The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Странный роутинг у Centos при поднятом VPN"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Открытые системы на сервере (VPN / Linux)
Изначальное сообщение [ Отслеживать ]

"Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от universite email(ok) on 10-Авг-12, 01:35 
Server OpenVPN на Centos 6.3
Client OpenVPN на FreeBSD 9.0
тип туннеля tun0
все поднимается без ошибок, но не работает роутинг.

пакеты с клиента доходят до сервера и пропадают.
пакеты с сервера в туннель не попадают и ответы на пинг генерятся с локалхоста.
таблица роутинга нормальная.
firewall на обоих концах выключен.
пытался выявить tcpdump'ом выявить дальнейший путь пакетов, но неудачно.

может, виноват SElinux ?

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от LSTemp (ok) on 10-Авг-12, 02:03 
>[оверквотинг удален]
> Client OpenVPN на FreeBSD 9.0
> тип туннеля tun0
> все поднимается без ошибок, но не работает роутинг.
> пакеты с клиента доходят до сервера и пропадают.
> пакеты с сервера в туннель не попадают и ответы на пинг генерятся
> с локалхоста.
> таблица роутинга нормальная.
> firewall на обоих концах выключен.
> пытался выявить tcpdump'ом выявить дальнейший путь пакетов, но неудачно.
> может, виноват SElinux ?

покажите роутинг со стороны сервера.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от universite email(ok) on 10-Авг-12, 02:17 
> покажите роутинг со стороны сервера.


# ip route show
10.8.100.2 dev tun0  proto kernel  scope link  src 10.8.100.1
XXX.XXX.XXX.128/27 dev eth0  proto kernel  scope link  src XXX.XXX.XXX.131
10.8.100.0/24 via 10.8.100.2 dev lo
169.254.0.0/16 dev eth0  scope link  metric 1002
default via XXX.XXX.XXX.129 dev eth0

Еще странность - на стороне сервера туннелю назначены другие IP, хотя в конфиге:


#cat /etc/openvpn/ccd/client03
ifconfig-push 10.8.100.9 10.8.100.10


# ifconfig tun0
tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
          inet addr:10.8.100.1  P-t-P:10.8.100.2  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от LSTemp (ok) on 10-Авг-12, 02:38 
>[оверквотинг удален]
>           UP POINTOPOINT
> RUNNING NOARP MULTICAST  MTU:1500  Metric:1
>           RX packets:0
> errors:0 dropped:0 overruns:0 frame:0
>           TX packets:0
> errors:0 dropped:0 overruns:0 carrier:0
>           collisions:0 txqueuelen:100
>           RX bytes:0
> (0.0 b)  TX bytes:0 (0.0 b)
>

1)
думал Вы догадаетесь заодно и простенькую схемку подключения нарисовать, чтоб не догадываться где какой ИП

2) x.x.x.x - выходит не серый адрес? как же Вы тогда с отключенным firewall трафик пробрасываете ч/з инет?

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от universite email(ok) on 10-Авг-12, 03:18 
> 1)
> думал Вы догадаетесь заодно и простенькую схемку подключения нарисовать, чтоб не догадываться
> где какой ИП

а что непонятно в этой строчке? :)


ifconfig-push 10.8.100.9 10.8.100.10

> 2) x.x.x.x - выходит не серый адрес? как же Вы тогда с
> отключенным firewall трафик пробрасываете ч/з инет?

а таблица роутинга на что?
надо, чтоб траффик внутри туннеля бегал.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от LSTemp (ok) on 10-Авг-12, 03:52 
>[оверквотинг удален]
>> думал Вы догадаетесь заодно и простенькую схемку подключения нарисовать, чтоб не догадываться
>> где какой ИП
> а что непонятно в этой строчке? :)
>
 
> ifconfig-push 10.8.100.9 10.8.100.10
>

непонятно как кабели тянутся. схема подключения - это не только ИП

>> 2) x.x.x.x - выходит не серый адрес? как же Вы тогда с
>> отключенным firewall трафик пробрасываете ч/з инет?
> а таблица роутинга на что?
> по что надо, чтоб траффик внутри туннеля бегал.

таблица роутинга доставку трафика к серым адреса ч/з инет не обеспечит. => раз тунель у Вас поднялся, стало быть firewall работает и натит (когда Вы сказали что он отключен) => что проблемы могут быть и в правилах firewall.


Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

8. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от universite (ok) on 10-Авг-12, 17:51 
>>[оверквотинг удален]
>>> думал Вы догадаетесь заодно и простенькую схемку подключения нарисовать, чтоб не догадываться
>>> где какой ИП
>> а что непонятно в этой строчке? :)
>>
 
>> ifconfig-push 10.8.100.9 10.8.100.10
>>

> непонятно как кабели тянутся. схема подключения - это не только ИП

Два сервера стоят в разных ДЦ. Нужно организовать приватный туннель, чтоб данные между ними через туннель бегали.


>>> 2) x.x.x.x - выходит не серый адрес? как же Вы тогда с
>>> отключенным firewall трафик пробрасываете ч/з инет?
>> а таблица роутинга на что?
>> по что надо, чтоб траффик внутри туннеля бегал.
> таблица роутинга доставку трафика к серым адреса ч/з инет не обеспечит. =>
> раз тунель у Вас поднялся, стало быть firewall работает и натит
> (когда Вы сказали что он отключен) => что проблемы могут быть
> и в правилах firewall.

А туннели на что?


Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

6. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от LSTemp (ok) on 10-Авг-12, 04:00 
>> покажите роутинг со стороны сервера.
> # ip route show
> 10.8.100.2 dev tun0  proto kernel  scope link  src 10.8.100.1
> XXX.XXX.XXX.128/27 dev eth0  proto kernel  scope link  src XXX.XXX.XXX.131
> 10.8.100.0/24 via 10.8.100.2 dev lo

^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
вот Ваш клиент 10.8.100.9 сюда и побежит, как Вы и описали (т.е ч/з лупбак-интерфейс).

там вроде в серверном конфиге опция route была (давно open не юзал - точно не помню). или вручную маршруты нормально пропишите.

причем:
1) при таком завороте надо правила iptables реально смотреть, а не говорить, что выключено
2) шлюз при ppp-соединениях надо указывать на внешней (а не своей) стороне, дабы лишнего гемороя избежать. попробуйте 10.8.100.1, а не 10.8.100.2 - может и ч/з lo пройдет, если iptables трафик не порубит.  

>[оверквотинг удален]
>[оверквотинг удален]
>           UP POINTOPOINT
> RUNNING NOARP MULTICAST  MTU:1500  Metric:1
>           RX packets:0
> errors:0 dropped:0 overruns:0 frame:0
>           TX packets:0
> errors:0 dropped:0 overruns:0 carrier:0
>           collisions:0 txqueuelen:100
>           RX bytes:0
> (0.0 b)  TX bytes:0 (0.0 b)

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

7. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от universite email(ok) on 10-Авг-12, 10:33 
>>> покажите роутинг со стороны сервера.
>> # ip route show
>> 10.8.100.2 dev tun0  proto kernel  scope link  src 10.8.100.1
>> XXX.XXX.XXX.128/27 dev eth0  proto kernel  scope link  src XXX.XXX.XXX.131
>> 10.8.100.0/24 via 10.8.100.2 dev lo
> ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
> вот Ваш клиент 10.8.100.9 сюда и побежит, как Вы и описали (т.е
> ч/з лупбак-интерфейс).

при поднятие туннеля должен появиться more-specific route

> там вроде в серверном конфиге опция route была (давно open не юзал
> - точно не помню). или вручную маршруты нормально пропишите.

буду пробовать

> причем:
> 1) при таком завороте надо правила iptables реально смотреть, а не говорить,
> что выключено

service iptables stop, чтоб не мешал

> 2) шлюз при ppp-соединениях надо указывать на внешней (а не своей) стороне,
> дабы лишнего гемороя избежать. попробуйте 10.8.100.1, а не 10.8.100.2 - может
> и ч/з lo пройдет, если iptables трафик не порубит.

там еще несколько туннелей будет подниматься.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

9. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от universite (ok) on 10-Авг-12, 18:16 
Вырубил SELinux.

Запустил пинг на сервере:


[root@130 ~]# ping 10.8.100.2 -I tun0
PING 10.8.100.2 (10.8.100.2) from 10.8.100.1 tun0: 56(84) bytes of data.

На клиенте:


STSZ001# tcpdump -vvv -i tun0
...
    10.8.100.1 > 10.8.100.2: ICMP echo request, id 51974, seq 120, length 64
16:13:34.010839 IP (tos 0x0, ttl 64, id 36453, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.100.2 > 10.8.100.1: ICMP echo reply, id 51974, seq 120, length 64
^C
198 packets captured
200 packets received by filter
0 packets dropped by kernel

На сервере:


[root@130 ~]# tcpdump -vvv -i tun0
tcpdump: listening on tun0, link-type RAW (Raw IP), capture size 65535 bytes
18:14:54.961912 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.100.1 > 10.8.100.2: ICMP echo request, id 51974, seq 203, length 64
18:14:54.987474 IP (tos 0x0, ttl 64, id 36626, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.100.2 > 10.8.100.1: ICMP echo reply, id 51974, seq 203, length 64
18:14:55.961900 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.100.1 > 10.8.100.2: ICMP echo request, id 51974, seq 204, length 64
18:14:55.987140 IP (tos 0x0, ttl 64, id 36628, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.100.2 > 10.8.100.1: ICMP echo reply, id 51974, seq 204, length 64

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "Странный роутинг у Centos при поднятом VPN"  +/
Сообщение от universite (ok) on 10-Авг-12, 18:42 
Тикет закрыт.
Лажа было в неправильной маске дополнительных серых IP на локалхосте.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру