|
OpenVPN na tomato - mostek czy routowanie, który tryb wybrać?
|
| komputerowylamer |
Dodano 12-11-2015 12:06
|
Power User
Posty: 224
Dołączył: 23/10/2006 08:39
|
Mam dwie lokalizacje w których pracują dwa routery z tomato VPN.
1. Dom z zewnętrznym IP od UPC (tutaj będzie serwer)
2. Rodzina dostęp przez LTE lokalizacja poza miastem (klient)
Moim celem jest połączenie podsieci tak aby z dowolnego komputera będącego w sieci LAN serwera mieć swobodny dostęp do routera będącego klientem oraz urządzeń w jego sieci LAN (bramki VoiP, będzie kamera IP, AP, ewentualnie PC).
Który tryb pracy OpenVPN będzie dla mnie odpowiedniejszy TAP czy TUN?
Ostatnio pojawił sie dodatkowy problem który chciałbym rozwiązać zestawiając dwie podsieci. Po kilku dniach używania okazało się Play blokuje komunikację na porcie 5060 który jest używany przez VoIPa. Bramki za LTE tracą komunikację z betamaxem. VoIP nie działa.
Czy można przy okazji zestawiania dwóch podsieci obejść to organicznie? Jak to zrobić?
Asus RT-AC56U - Tomato Firmware 1.28.0000 -2017.3-kille72- K26ARM USB AIO-64K
Netgear WNR3500L v2 - Tomato Firmware 1.28.0000 MIPSR2-132 K26 USB AIO
|
| |
|
|
| b3rok |
Dodano 12-11-2015 12:50
|
Administrator
Posty: 621
Dołączył: 10/01/2008 18:40
|
Mój konfig to OpenVPN - TUN po UDP. Spięte dwie lokalizacje - serwer OpenVPN na routerze Tomato, a klient OpenVPN na routerze OpenWRT Gargoyle. Dostęp mam dwustronny - tzn. z wnętrza jednej sieci do urządzeń w drugiej sieci i na odwrót.
Wydaje mi się, że konfig jak mój + zaznaczenie opcji na serwerze OpenVPN "Direct clients to redirect Internet traffic" - ruch klientów przekierowany i wychodzisz na świat po IP zewnętrznym routera z serwerem OpenVPN (to jest konfig zalecany m.in. do korzystania z hotspotów, niezaufanych sieci).
IMHO powinno Ci się udać ominąć to ograniczenie.
I. Huawei HG8240 + 1x Netgear r7000 @FreshTomato + Synology DS1512+
II. TP-Link TL-WDR4300 @Obsy OpenWRT Gargoyle
III. TP-Link TL-WDR3600 @Obsy OpenWRT Gargyle
|
| |
|
|
| komputerowylamer |
Dodano 13-11-2015 23:57
|
Power User
Posty: 224
Dołączył: 23/10/2006 08:39
|
Ustawiłem tunel ale nie ma komunikacji. NIe można wchodzić na urządzenia.
Klient pinguje server i urządzenia w jego sieci. Od servera pingi nie dochodzą.
Oczywiście nie można wejść na żadne urządzenie w drugiej sieci (w obu kierunkach).
Serwer stoi za modemem do UPC. Klient ma przez sobą modem LTE B593 (IP hosta LAN modemu - 192.168.0.1). Modem ma w strefie DMZ wpisanego Klienta z przydzielonym stałym IP na WAN 192.168.0.2.
Poniżej konfiguracja. Proszę o podpowiedz co jest nie tak.
