OpenVPN - conexao instavel

1. OpenVPN - conexao instavel

Brena Isabeli
brebreone

(usa Ubuntu)

Enviado em 13/09/2017 - 11:45h

Olà !

Eu estou configurando no cliente, mas a conexao fica nessas... Alguém pode me ajudar, por favor?

o comando é
sudo openvpn --config client1.ovpn 


e aqui o output

Wed Sep 13 16:35:25 2017 OpenVPN 2.3.10 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Jun 22 2017
Wed Sep 13 16:35:25 2017 library versions: OpenSSL 1.0.2g 1 Mar 2016, LZO 2.08
Wed Sep 13 16:35:25 2017 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Wed Sep 13 16:35:25 2017 Control Channel Authentication: tls-auth using INLINE static key file
Wed Sep 13 16:35:25 2017 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Wed Sep 13 16:35:25 2017 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Wed Sep 13 16:35:25 2017 Socket Buffers: R=[87380->87380] S=[16384->16384]
Wed Sep 13 16:35:25 2017 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Wed Sep 13 16:35:25 2017 Attempting to establish TCP connection with [AF_INET]192.xxx.x.xx:443 [nonblock]
Wed Sep 13 16:35:25 2017 TCP connection established with [AF_INET]192.xxx.x.xx:443
Wed Sep 13 16:35:25 2017 TCPv4_CLIENT link local: [undef]
Wed Sep 13 16:35:25 2017 TCPv4_CLIENT link remote: [AF_INET]192.xxx.x.xx:443
Wed Sep 13 16:35:25 2017 Connection reset, restarting [0]
Wed Sep 13 16:35:25 2017 SIGUSR1[soft,connection-reset] received, process restarting
Wed Sep 13 16:35:25 2017 Restart pause, 5 second(s)


e ele continua assim...


  


2. Re: OpenVPN - conexao instavel

Leandro Silva
LSSilva

(usa Outra)

Enviado em 13/09/2017 - 20:19h

brebreone escreveu:

Olà !

Eu estou configurando no cliente, mas a conexao fica nessas... Alguém pode me ajudar, por favor?

o comando é
sudo openvpn --config client1.ovpn 


e aqui o output

Wed Sep 13 16:35:25 2017 OpenVPN 2.3.10 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Jun 22 2017
Wed Sep 13 16:35:25 2017 library versions: OpenSSL 1.0.2g 1 Mar 2016, LZO 2.08
Wed Sep 13 16:35:25 2017 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Wed Sep 13 16:35:25 2017 Control Channel Authentication: tls-auth using INLINE static key file
Wed Sep 13 16:35:25 2017 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Wed Sep 13 16:35:25 2017 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Wed Sep 13 16:35:25 2017 Socket Buffers: R=[87380->87380] S=[16384->16384]
Wed Sep 13 16:35:25 2017 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Wed Sep 13 16:35:25 2017 Attempting to establish TCP connection with [AF_INET]192.xxx.x.xx:443 [nonblock]
Wed Sep 13 16:35:25 2017 TCP connection established with [AF_INET]192.xxx.x.xx:443
Wed Sep 13 16:35:25 2017 TCPv4_CLIENT link local: [undef]
Wed Sep 13 16:35:25 2017 TCPv4_CLIENT link remote: [AF_INET]192.xxx.x.xx:443
Wed Sep 13 16:35:25 2017 Connection reset, restarting [0]
Wed Sep 13 16:35:25 2017 SIGUSR1[soft,connection-reset] received, process restarting
Wed Sep 13 16:35:25 2017 Restart pause, 5 second(s)


e ele continua assim...


Aparente conflito de chaves. Tente usar a opção "duplicate-cn" para aceitar uso de chaves repetidas, apesar de não ser recomendado. Se resolver paleativamente, já sabe onde corrigir.



