26 Czerwiec 2017 15:55:28
Nawigacja
· Strona Główna
· Galeria
· Forum
· Linki

· Tomato by Shibby

· Wiki-OpenWrt
· Wiki-DD-WRT
· Emulatory sprzętu

Darowizna
Ostatnio na forum
Najnowsze tematy
· Brak internetu po WLAN
· [S] ASUS RT-AC68U
· Asus RT-N18U DD-WRT ...
· [S] Serwer Mini-ITX
· Asus RT-AC3200 - rou...
· Jak przenieść zmienn...
· [MOD] Tomato by shibby
· Jak odratować NETGEA...
· RT-AC5300 - sterowan...
· Dobry ruter TP-LINK ...
· Modem 3G Huawei na t...
· Router pod stabilny ...
· Tomato by Shibby vs ...
· ASUS WL-520GU
· Siła sygnału modem LTE
· Brak komunikacji rou...
· Asus RT-N12 a wersja...
· [MOD] Tomato by kille72
· access point WAP 300...
· Jakie 2 routery do 1...
Najciekawsze tematy
· [MOD] Tomato by s... [13432]
· [MOD] Tomato by k... [578]
· Jak odratować NET... [154]
· Modem 3G Huawei n... [87]
· Asus RT-AC3200 - ... [58]
· Jak przenieść zmi... [33]
· Brak komunikacji ... [8]
· Siła sygnału mode... [6]
· Dobry ruter TP-LI... [5]
· Router pod stabil... [5]
· ASUS WL-520GU [5]
· Asus RT-N18U DD-W... [4]
· RT-AC5300 - stero... [4]
· Jakie 2 routery d... [4]
· [S] ASUS RT-AC68U [2]
· Tomato by Shibby ... [2]
· Wifi... zrywane p... [2]
Ankieta
Jaki procesor posiada twój router?

Broadcom MIPSEL
Broadcom MIPSEL
40% [121 głosów]

Broadcom ARM
Broadcom ARM
49% [147 głosów]

Atheros
Atheros
6% [17 głosów]

Marvell
Marvell
1% [4 głosów]

Ralink
Ralink
0% [1 głos]

Intel/AMD/VIA
Intel/AMD/VIA
1% [3 głosów]

Żaden z powyższych
Żaden z powyższych
3% [8 głosów]

Ogółem głosów: 301
Musisz zalogować się, aby móc zagłosować.
Rozpoczęto: 02/02/2015 09:38

Archiwum ankiet
Reklama
Twoje IP
107.22.63.172
Reklama
Zobacz temat
OpenLinksys » :: OPROGRAMOWANIE :: » Tomato - firmware
 Drukuj temat
Konfiguracja serwera openVPN na Tomato + generowanie kluczy na Windows + config dla klienta
Gomi
Poniższy wpis przygotowałem w formie tekstowej i starałem się opisać wszystko dokładnie i łopatologicznie.
Jest to mój pierwszy taki faq/manual. Dla mnie jest czytelny i zrozumiały. Nie dla wszystkich taki musi być, więc z miłą chęcią przeczytam Wasze uwagi i postaram się poprawić.
Konfigurację robiłem na czuja, mogłem więc popełnić jakieś błędy. Tak wiem, tutorial'e na ten temat już były, liczę jednak, że ten "po mojemu" komuś się przyda i ułatwi robotę.
Nie zanudzam dalej, przejdźmy do rzeczy...

Założenia - server openVPN (TUN) jako brama internetowa dla wielu klientów + dostęp do sieci LAN. Autoryzacja: klucze 2048, login i hasło

W poniższym opisie jak skonfigurować openVPN udział wezmą:
- router Asus AC68U z wgranym Tomato by Shibby Firmware 1.28.0000 -136 K26ARM USB AIO-64K / jako server openVPN
- komputer stacjonarny w Windows 10 x64 Pro / na którym zostaną wygenerowane klucze
- stary netbook z jeszcze starszym Windows XP Home, który posłuży jako testowy klient
* - powinno także działać na innych konfiguracjach

-=-=-=-=-=-
1. Logujemy się na router i przechodzimy do menu VPN Tunneling > OpenVPN Server

2. W zakładce Server 1 > Basic
ustawiamy:
- zaznaczamy "chcecker/kwadracik" - "Start with WAN"
- wybieramy - "Interface Type" TUN
- Protocol - UDP
- Port - wg uznania np. 40000
- Firewall - Automatic
- Authorization Mode - TLS
- Extra HMAC authorization (tls-auth) - Bi-directional
- VPN subnet/netmask - spokojnie można zostawić wybraną podsieć, ale musi być ona inna od własnej