SERWER
KLIENT
Asus RT-AC56U - Tomato Firmware 1.28.0000 -2017.3-kille72- K26ARM USB AIO-64K
Netgear WNR3500L v2 - Tomato Firmware 1.28.0000 MIPSR2-132 K26 USB AIO
|
| |
|
|
| khain |
Dodano 14-11-2015 17:56
|
Power User
Posty: 335
Dołączył: 25/07/2007 17:09
|
Zaznacz opcję "Allow only these clients" w zakładce "Advanced" serwera openvpn. Adres podsieci klienta to 192.168.20.0 a nie 20.1
TP-LINK TL-WDR3600 @ Openwrt - 300/20Mbps
HP ProLiant DL360e Gen8 @ ESXi 7.0.1:2 x Intel Xeon CPU E5-2450L @ 1.80GHz, 160GB RAM ECC, 2x 1TB SSD
ASRock J4205-ITX @ Debian 11 16BG RAM, 2x 1TB SSD, 1x 1TB HDD
|
| |
|
|
| komputerowylamer |
Dodano 15-11-2015 15:41
|
Power User
Posty: 224
Dołączył: 23/10/2006 08:39
|
Cytat khain napisał(a):
Zaznacz opcję "Allow only these clients" w zakładce "Advanced" serwera openvpn. Adres podsieci klienta to 192.168.20.0 a nie 20.1
Dziękuję poszło. Wystarczyło że zmieniłem adresację podsieci klienta w ustawieniach servera na 192.168.20.0.
Ta jak pisałeś.
"Allow only these clients" nie musiałem zaznaczać.
1. Dlaczego wcześniej było nieporwanie przecież klient1 ma ustawioną swoją podsieć LAN adresem 192.168.20.1 ?
2. Co zrobić abym mógł jeszcze z serwera wchodzić na modem LTE który stoi przed klientem?
Cytat Wydaje mi się, że konfig jak mój + zaznaczenie opcji na serwerze OpenVPN "Direct clients to redirect Internet traffic" - ruch klientów przekierowany i wychodzisz na świat po IP zewnętrznym routera z serwerem OpenVPN (to jest konfig zalecany m.in. do korzystania z hotspotów, niezaufanych sieci).
IMHO powinno Ci się udać ominąć to ograniczenie.
b3rok tą opcję na razie odznaczyłem ponieważ wydawało mi się dzisiaj rano że po jej wybraniu obserwowałem bardzo duże spowolnienie internetu LTE na kliencie. Czy to możliwe? Może BTS był przeciążony?
Bramka na razie rejestruje się u operatora voip bez tej opcji zobaczymy jak będzie dalej.
Połączony z 15 listopad 2015 20:19:54:
3. Teraz po kliku godzina od ostatniej konfiguracji zauważyłem że na kiencie wysypał mi się DDNS. Nie wiem dlaczego? Było ok bo sprawdzałem po południu. VPN działa poprawnie.
Edytowany przez komputerowylamer dnia 15-11-2015 20:19
Asus RT-AC56U - Tomato Firmware 1.28.0000 -2017.3-kille72- K26ARM USB AIO-64K
Netgear WNR3500L v2 - Tomato Firmware 1.28.0000 MIPSR2-132 K26 USB AIO
|
| |
|
|
| b3rok |
Dodano 15-11-2015 20:57
|
Administrator
Posty: 621
Dołączył: 10/01/2008 18:40
|
Jak czemu? Na kliencie jest LTE... O ile nie masz wykupionej uslugi zewnetrznego adresu IP (sa sprzeczne opinie czy taka usluga istnieje na LTE - jedni twierdza, ze tak, a inni ze tylko na HSDPA/3G jest taka opcja).
Na kliencie jest LTE = brak tradycyjnego wejscia z zewnatrz = niedzialajaca usluga DynDNS. Po to m.in. zestawia sie tunel VPN pomiedzy lokalizacja z zewnetrznym adresem IP (zarazem jest to lokalizacja serwera VPN) a lokalizacja z LTE (czy innym dostepem do Internetu bez zewnetrznego adresu IO - lokalizacja klienta), zeby moc za posrednictwem VPN miec dostep do lokalizacji teoretycznie niedostepnej.
Oczywiscie jest to jeden z wielu mozliwych scenariuszy.
Co do wczesniejszego pytania - prawde mowiac nie wiem, czy opcja "Direct clients to redirect Internet traffic" generuje duzy ruch - korzystam z niej w przypadku delegacji/wyjazdow laczac sie z otwartych access pointow
Edytowany przez b3rok dnia 15-11-2015 21:03
I. Huawei HG8240 + 1x Netgear r7000 @FreshTomato + Synology DS1512+
II. TP-Link TL-WDR4300 @Obsy OpenWRT Gargoyle
III. TP-Link TL-WDR3600 @Obsy OpenWRT Gargyle
|
| |
|
|
| komputerowylamer |
Dodano 16-11-2015 13:30
|
Power User
Posty: 224
Dołączył: 23/10/2006 08:39
|
Rozumiem.