3. Re: OpenVPN - conexao instavel

Brena Isabeli
brebreone

(usa Ubuntu)

Enviado em 14/09/2017 - 04:36h

Oi LSSilva, obrigada por responder.

eu descomentei duplicate-cn na configuraçao do server
sudo nano /etc/openvpn/server.conf 


mas o problema persiste :
Thu Sep 14 09:32:03 2017 OpenVPN 2.3.10 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Jun 22 2017
Thu Sep 14 09:32:03 2017 library versions: OpenSSL 1.0.2g 1 Mar 2016, LZO 2.08
Thu Sep 14 09:32:03 2017 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Thu Sep 14 09:32:03 2017 Control Channel Authentication: tls-auth using INLINE static key file
Thu Sep 14 09:32:03 2017 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Thu Sep 14 09:32:03 2017 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Thu Sep 14 09:32:03 2017 Socket Buffers: R=[87380->87380] S=[16384->16384]
Thu Sep 14 09:32:03 2017 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Thu Sep 14 09:32:03 2017 Attempting to establish TCP connection with [AF_INET]192.168.0.25:443 [nonblock]
Thu Sep 14 09:32:03 2017 TCP connection established with [AF_INET]192.168.0.25:443
Thu Sep 14 09:32:03 2017 TCPv4_CLIENT link local: [undef]
Thu Sep 14 09:32:03 2017 TCPv4_CLIENT link remote: [AF_INET]192.168.0.25:443
Thu Sep 14 09:32:03 2017 Connection reset, restarting [0]
Thu Sep 14 09:32:03 2017 SIGUSR1[soft,connection-reset] received, process restarting
Thu Sep 14 09:32:03 2017 Restart pause, 5 second(s)


alguma outra sugestão? poderia ser o fornecedor da internet? Meu router esta configurado para aceitar conexoes VPN


4. Re: OpenVPN - conexao instavel

Leandro Nascimento de Souza
spikey

(usa Debian)

Enviado em 14/09/2017 - 08:33h

Já passei por um caso onde somente funcionou corretamente via protocolo TCP, com certeza era problema no link mas foi a melhor solução no momento do problema.


5. Re: OpenVPN - conexao instavel

Leandro Silva
LSSilva

(usa Outra)

Enviado em 14/09/2017 - 09:01h

brebreone escreveu:

Oi LSSilva, obrigada por responder.

eu descomentei duplicate-cn na configuraçao do server
sudo nano /etc/openvpn/server.conf 


mas o problema persiste :
Thu Sep 14 09:32:03 2017 OpenVPN 2.3.10 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Jun 22 2017
Thu Sep 14 09:32:03 2017 library versions: OpenSSL 1.0.2g 1 Mar 2016, LZO 2.08
Thu Sep 14 09:32:03 2017 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Thu Sep 14 09:32:03 2017 Control Channel Authentication: tls-auth using INLINE static key file
Thu Sep 14 09:32:03 2017 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Thu Sep 14 09:32:03 2017 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Thu Sep 14 09:32:03 2017 Socket Buffers: R=[87380->87380] S=[16384->16384]
Thu Sep 14 09:32:03 2017 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Thu Sep 14 09:32:03 2017 Attempting to establish TCP connection with [AF_INET]192.168.0.25:443 [nonblock]
Thu Sep 14 09:32:03 2017 TCP connection established with [AF_INET]192.168.0.25:443
Thu Sep 14 09:32:03 2017 TCPv4_CLIENT link local: [undef]
Thu Sep 14 09:32:03 2017 TCPv4_CLIENT link remote: [AF_INET]192.168.0.25:443
Thu Sep 14 09:32:03 2017 Connection reset, restarting [0]
Thu Sep 14 09:32:03 2017 SIGUSR1[soft,connection-reset] received, process restarting
Thu Sep 14 09:32:03 2017 Restart pause, 5 second(s)


alguma outra sugestão? poderia ser o fornecedor da internet? Meu router esta configurado para aceitar conexoes VPN


Então, poderia postar server.conf e o client.conf?

Você está testando na mesma rede? Pois pelo log ele tenta conectar em um endereço de NAT (local), classe C.

Nas configurações do client.conf(ou client.ovpn), tem que estar habilitado para o ip de internet do servidor:

Tipo:
remote "ip de internet do servidor" "porta"
exemplo:
remote 177.85.8.22 1194

E tem que certificar que há direcionamento no router de borda da sua rede para o servidor de VPN nesta porta.