SAVE - na dole strony

3. W zakładce Server 1 > Advanced
ustawiamy:
- Poll Interval - 0 (domyślnie)
- Push LAN to clients - zaznaczamy (chcemy dać dostęp klientom VPN do sieci lokalnej)
- Direct clients to redirect Internet traffic - zaznaczamy (chcemy by router stał się wyjściem na świat dla klientów)
- Respond to DNS - zaznaczamy
- Advertise DNS to clients - zaznaczamy (wymuś aby router był DNSem dla klientów)
- Encryption cipher - wybieramy z listy AES-256-CBC
- Compression - Disabled - można zmienić, ale ponoć czasem są problemy (w moim przypadku zostawiłem Disabled)
- TLS Renegotiation Time - domyślnie "-1"
- Manage Client-Specific Options - zaznaczamy (chcemy ustawić różne rzeczy dla klientów VPN)
- Allow Client<->Client - zaznaczamy (chcemy aby klienci VPN widzieli sie między sobą)
- Allow Only These Clients - tu można wpisać listę tylko dopuszczonych klientów (w przykładzie nie użyte)
- Allow User/Pass Auth - zaznaczamy (chcemy aby poza autoryzacją kluczami, klient musiał także wprowadzić login i hasło)
- w tabeli która się pojawi po zaznaczeniu wprowadzamy dane klientów do logowania, odpowiednio login i hasło
- Allow Only User/Pass(Without cert) Auth - nie zaznaczamy

SAVE - na dole strony

4. W zakładce Server 1 > Keys
trzeba w odpowiednie pola wprowadzić właściwe klucze.

Zanim je wprowadzimy trzeba je wygenerować i trzeba mieć czym.

W tym celu instalujemy pełną wersję openVPN dla Windows (w tym przykładzie openvpn-install-2.3.10-I603-x86_64.exe).
Aktualne wersje dostępne są tutaj - LINK.
Oczywiście trzeba pobrać odpowiednią wersję dla naszego Windowsa na którym będziemy generować klucze.
W trakcie instalacji zaznaczamy wszystkie możliwe składniki - bez nich nie zrobimy kluczy.

Jak już zainstalowaliśmy to przechodzimy w trybie ms-dos do C:\Program Files\OpenVPN\easy-rsa> i odpalamy !tylko 1 raz! init-config.bat / zrobi to kopię bezpieczeństwa vars.bat
Następnie otwieramy edytorem txt (np. notepad++) vars.bat i zmieniamy
set KEY_SIZE=1024 na 2048
2048 wydaje się pewniejsze niż 1024
set KEY_COUNTRY=wpisz_swoje
set KEY_PROVINCE=wpisz_swoje
set KEY_CITY=wpisz_swoje
set KEY_ORG=wpisz_swoje
set KEY_EMAIL=wpisz_swoje
set KEY_CN=wpisz_swoje
set KEY_NAME=wpisz_swoje
set KEY_OU=wpisz_swoje

Powyższa modyfikacja ułatwi nam dalszą generację kluczy i wypełnianie danych.

Następnie przechodzimy do generowania kluczy.

Na początek te które będzie trzeba umieścić na routerze przez GUI.
Pola w GUI uzupełniamy danymi tak by zaczynały się od -----BEGIN----- i kończyły na -----END-----.
(Podpisany certyfikat tych danych ma więcej i trzeba je wyjąć z całości.)

Poniżej lista pól (nazwy pól w nawiasach kwadratowych) z opisem jak wygenerować do nich klucze.

- [Static Key] - ta.key - generujemy w Windows poleceniem "openvpn --genkey --secret ta.key" (oczywiście trzeba być w katalogu gdzie jest openVPN jeśli nie działa w dowolnym miejscu)

- [Certificate Authority] - ca.crt - generujemy w windows korzystając z gotowych batchy
- vars.bat, clean-all.bat, build-ca.bat - odpalamy w tej kolejności, wszystkie znajdziemy w katalogu C:\Program Files\OpenVPN\easy-rsa>

- [Server Certificate] - server.crt - generujemy w windows korzystając ponownie z batcha
- build-key-server.bat server (gdyby coś nie szło trzeba odpalić vars i jeszcze raz powtórzyć)
W przypadku pytania czy podpisać ten certyfikat przez CA zgadzamy się. Z utworzonego pliku do pola w GUI ma trafić tylko część pomiędzy -----BEGIN CERTIFICATE----- i -----END CERTIFICATE-----.