A wcześniejsze pytania.
Cytat Dziękuję poszło. Wystarczyło że zmieniłem adresację podsieci klienta w ustawieniach servera na 192.168.20.0.
Ta jak pisałeś.
"Allow only these clients" nie musiałem zaznaczać.
1. Dlaczego wcześniej było niepoprwanie przecież klient1 ma ustawioną swoją podsieć LAN adresem 192.168.20.1 ?
2. Co zrobić abym mógł jeszcze z serwera wchodzić na modem LTE który stoi przed klientem?
Mogę wejść na ten modem LTE? Jak wpisywać prawidłowo adresację LAN klienta na serwerze?
Asus RT-AC56U - Tomato Firmware 1.28.0000 -2017.3-kille72- K26ARM USB AIO-64K
Netgear WNR3500L v2 - Tomato Firmware 1.28.0000 MIPSR2-132 K26 USB AIO
|
| |
|
|
| b3rok |
Dodano 16-11-2015 14:28
|
Administrator
Posty: 621
Dołączył: 10/01/2008 18:40
|
ad1. BYĆ MOŻE skrypt nie jest na tyle inteligentny - chce adres podsieci to ma być adres podsieci, a nie hosta.
ad2. Hmmmm. A z wnętrza sieci, która ma dostęp przez modem LTE + router, masz dostęp do modemu?
I. Huawei HG8240 + 1x Netgear r7000 @FreshTomato + Synology DS1512+
II. TP-Link TL-WDR4300 @Obsy OpenWRT Gargoyle
III. TP-Link TL-WDR3600 @Obsy OpenWRT Gargyle
|
| |
|
|
| komputerowylamer |
Dodano 16-11-2015 21:06
|
Power User
Posty: 224
Dołączył: 23/10/2006 08:39
|
Cytat b3rok napisał(a):
ad2. Hmmmm. A z wnętrza sieci, która ma dostęp przez modem LTE + router, masz dostęp do modemu?
Tak.
Teraz kiedy odpaliłem VPNa testy robię na tym samym PC. Podpinając go raz do routero/serwera a drugu raz do router/kienta. Zmieniam oczywiście adresację IP.
Z pod klienta który podłączony jest bezpośrednio pod modem LTE wchodzę bez przeszkód na ten modem (192.168.0.1). Z pod servera przy działającym VPNie to mi się nie udaje.
Asus RT-AC56U - Tomato Firmware 1.28.0000 -2017.3-kille72- K26ARM USB AIO-64K
Netgear WNR3500L v2 - Tomato Firmware 1.28.0000 MIPSR2-132 K26 USB AIO
|
| |
|
|
| b3rok |
Dodano 16-11-2015 22:56
|
Administrator
Posty: 621
Dołączył: 10/01/2008 18:40
|
Trochę strzelam - może wystarczy dodać trasę statyczną w routingu na routerze-serwerze-VPN - taką samą jak masz na kliencie z adresem modemu 192.168.0.1
I. Huawei HG8240 + 1x Netgear r7000 @FreshTomato + Synology DS1512+
II. TP-Link TL-WDR4300 @Obsy OpenWRT Gargoyle
III. TP-Link TL-WDR3600 @Obsy OpenWRT Gargyle
|
| |
|
|
| komputerowylamer |
Dodano 17-11-2015 08:05
|
Power User
Posty: 224
Dołączył: 23/10/2006 08:39
|
b3rok wielkie dzięki za pomoc.
1. Napisz proszę jak powinien wyglądać wpis.
2. Czy w sytuacji jak u mnie gdzie klient jest na LTE a server na łączu kablowym (UPC 10 MB/s) występują ograniczenia prędkości internetu w sieci lokalnej kienta? Czy wolniejsze łącze serwera obniża prędkość internetu na maszynach w LAN klienta?