Para testar conectividade na porta pode usar algum site, tipo T1shopper (http://www.t1shopper.com/tools/port-scan/) ou telnet mesmo (telnet "ip do servidor" "porta").


6. Re: OpenVPN - conexao instavel

Brena Isabeli
brebreone

(usa Ubuntu)

Enviado em 14/09/2017 - 16:23h

spikey escreveu:

Já passei por um caso onde somente funcionou corretamente via protocolo TCP, com certeza era problema no link mas foi a melhor solução no momento do problema.


eu jà estou usando port 443 TCP...e tb ja tentei 1194 UDP que nao chega nem a estabelecer conexao.

Oi LLSilva, vou postar
 server.conf

;local a.b.c.d
port 443
;proto udp
proto tcp
;dev tap
dev tun
;dev-node MyTap
ca ca.crt
cert server.crt
key server.key # This file should be kept secret
dh dh2048.pem
;topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100
;server-bridge
;push "route 192.168.10.0 255.255.255.0"
;push "route 192.168.20.0 255.255.255.0"
;client-config-dir ccd
;route 192.168.40.128 255.255.255.248
;client-config-dir ccd
;route 10.9.0.0 255.255.255.252
;learn-address ./script
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
;client-to-client
duplicate-cn
keepalive 10 120
tls-auth ta.key 0 # This file is secret
key-direction 0
;cipher BF-CBC # Blowfish (default)
cipher AES-128-CBC # AES
;cipher DES-EDE3-CBC # Triple-DES
auth SHA256
comp-lzo
;max-clients 100
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
;log openvpn.log
;log-append openvpn.log
verb 3
;mute 20


Eu acabei percebendo que tenho 3 arquivos client1.ovpn no usuario cliente. Preciso deixar todos iguais ou deleto os outros? Este que copiei é o que tenho trabalhado.
client.ovpn

client
;dev tap
dev tun
;dev-node MyTap
;proto udp
proto tcp
remote 192.168.0.25 443
;remote 192.168.0.25 443
;remote-random
resolv-retry infinite
nobind
user nobody
group nogroup
persist-key
persist-tun
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]
;mute-replay-warnings
#ca ca.crt
#cert client.crt
#key client.key
remote-cert-tls server
;tls-auth ta.key 1
cipher AES-128-CBC
auth SHA256
key-direction 1
script-security 2
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf
comp-lzo
verb 3
;mute 20
<ca>
#Depois vem certificado e chave etc...


O "ip de internet do servidor" eu coloquei i IP do meu pc, certo? E quando eu mudar de internet (casa-trabalho) eu preciso atualizar manualmente pq o ip muda. No caso eu estou testando sempre na mesma conexao. Pq eu compreendi que o servidor é o server que eu instalei na minha maquina. Eu tenho um usuario server e um usuario cliente no mesmo computador.
Tipo:
remote "ip de internet do servidor" "porta"
exemplo:
remote 177.85.8.22 1194

Aqui o resultado do telnet 192.168.0.25 443
Trying 192.168.0.25...
Connected to 192.168.0.25.
Escape character is '^]'.
^CConnection closed by foreign host.


Obrigada !!


7. Re: OpenVPN - conexao instavel

Leandro Nascimento de Souza
spikey

(usa Debian)

Enviado em 14/09/2017 - 16:31h

É um link corporativo? Se não recomendo usar uma porta alta, pois as operadoras bloqueiam portas privilegiadas como por exemplo a 443.


8. Re: OpenVPN - conexao instavel

Brena Isabeli
brebreone

(usa Ubuntu)

Enviado em 14/09/2017 - 16:34h

spikey escreveu:

É um link corporativo? Se não recomendo usar uma porta alta, pois as operadoras bloqueiam portas privilegiadas como por exemplo a 443.


Oi Spikey, nao é corporativo, é de casa mesmo. Eu testei a 1194 mas nem fez conexao...