- [Server Key] - server.key - uzyskamy go tworząc server.crt / patrz trochę wyżej

- [Diffie Hellman parameters] - dh2048.pem - tworzymy korzystając z batcha
- build-dh.bat / to chwilę potrwa


Po uzupełnieniu wszystkich 5 pól w GUI Tomato wygenerowanymi powyżej kluczami robimy ponownie...
SAVE - na dole strony

PO ZAPISANIU POWYŻSZEGO MOŻEMY JUŻ WYSTARTOWAĆ SERVER - NACISKAMY PRZYCISK "START NOW"
Jeśli wszystko zrobiliśmy poprawnie i nie wkradł się jakiś babol to server powinien ruszyć i można zobaczyć jego status w
Server 1 > Status

5. Generujemy klucze dla klienta (dla kolejnych klientów robi się tak samo tylko trzeba zmienić nazwę/numer klienta).
build-key.bat klient1
- utworzą nam się 3 pliki klient1.crt, klient1.csr (w zasadzie nie potrzebny w konfiguracji, połączeniu), klient1.key
Dane z pliku crt i key będą potrzebne do utworzenia configu, do połączenia.
* - klucze klientów muszą być podpisane przez CA, więc na pytanie czy podpisać odpowiadamy TAK

6. Tworzymy 1 plikowy config (plik) zawierający klucze o nazwie np. moj_router.ovpn (można tą nazwę zmienić na własną).
Plik dla powyższych ustawień powinien wyglądać tak.

client # tryb pracy
dev tun # rodzaj interfejsu, tun - działa jak router, tap - jak switch (bridge)
proto udp # rodzaj protokołu, UDP wydaje się lepszy do tej usługi
remote moj.ddns.pl (lub IP jeśli stałe) 40000 # adres routera/servera od strony WAN
nobind # nie otwiera portu po stronie klienta
auth-user-pass # autoryzacja dodatkowo po loginie i haśle
auth-nocache # klient nie cache'uje hasła - zwiększa bezpieczeństwo
remote-cert-tls server # zwiększa bezpieczeństwo klienta, ma chronić przed atakiem man in the middle
persist-key
persist-tun
cipher AES-256-CBC
keepalive 15 60
ping-timer-rem
verb 1
<ca>
-----BEGIN CERTIFICATE-----
ciąg znaków z plik ca.crt wygenerowanego w punkcie 4. / dokładnie ten sam co jest na routerze/serverze
-----END CERTIFICATE-----
</ca>
<cert>
całą zawartość pliku klient1.crt
</cert>
<key>
-----BEGIN PRIVATE KEY-----
ciąg znaków z pliku klient1.key / właściwy dla właściwego klienta
-----END PRIVATE KEY-----
</key>
<tls-auth>
-----BEGIN OpenVPN Static key V1-----
ciąg znaków z pliku ta.key wygenerowanego w punkcie 4. / dokładnie to samo co na serverze
-----END OpenVPN Static key V1-----
</tls-auth>


Tak przygotowany plik umieszczamy w:
C:\Program Files\OpenVPN\config>
* - lub w odpowiedniej lokalizacji gdzie zainstalowany jest klient openVPN
** - pliki takie działają poprawnie w android'owym kliencie openVPN connect, trzeba je tam zaimportować

7. Łączymy się klientem za pomocą innego dostawcy do internetu.
- Odpalamy OpenVPN GUI.
- Znajdujemy w zasobniku obok zegarka właściwą ikonkę, klikamy prawym myszy i klikamy połącz (jeśli jest więcej configów) to wybieramy właściwy i w nim odpalamy połącz

Powinno działać.
Edytowane przez Gomi dnia 03-06-2016 16:50
 
Jacek5
Podziekował. W wolnym czasie w koncu skonfiguruje... Smile
Asus RT-AC56U @1200,666 + Tomato 138 AIO
GPON 75/75
ASUS RT-N16 + Tomato 132 AIO
Multimedia 60Mb/3
 
damianssj661
Dzięki!
Parę razy się do tego przymierzałem ale po pierwszym błędzie przestawało mi się chcieć a teraz poszło
ASUS RT-AC56U
 
Jacek5
Czy powyzszy sposob konfiguracji, bedzie wlasciwy dla jednoczesnego laczenia sie z komputera oraz innego routera, z tak wlasnie skonfogurowanym routerem glownym?

Połączony z 06 styczeń 2017 00:03:56:
Nie idzie załaczyc serwera....

W logach mam cos takiego:
Jan 6 00:02:17 unknown daemon.notice openvpn[16852]: OpenVPN 2.3.13 arm-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Nov 5 2016
Jan 6 00:02:17 unknown daemon.notice openvpn[16852]: library versions: OpenSSL 1.0.2j 26 Sep 2016, LZO 2.09
Jan 6 00:02:17 unknown daemon.notice openvpn[16855]: PLUGIN_INIT: POST /lib/openvpn_plugin_auth_nvram.so '[/lib/openvpn_plugin_auth_nvram.so] [vpn_server1_users_val]' intercepted=PLUGIN_AUTH_USER_PASS_VERIFY
Jan 6 00:02:17 unknown daemon.err openvpn[16855]: OpenSSL: error:0906D06C:lib(9):func(109):reason(108)
Jan 6 00:02:17 unknown daemon.err openvpn[16855]: Cannot load DH parameters from dh.pem
Jan 6 00:02:17 unknown daemon.notice openvpn[16855]: Exiting due to fatal error

Połączony z 06 styczeń 2017 00:44:10:
Nie bardzo wiem, gdzie moze tkwic problem, bo probowalem parokrotnie...

Przy tworzeniu certyfikatów, zauwazyłem, ze p owpisaniu polecenia:

C:\Program Files\OpenVPN\easy-rsa>build-key-server.bat server

Pojawia sie taki komunikator
Pobierz kod źródłowy  Kod źródłowy
WARNING: can't open config file: /etc/ssl/openssl.cnf




jak rowniez po wklepaniu "build-key-server.bat server" przy nazwie "commonName" domyslnie wskakuje nazwa 'serwer', pomimo, ze uzywałem pisanej przez v...

Ogolnie nie mam pojecia :) Delikatnie sugerowałem sie innymi poradnikami ale wciaz nie tak...
Edytowane przez Jacek5 dnia 06-01-2017 00:44
Asus RT-AC56U @1200,666 + Tomato 138 AIO
GPON 75/75
ASUS RT-N16 + Tomato 132 AIO
Multimedia 60Mb/3
 
hermes-80
Polecam bezproblemowa generacje kluczy na Live CD (Backtrack 4, Kali - itd).
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
 
Jacek5
Nie zaktualizowalem swojego poprzedniego posta. Nie poajwia sie juz komunikat" WARNING: can't open config fileFrownetc/ssl/openssl.cnf", Pomoglo, z tego co pamietam, okreslenie w pliku nazwy serwera.... Naprawde tuoriale sa dla ludzi dosc bieglych, nie majac pewnego wyczucia, troche mocno trzeba sie poglowic. Tak czy siak, dupa... Dalej nie działa.

Zainstalowałem KALI na virtualbox. Korzystajac z poradnika
http://kb.rootbox.com/instalacja-i-konfiguracja-openvpn-serwerklient/
Natrafiłem szybko na jeden z komunikatow.. No such file or directory.

Nie mam szczescia do linuxa.... A naprawde wklejam jak jest w tuorialu. Openvpn zainstalowałem ale dalej juz sie pieprzy.

Moglbym skorzystac z tuoriala shibbiego, ale coz, pare lat mineło, ten jest juz w tomato i wymaga niby szybkiej konfiguracji.. Wink Jest jakis nowszy, ale bez dzialajacych grafik, screenow, co juz mnie zniecheca, bo nie mam sil do glowkowania, co autor mial na mysli.

Powyzsza instrukcja wydaje sie cieakwa, ale co zrobic.... Wciaz nie tak. Pomyslałem, ze byc moze brakuje pamieci w NVRAM. Nie wiem....

Połączony z 07 styczeń 2017 01:30:17:
Dzis sie udalo.. Jedna z roznic to taka, ze wklejałem klucze z tymi opisami gdzie zaczyna i konczy sie dany klucz, oraz instalowałem dzis Entware..... testowałem na lapie podalczonym z telefonu i predkosc byla maaaks do 1Mega. Mam nadzieje, ze z laczami z podpisue, bedzie w miare przywoicie Wink

