]: No more addresses to connect
2020.12.27 22:07:35 LOG5[3]: Connection reset: 0 byte(s) sent to TLS, 0 byte(s) sent to socket
2020.12.27 22:07:41 LOG5[4]: Service [openvpn] accepted connection from 37.215.48.74:55350
2020.12.27 22:07:41 LOG3[4]: s_connect: connect 127.0.0.1:1194: Connection refused (111)
2020.12.27 22:07:41 LOG3[4]: No more addresses to connect
2020.12.27 22:07:41 LOG5[4]: Connection reset: 0 byte(s) sent to TLS, 0 byte(s) sent to socket
2020.12.27 22:07:51 LOG5[5]: Service [openvpn] accepted connection from 37.215.48.74:24912
2020.12.27 22:07:51 LOG3[5]: s_connect: connect 127.0.0.1:1194: Connection refused (111)
2020.12.27 22:07:51 LOG3[5]: No more addresses to connect
2020.12.27 22:07:51 LOG5[5]: Connection reset: 0 byte(s) sent to TLS, 0 byte(s) sent to socket
2020.12.27 22:14:24 LOG5[main]: Terminated
2020.12.27 22:14:24 LOG5[main]: Terminating 1 service thread(s)
2020.12.27 22:14:24 LOG5[main]: Service threads terminated
2020.12.27 22:14:24 LOG7[ui]: Clients allowed=500
2020.12.27 22:14:24 LOG5[ui]: stunnel 5.56 on x86_64-pc-linux-gnu platform
2020.12.27 22:14:24 LOG5[ui]: Compiled with OpenSSL 1.1.1c 28 May 2019
2020.12.27 22:14:24 LOG5[ui]: Running with OpenSSL 1.1.1f 31 Mar 2020
2020.12.27 22:14:24 LOG5[ui]: Threading:PTHREAD Sockets:POLL,IPv6,SYSTEMD TLS:ENGINE,FIPS,OCSP,PSK,SNI Auth:LIBWRAP
2020.12.27 22:14:24 LOG7[ui]: errno: (*__errno_location ())
2020.12.27 22:14:24 LOG5[ui]: Reading configuration from file /etc/stunnel/stunnel.conf
2020.12.27 22:14:24 LOG5[ui]: UTF-8 byte order mark not detected
2020.12.27 22:14:24 LOG5[ui]: FIPS mode disabled
2020.12.27 22:14:24 LOG7[ui]: Compression disabled
2020.12.27 22:14:24 LOG7[ui]: No PRNG seeding was required
2020.12.27 22:14:24 LOG6[ui]: Initializing service [openvpn]
2020.12.27 22:14:24 LOG7[ui]: Ciphers: HIGH:!aNULL:!SSLv2:!DH:!kDHEPSK
2020.12.27 22:14:24 LOG7[ui]: TLSv1.3 ciphersuites: TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256
2020.12.27 22:14:24 LOG7[ui]: TLS options: 0x02100004 (+0x00000000, -0x00000000)
2020.12.27 22:14:24 LOG6[ui]: Loading certificate from file: /etc/stunnel/stunnel.pem
2020.12.27 22:14:24 LOG6[ui]: Certificate loaded from file: /etc/stunnel/stunnel.pem
2020.12.27 22:14:24 LOG6[ui]: Loading private key from file: /etc/stunnel/key.pem
2020.12.27 22:14:24 LOG6[ui]: Private key loaded from file: /etc/stunnel/key.pem
2020.12.27 22:14:24 LOG7[ui]: Private key check succeeded
2020.12.27 22:14:24 LOG6[ui]: DH initialization not needed
2020.12.27 22:14:24 LOG7[ui]: ECDH initialization
2020.12.27 22:14:24 LOG7[ui]: ECDH initialized with curves X25519:P-256:X448:P-521:P-384
2020.12.27 22:14:24 LOG5[ui]: Configuration successful
2020.12.27 22:14:24 LOG7[ui]: Binding service [openvpn]
2020.12.27 22:14:24 LOG7[ui]: Listening file descriptor created (FD=9)
2020.12.27 22:14:24 LOG7[ui]: Setting accept socket options (FD=9)
2020.12.27 22:14:24 LOG7[ui]: Option SO_REUSEADDR set on accept socket
2020.12.27 22:14:24 LOG6[ui]: Service [openvpn] (FD=9) bound to 104.131.22.85:443
2020.12.27 22:14:24 LOG7[main]: Created pid file /var/run/stunnel4.pid
2020.12.27 22:14:24 LOG7[cron]: Cron thread initialized
2020.12.27 22:14:24 LOG6[cron]: Executing cron jobs
2020.12.27 22:14:24 LOG6[cron]: Cron jobs completed in 0 seconds
2020.12.27 22:14:24 LOG7[cron]: Waiting 86400 seconds
2020.12.27 22:17:49 LOG7[main]: Found 1 ready file descriptor(s)
2020.12.27 22:17:49 LOG7[main]: FD=4 events=0x2001 revents=0x0
2020.12.27 22:17:49 LOG7[main]: FD=9 events=0x2001 revents=0x1
2020.12.27 22:17:49 LOG7[main]: Service [openvpn] accepted (FD=3) from 37.215.48.74:42129
2020.12.27 22:17:49 LOG7[0]: Service [openvpn] started
2020.12.27 22:17:49 LOG7[0]: Setting local socket options (FD=3)
2020.12.27 22:17:49 LOG7[0]: Option TCP_NODELAY set on local socket
2020.12.27 22:17:49 LOG5[0]: Service [openvpn] accepted connection from 37.215.48.74:42129
2020.12.27 22:17:49 LOG6[0]: Peer certificate not required
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): before SSL initialization
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): before SSL initialization
2020.12.27 22:17:49 LOG7[0]: SNI: no virtual services defined
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): SSLv3/TLS read client hello
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): SSLv3/TLS write server hello
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): SSLv3/TLS write change cipher spec
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): TLSv1.3 write encrypted extensions
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): SSLv3/TLS write certificate
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): TLSv1.3 write server certificate verify
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): SSLv3/TLS write finished
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): TLSv1.3 early data
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): TLSv1.3 early data
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): SSLv3/TLS read finished
2020.12.27 22:17:49 LOG7[0]: 1 server accept(s) requested
2020.12.27 22:17:49 LOG7[0]: 1 server accept(s) succeeded
2020.12.27 22:17:49 LOG7[0]: 0 server renegotiation(s) requested
2020.12.27 22:17:49 LOG7[0]: 0 session reuse(s)
2020.12.27 22:17:49 LOG7[0]: 0 internal session cache item(s)
2020.12.27 22:17:49 LOG7[0]: 0 internal session cache fill-up(s)
2020.12.27 22:17:49 LOG7[0]: 0 internal session cache miss(es)
2020.12.27 22:17:49 LOG7[0]: 0 external session cache hit(s)
2020.12.27 22:17:49 LOG7[0]: 0 expired session(s) retrieved
2020.12.27 22:17:49 LOG7[0]: Generate session ticket callback
2020.12.27 22:17:49 LOG7[0]: Deallocating application specific data for session connect address
2020.12.27 22:17:49 LOG7[0]: New session callback
2020.12.27 22:17:49 LOG6[0]: No peer certificate received
2020.12.27 22:17:49 LOG6[0]: Session id: 59EC1FDB78EA57F76384956D7C95330BECDA935221ACACBFA0B8F9DC087445CC
2020.12.27 22:17:49 LOG7[0]: TLS state (accept): SSLv3/TLS write session ticket
2020.12.27 22:17:49 LOG7[0]: Deallocating application specific data for session connect address
2020.12.27 22:17:49 LOG7[0]: Generate session ticket callback
2020.12.27 22:17:49 LOG7[0]: Deallocating application specific data for session connect address
2020.12.27 22:17:49 LOG7[0]: New session callback
2020.12.27 22:17:49 LOG6[0]: No peer certificate received

[res2001]

dminster94, Судя вышеприведенному логу тут все хорошо. Что в логе сервера openvpn? Приводите его вместе с конфигом.

[dminster94]

res2001, у меня при установке впн вылазило предупреждения что не установлены драйвера потому что они не серцефицированы,может поэтому? не забывайте указывать где смотреть и как,мозг бывает жестко тупит да и в большинстве своем хз что и как делать потому что делаю в 1ый раз
файла нет

log-attend /var/log/openvpn.log
local 127.0.0.1
port 1194
proto tcp
dev tun
ca ca.crt /etc/openvpn/server
cert server.crt /etc/openvpn/server
key server.key /etc/openvpn/server
dh dh.pem /etc/openvpn/server
auth SHA512
tls-crypt tc.key /etc/openvpn/server
topology subnet
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

[res2001]

dminster94, На винде это нормально, там openvpn ставит свой виртуальный сетевой адаптер, он не микрософтовский и бесплатный, поэтому не подписан и система ругается. Надо просто забить на ругань и все равно согласиться ставить его.
В линуксе этот драйвер по умолчанию в ядре присутствует.

[dminster94]

res2001, не ответили про лог что делать

[res2001]

dminster94, Если нет openvpn.log, то записи должны быть в том же syslog.
И я что-то не нашел опции log-attend, есть log и есть log-append: https://openvpn.net/community-resources/reference-...

[res2001]

dminster94, Для проверки конфига вы можете стартовать службы вручную. Например, чтоб стартовать openvpn дайте такую команду:
openvpn --config <путь к конфигу>
В этом случае, если в конфиге будет ошибка, вы увидите сообщение на экране при старте.

[dminster94]

res2001,

root@ubuntu-s-1vcpu-1gb-nyc3-01:~# openvpn --config /etc/openvpn/server
Mon Jan  4 18:42:41 2021 disabling NCP mode (--ncp-disable) because not in P2MP client or server mode
Options error: You must define TUN/TAP device (--dev)
Use --help for more information.

[res2001]

dminster94,

Options error: You must define TUN/TAP device (--dev)

Видимо в конфиге нет опции dev tun

[dminster94]

res2001, выше конфиг кидал смотрите, все есть

[dminster94]

res2001, будут идеи или все?)попробовал с другим скриптом там такая же херня, может лучше в самом конфиге прописать что что бы лог появился?

spoiler

короче , прикол, решил я до нг поставить варгуард проверить свой комп он не работал хотя до всех махинаций работал , заподозрил что то не так, хотел поставить убунту , но там танцы с бубном , решил на виртуалку и винду 10 и самый 1ый скрипт заработал , без бубна)это ппц)спасибо за помощь все равно)вывод технология херня, не скрывает она ничего в 2021)

[res2001]

dminster94,

вывод технология херня, не скрывает она ничего в 2021)

Вывод не верный!
В openvpn и в wireguard используется стойкое шифрование, при сегодняшних технических возможностях что бы расшифровать такой пакет потребуется несколько 1000 лет (а то и больше, точных цифр не помню).
Правда при неправильных настройках можно использовать и не стойкое шифрование.
Факт наличия шифрованного трафика определяется по косвенным признакам, которые, обычно, есть в любом протоколе. Определение наличия шифрованного трафика не означает возможность расшифровки этого трафика.
То что вы пытаетесь сделать используя stunnel+openvpn приводит к тому, что шированный трафик openvpn ширфуется повторно stunnel (SSL), таким образом, возможно скрыть наличие трафика openvpn, но не SSL.
Кроме того, если для проверки используется подмена сертификатов (это можно сделать прозрачно, например на корпоративном фаерволе) и вы настройками stunnel не проверяете жесткое соответствие сертификатов клиента и сервера, то остается возможность расшифровать трафик SSL на промежуточном фаерволе и понять, что скрывается за ним.
Что бы грамотно все настроить, надо немного разбираться в теме защиты трафика и понимать что к чему. Если вас это интересует почитайте про криптографию, открытые/закрытые ключи, X509, актуальные криптографические алгоритмы, варианты защиты трафика и варианты взлома шифрованного трафика.

выше конфиг кидал смотрите, все есть

В конфиге измените опцию log-attend на log-append. Возможно из-за неверной опции, конфиг не воспринимается openvpn, не понятно, правда, почему ошибка такая. Опции log-attend не существует в природе.

[dminster94]

res2001, я имел в виду что сайт будет знать что я использую впн в этом плане не сркывает, как заявлено, там что стуннел скрывает под трафик https по факту нет

[res2001]

dminster94, stunnel не скрывает трафик под HTTPS, он скрывает трафик под SSL. Писал об этом в первых ответах. SSL - сам по себе шифрованный протокол, под ним может скрываться какой угодно трафик. SSL трафик вполне может быть опознан как ВПН сам по себе, даже без анализа нижележащего протокола.
В любом случае без подмены сертификатов расшифровать протокол спрятанный под SSL не возможно. Но с подменой сертификатов достаточно легко бороться - настройкой контроля сертификатов на клиенте и сревере. Но борьба эта специфическая - если проверка сертификатов завершиться успешно - то все работает, если не успешно (нас слушают) - не работает.

[dminster94]

res2001, подскажите как думаете почему помогло, расширение хрома Hola (оно использует впн Ipsec и какие то открытые веб прокси 80 хз что это означает) другие однотипные расширения не помогли, только это, то-есть для сайта я был как обычный пользователь в гандурасе, ставил на впс ipsec , не помогло

[res2001]

dminster94, Не увидел, что Hola использует ipsec. На сколько я понимаю - это просто прокси. Видимо они кроме проксирования еще делают некоторую анонимизацию веб трафика.
Бесплатная версия ничего не шифрует. Шифрование есть только в Hola Premium за деньги. Но шифрование само по себе это еще не ВПН.

Вообще для использования ipsec вообще ничего не надо ставить - во всех современных ОС ipsec поддерживается из коробки, даже в Windows Home. Нужно только правильно настроить. Но ручная настройка его достаточно утомительное занятие.

[dminster94]

res2001, так мне шифрование и не нужно, нужно просто как будто я в другой стране сижу, главное только 1 страна зарегалась , остальные нет, значит они дают грязные айпи для фри?я уже поставил)главное нигде не работает кроме ios. скорей всего мне надо просто чистые прокси купить да и все, просто хола из 50 расширений воспринялась сайтом норм и не только 1 а 2 один из них была соц сеть, а можно из ВПС сделать прокси, как это быстро сделать?)

[res2001]

dminster94, Надо не просто прокси сделать, а анонимизирующий прокси. Не знаю как это делать, никогда не было нужды в этом.
Обычный прокси сделать легко, есть свободное ПО. Можно например squid поднять, настройка там не сильно сложная, мануалов полно в инете. Вроде squid умеет деанонимизацию, но это надо вникать. Я давно уже не держал в руках его.

[dminster94]

res2001, а как обычную сделать без сквидов?что то не нашел ничего

[res2001]

dminster94, без сквидов (или другого аналогичного ПО) - никак. Функционал прокси сервера не входит в набор стандартного ПО ни в одной ОС.