9. Re: OpenVPN - conexao instavel

Leandro Nascimento de Souza
spikey

(usa Debian)

Enviado em 14/09/2017 - 16:41h

brebreone escreveu:

spikey escreveu:

É um link corporativo? Se não recomendo usar uma porta alta, pois as operadoras bloqueiam portas privilegiadas como por exemplo a 443.


Oi Spikey, nao é corporativo, é de casa mesmo. Eu testei a 1194 mas nem fez conexao...


Faz o seguinte, você pode monitorar com o tcpdump uma porta alta específica, como 55000 por exemplo. Envia requisições via telnet e se chegar algo no servidor troque para a porta que estiver aceitando as conexões.


10. Re: OpenVPN - conexao instavel

Leandro Silva
LSSilva

(usa Outra)

Enviado em 14/09/2017 - 17:44h

brebreone escreveu:

spikey escreveu:

Já passei por um caso onde somente funcionou corretamente via protocolo TCP, com certeza era problema no link mas foi a melhor solução no momento do problema.


eu jà estou usando port 443 TCP...e tb ja tentei 1194 UDP que nao chega nem a estabelecer conexao.

Oi LLSilva, vou postar
 server.conf

;local a.b.c.d
port 443
;proto udp
proto tcp
;dev tap
dev tun
;dev-node MyTap
ca ca.crt
cert server.crt
key server.key # This file should be kept secret
dh dh2048.pem
;topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100
;server-bridge
;push "route 192.168.10.0 255.255.255.0"
;push "route 192.168.20.0 255.255.255.0"
;client-config-dir ccd
;route 192.168.40.128 255.255.255.248
;client-config-dir ccd
;route 10.9.0.0 255.255.255.252
;learn-address ./script
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
;client-to-client
duplicate-cn
keepalive 10 120
tls-auth ta.key 0 # This file is secret
key-direction 0
;cipher BF-CBC # Blowfish (default)
cipher AES-128-CBC # AES
;cipher DES-EDE3-CBC # Triple-DES
auth SHA256
comp-lzo
;max-clients 100
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
;log openvpn.log
;log-append openvpn.log
verb 3
;mute 20


Eu acabei percebendo que tenho 3 arquivos client1.ovpn no usuario cliente. Preciso deixar todos iguais ou deleto os outros? Este que copiei é o que tenho trabalhado.
client.ovpn

client
;dev tap
dev tun
;dev-node MyTap
;proto udp
proto tcp
remote 192.168.0.25 443
;remote 192.168.0.25 443
;remote-random
resolv-retry infinite
nobind
user nobody
group nogroup
persist-key
persist-tun
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]
;mute-replay-warnings
#ca ca.crt
#cert client.crt
#key client.key
remote-cert-tls server
;tls-auth ta.key 1
cipher AES-128-CBC
auth SHA256
key-direction 1
script-security 2
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf
comp-lzo
verb 3
;mute 20
<ca>
#Depois vem certificado e chave etc...


O "ip de internet do servidor" eu coloquei i IP do meu pc, certo? E quando eu mudar de internet (casa-trabalho) eu preciso atualizar manualmente pq o ip muda. No caso eu estou testando sempre na mesma conexao. Pq eu compreendi que o servidor é o server que eu instalei na minha maquina. Eu tenho um usuario server e um usuario cliente no mesmo computador.
Tipo:
remote "ip de internet do servidor" "porta"
exemplo:
remote 177.85.8.22 1194

Aqui o resultado do telnet 192.168.0.25 443
Trying 192.168.0.25...
Connected to 192.168.0.25.
Escape character is '^]'.
^CConnection closed by foreign host.


Obrigada !!


Deixa só 1 arquivo (ovpn) mesmo no cliente. É linux ou windows o cliente? Se for linux renomeia pra *.conf, exemplo: mv cliente1.ovpn client1.conf e deixa somente um arquivo.

Uma coisa:
Na configuração do servidor:
ao invés de: proto tcp
use : proto tcp-server

no cliente use: proto tcp-client.

Testa pra gente.