Jeszcze raz dzieki za tuoriala
Edytowane przez Jacek5 dnia 07-01-2017 01:30
Asus RT-AC56U @1200,666 + Tomato 138 AIO
GPON 75/75
ASUS RT-N16 + Tomato 132 AIO
Multimedia 60Mb/3
 
ghost123
3. W zakładce Server 1 > Advanced
ustawiamy:
- Poll Interval - 0 (domyślnie)
- Push LAN to clients - zaznaczamy (chcemy dać dostęp klientom VPN do sieci lokalnej)
- Direct clients to redirect Internet traffic - zaznaczamy (chcemy by router stał się wyjściem na świat dla klientów)
- Respond to DNS - zaznaczamy
- Advertise DNS to clients - zaznaczamy (wymuś aby router był DNSem dla klientów)
- Encryption cipher - wybieramy z listy AES-256-CBC
- Compression - Disabled - można zmienić, ale ponoć czasem są problemy (w moim przypadku zostawiłem Disabled)
- TLS Renegotiation Time - domyślnie "-1"
- Manage Client-Specific Options - zaznaczamy (chcemy ustawić różne rzeczy dla klientów VPN)
- Allow Client<->Client - zaznaczamy (chcemy aby klienci VPN widzieli sie między sobą)
- Allow Only These Clients - tu można wpisać listę tylko dopuszczonych klientów (w przykładzie nie użyte)
- Allow User/Pass Auth - zaznaczamy (chcemy aby poza autoryzacją kluczami, klient musiał także wprowadzić login i hasło)
- w tabeli która się pojawi po zaznaczeniu wprowadzamy dane klientów do logowania, odpowiednio login i hasło
- Allow Only User/Pass(Without cert) Auth - nie zaznaczamy

SAVE - na dole strony


Ostatnio bawiłem się OpenVPN i wynikł mi problem. Na niektórych klientach chciałem aby serwer był wyjściem na świat, w innych nie.
Rozwiązaniem jest odznaczenie opcji Direct clients to redirect Internet traffic i dopisanie opcji redirect-gateway def1 w pliku konfiguracyjnym klienta.
Jeśli opcja jest aktywna internet jest przekierowany z serwera jeśli zahaszowana internet mamy lokalnie.
Może komuś się przyda.
R6400
 
Przejdź do forum:
Logowanie
Nazwa użytkownika

Hasło



Nie masz jeszcze konta?
Zarejestruj się

Nie możesz się zalogować?
Poproś o nowe hasło
Aktualnie online
· Gości online: 11

· Użytkowników online: 0

· Łącznie użytkowników: 23,530
· Najnowszy użytkownik: autoataczek
Shoutbox
Musisz zalogować się, aby móc dodać wiadomość.

autoataczek
25-06-2017 22:17

kille72
25-06-2017 12:35
Pfft

RaTaJ
25-06-2017 12:34
windows 10 będzie otwarty jak linux

majkel152
24-06-2017 12:35

b3rok
23-06-2017 11:55
Nice Smile, a kiedy build 2017.2?

kille72
23-06-2017 11:48
Mam juz w repo 2.4.3: https://bitbucket.
..ommits/all

b3rok
23-06-2017 11:42
https://www.dobre.
..81781.html
najnowsze Tomato ma OpenVPN 2.4.1, a bezpieczne jest 2.4.3...

RaTaJ
23-06-2017 09:50
robili promocje i pewnie sie pomylili

overflow2
23-06-2017 08:50
strona została wciągnięta

mhc3600
22-06-2017 23:49
ASUS rt-n18u za 129zł +10 zł kurier na https://www.neonet
.pl/wyprzedaz-asus
-rt-n18u.html#opis
-produktu1

gabrychu
16-06-2017 14:16
https://niebezpiec
znik.pl/post/40-ro
uterow-asusa-jest-
powaznie-dziurawyc
h/

jurekk
11-06-2017 23:42
i tesciowa moze wydzwaniac w darmowe noce i poranki czy jak sie to zowie hehe

jurekk
11-06-2017 23:40
@cek149 tak pare lat temu staruszka fritza 7050 kupilem na aledrogo i smiga aczkolwiek teraz w tomato trzeba otwierać porty orz zaznaczać ptaszki w sekcji uPnP bo Shibby dla bezpieczeństwa trochę powy

servee
11-06-2017 13:09
@cek149 ja tak mam i śmiga aż miło od paru lat. Dodatkowo główny router za NAT-em. Jedynie z Halonet jakieś problemy miałem i tego operatora nie używam.

cek149
10-06-2017 17:44
jurekk, mówisz, że VOIP na Fritz! Box Fon może pracować wpięty do LAN ? i zachowa pełną funkcjonalność VOIP ?

jurekk
08-06-2017 17:58
a co szkodziło go zostawić i używać ekstra tylko do voip ja tak mam np. wpiety do lanu podstawowego routera

cek149
08-06-2017 11:19
p4v3u, Fritz'a odradzam. Trenowałem Fritz! Box Fon na neostradzie przez chyba ze 2 lata, ze względu na VOIP. Wywaliłem Fritz'a, niestety również VOIP. Teraz jest modem w bridge i do routera.

32,551,333 unikalne wizyty