3. Czy samo zestawienie VPNa obniża prędkość dostępu do internetu na PC podłączonych po poszczególnych sieci lokalnych? Teoretycznie ile może obniżać? Ile ewentualnie zależy to od sprzętu który posiadam?
Połączony z 17 listopad 2015 20:01:28:
4. Ostanie bardzo ważne dla mnie pytanie:
Cytat Wydaje mi się, że konfig jak mój + zaznaczenie opcji na serwerze OpenVPN "Direct clients to redirect Internet traffic" - ruch klientów przekierowany i wychodzisz na świat po IP zewnętrznym routera z serwerem OpenVPN (to jest konfig zalecany m.in. do korzystania z hotspotów, niezaufanych sieci).
Czy mogę puścić cały ruch ale jedynie z wybranych IP sieci LAN klienta (tylko bramki voip) poprzez server VPN. Jak to zrobić?
Edytowany przez komputerowylamer dnia 17-11-2015 20:01
Asus RT-AC56U - Tomato Firmware 1.28.0000 -2017.3-kille72- K26ARM USB AIO-64K
Netgear WNR3500L v2 - Tomato Firmware 1.28.0000 MIPSR2-132 K26 USB AIO
|
| |
|
|
| b3rok |
Dodano 18-11-2015 22:32
|
Administrator
Posty: 621
Dołączył: 10/01/2008 18:40
|
ad1. no musisz potestować: "Trochę strzelam - może wystarczy dodać trasę statyczną w routingu na routerze-serwerze-VPN - taką samą jak masz na kliencie z adresem modemu 192.168.0.1". Czyli patrzysz się w na routing (router z klientem vpn) i wpisy dot. modemu (czyli z 192.168.0.1) i analogiczny wpis dodajesz w routingu (router z serwerem vpn)
ad2. nie wiem - testuj z vpn i bez vpn a bedziesz mial odpowiedz.
ad3. Masz slabe i stare routery - problemem moge byc ich procesory. Zalezy jakie szyfrowanie, ilu bitowe klucze. Znowu patrz ad2 - testuj, z szyfrowaniem, bez szyfrowania, z vpn, bez vpn.
ad4. dostales odpowiedz od shibbiego w innym watku...
I. Huawei HG8240 + 1x Netgear r7000 @FreshTomato + Synology DS1512+
II. TP-Link TL-WDR4300 @Obsy OpenWRT Gargoyle
III. TP-Link TL-WDR3600 @Obsy OpenWRT Gargyle
|
| |
|
|
| komputerowylamer |
Dodano 19-11-2015 09:34
|
Power User
Posty: 224
Dołączył: 23/10/2006 08:39
|
Sam raczej reguły nie wymyślę. Po prostu nie znam się na tym.
Co do obserwacji pracy sieci z VPNem to zauważyłem że samo zestawienie tunelu nie spowalnia znacząco funkcjonowania każdej z podsieci.
Puszczenie całego ruchu przez server (Direct clients to redirect Internet traffic) to dla mojego sprzętu zadanie zbyt trudne. Sieć masakrycznie spowalnia. Nie można swobodnie korzystać z Internetu.
Po wyłączeniu ruchu wychodzącego przez server bramki tracą komunikację z serwerem VoIP. Bramka nie działa. Klapa.
Moja wersja tomato nie posiada opcji "routing policy". Główny problem pozostał nie rozwiązany. Jestem w kropce?
Połączony z 18 grudzień 2015 08:01:02:
Zmieniłem urządzenia i zainstalowałem tomato z funkcją "routing policy". Potem puściłem bramki VoIP przez serwer VPN.
Dziękuję za pomoc.
Edytowany przez komputerowylamer dnia 18-12-2015 08:01
Asus RT-AC56U - Tomato Firmware 1.28.0000 -2017.3-kille72- K26ARM USB AIO-64K
Netgear WNR3500L v2 - Tomato Firmware 1.28.0000 MIPSR2-132 K26 USB AIO
|
| |
|
' target='_blank'>Link