11. Re: OpenVPN - conexao instavel

Leandro Nascimento de Souza
spikey

(usa Debian)

Enviado em 14/09/2017 - 18:36h

Umas sugestões:

Mude a porta para 1194 e protocolo TCP
Se a conexäo com o servidor ëcom ip dinâmico, sem problemas. Basta utilizar a opção float que o próprio OpenVPN se encarrega de atualizar o ip.


12. Re: OpenVPN - conexao instavel

Brena Isabeli
brebreone

(usa Ubuntu)

Enviado em 15/09/2017 - 06:38h

LSSilva escreveu:

Deixa só 1 arquivo (ovpn) mesmo no cliente. É linux ou windows o cliente? Se for linux renomeia pra *.conf, exemplo: mv cliente1.ovpn client1.conf e deixa somente um arquivo.

Uma coisa:
Na configuração do servidor:
ao invés de: proto tcp
use : proto tcp-server

no cliente use: proto tcp-client.

Testa pra gente.


Apaguei os outros arquivos e renomeei para client1.conf, também fiz as alterações que sugeriu.
No comando:
sudo openvpn --config client1.conf 

Reaparece:
Fri Sep 15 11:23:58 2017 OpenVPN 2.3.10 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Jun 22 2017
Fri Sep 15 11:23:58 2017 library versions: OpenSSL 1.0.2g 1 Mar 2016, LZO 2.08
Fri Sep 15 11:23:58 2017 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Fri Sep 15 11:23:58 2017 Control Channel Authentication: tls-auth using INLINE static key file
Fri Sep 15 11:23:58 2017 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Fri Sep 15 11:23:58 2017 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Fri Sep 15 11:23:58 2017 Socket Buffers: R=[87380->87380] S=[16384->16384]
Fri Sep 15 11:23:58 2017 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Fri Sep 15 11:23:58 2017 Attempting to establish TCP connection with [AF_INET]192.168.0.25:443 [nonblock]
Fri Sep 15 11:23:58 2017 TCP connection established with [AF_INET]192.168.0.25:443
Fri Sep 15 11:23:58 2017 TCPv4_CLIENT link local: [undef]
Fri Sep 15 11:23:58 2017 TCPv4_CLIENT link remote: [AF_INET]192.168.0.25:443
Fri Sep 15 11:23:58 2017 Connection reset, restarting [0]
Fri Sep 15 11:23:58 2017 SIGUSR1[soft,connection-reset] received, process restarting
Fri Sep 15 11:23:58 2017 Restart pause, 5 second(s)
Fri Sep 15 11:24:03 2017 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Fri Sep 15 11:24:03 2017 Socket Buffers: R=[87380->87380] S=[16384->16384]
Fri Sep 15 11:24:03 2017 Attempting to establish TCP connection with [AF_INET]192.168.0.25:443 [nonblock]



spikey:
Mude a porta para 1194 e protocolo TCP
Se a conexäo com o servidor ëcom ip dinâmico, sem problemas. Basta utilizar a opção float que o próprio OpenVPN se encarrega de atualizar o ip.

Aonde eu uso o --float? no comando?

Após o teste de LLSilva, eu alterei para 1194 e protocolo TCP e aqui está o resultado:
Fri Sep 15 11:33:21 2017 OpenVPN 2.3.10 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Jun 22 2017
Fri Sep 15 11:33:21 2017 library versions: OpenSSL 1.0.2g 1 Mar 2016, LZO 2.08
Fri Sep 15 11:33:21 2017 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Fri Sep 15 11:33:21 2017 Control Channel Authentication: tls-auth using INLINE static key file
Fri Sep 15 11:33:21 2017 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Fri Sep 15 11:33:21 2017 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Fri Sep 15 11:33:21 2017 Socket Buffers: R=[87380->87380] S=[16384->16384]
Fri Sep 15 11:33:21 2017 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Fri Sep 15 11:33:21 2017 Attempting to establish TCP connection with [AF_INET]192.168.0.25:1194 [nonblock]
Fri Sep 15 11:33:21 2017 TCP: connect to [AF_INET]192.168.0.25:1194 failed, will try again in 5 seconds: Connection refused

Vou voltar para 443 que está tendo mais sucesso !






01 02



Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts