Open VPN

mashinepistole2

Myslim ze by ti mohol pomoct ok2slc , alebo ta zase odkaze na manual :

ok2slc

ok boss , mal by si tu robit moderatora , urobis tu s kazdym takym ako ja poriadok : Este raz , myslel som PPPoE ako alternativu namiesto VPN . Mysli si niekto ze je PPPoE overovane freerdiusom blbost ? Ak sa zda adminovy alebo moderatorovy ze som nepisal k teme , kludne moze moje prispevky zmazat , no problem .

Ne, rozhodne si nemyslim, ze PPPoE overovany pres radius je blbost, ale OVPN to proste neni. Navrhuji primeri, jinak si takto muzeme dopisovat docela dlouho.

Co se tyka toho OVPN, pokusim se zitra v praci udelat demo RB a vcetne certifikatu to zpristupnit.

mashinepistole2

ok boss , mal by si tu robit moderatora , urobis tu s kazdym takym ako ja poriadok : Este raz , myslel som PPPoE ako alternativu namiesto VPN . Mysli si niekto ze je PPPoE overovane freerdiusom blbost ? Ak sa zda adminovy alebo moderatorovy ze som nepisal k teme , kludne moze moje prispevky zmazat , no problem .

Ne, rozhodne si nemyslim, ze PPPoE overovany pres radius je blbost, ale OVPN to proste neni. Navrhuji primeri, jinak si takto muzeme dopisovat docela dlouho.

Co se tyka toho OVPN, pokusim se zitra v praci udelat demo RB a vcetne certifikatu to zpristupnit.

Ok , primerie 8) . Samozrejme kazdemu vyhovuje nieco ine ja budem asi prehadzovat userov na PPPoE vs radius . Aku vyhodu poskytuje OVPN oproti PPPoE/radius ? Netreba to potom nastavovat na kazdom apecku zvlast pre kazdeho klienta ? Pri radiuse v podstate na apecku nemusim robit nic , iba vytvorit v mysql databaze klientovy ucet meno/heslo, pripadne dat overit MAC , pridas este nejake reply atributy na pridelenie IP a nastavenie squeue .

mira_mo

Povedlo se ti udělat to open VPN a dáš demo přístup?

ok boss , mal by si tu robit moderatora , urobis tu s kazdym takym ako ja poriadok : Este raz , myslel som PPPoE ako alternativu namiesto VPN . Mysli si niekto ze je PPPoE overovane freerdiusom blbost ? Ak sa zda adminovy alebo moderatorovy ze som nepisal k teme , kludne moze moje prispevky zmazat , no problem .

Ne, rozhodne si nemyslim, ze PPPoE overovany pres radius je blbost, ale OVPN to proste neni. Navrhuji primeri, jinak si takto muzeme dopisovat docela dlouho.

Co se tyka toho OVPN, pokusim se zitra v praci udelat demo RB a vcetne certifikatu to zpristupnit.

ok2slc

Vydrž, pracuji na tom, z nějakého pro mě zatím neznámého důvodu mi nefunguje na té demo RB411 setting "require-client-certificate=yes", ale na všech ostatních MK které spravuji to funguje. :? Dokonce to funguje i na mé domácí RB411, takže je to buď nějakej vadnej kus a nebo to má ještě vazbu na jiné nastavení systému. Dnes budu mít k dispozici RB333, takže doufám že odpoledne by to už mohlo být rozchozený.

mira_mo

OK díky.... :)

ok2slc

Tak už jsem chybu našel, byla jako obvykle na osmé vrstvě...

Demo MK je na 195.39.106.246

a certifikáty včetně dávkového souboru jsou na http://ok2slc.cz/downloads/test.zip.

Pokud obdržíte ip 10.254.254.254 tak jste zvítězili :).

schneiderf

Pomocí jaké utilitky jsi ty certifikáty udělal? Prosim kraťoučký popisek, stačí nakopnout. A nezkoušel někdo rozjet ověřování OVPN klientů proti Mikrotiku s radiusem? Mi se to nějak nedaří. PPPoE, PPtP a L2tP jede v pohodě. Díky.

j4kub

ja som si vytvoril certifikaty na linuxe,

len teraz neviem co mam s nimi spravit

mam 4 subory:

cert.pem

key.pem

openssl

request.pem

poradi mi prosim niekto?

mira_mo

tak já tomu nějak nerozumím tomu demu :-(

mira_mo

Nemělo by tam být ještě něco jako tap?

ok2slc

No ono to tam je, akorát se to nejmenuje TUN/TAP, ale IP/ETHERNET. Obecně je TUN je pro vytvoření tunelu na L3 a TAP je pro L2. Doporučuji se podívat na http://devitka.sh.cvut.cz/~oskar/stah/OpenVPN.pdf kde je to srozumitelně popsáno.

ok2slc

ja som si vytvoril certifikaty na linuxe,

len teraz neviem co mam s nimi spravit

mam 4 subory:

cert.pem

key.pem

openssl

request.pem

poradi mi prosim niekto?

S linuxem ti moc neporadím, já generuji certifikáty v distribuci pro windows kde jsou v ..\OpenVPN\easy-rsa\ dávkové soubory a návod s přesným postupem jak na to.

marekpetr

Zdravim vas

tak se snazim vytvorit si vlastni certfikaty pro mk, ale nejak se mi nedari postupuji podle navodu v openvpn,ale nefunguji mi, asi delam neco spatne. Muze te popsat jak jste postupoval k vytvoreni certfikatu.

Ja podle navodu:

init-config.bat

1. vars

2. clean-all

Build a CA key (once only)

1. vars

2. build-ca

Build a DH file (for server side, once only)

1. vars

2. build-dh

Build a private key/certficate for the openvpn server

1. vars

2. build-key-server <machine-name>

Build key files in PEM format (for each client machine)

1. vars

2. build-key <machine-name>

(use <machine name> for specific name within script)

Pokud pouziji certifikaty ktere jste vygeneroval vy tak mi to vse funguje ... mozna by to zajimalo vice lidi.. diky za napovedu

ok2slc

Jen se zeptám zda při výměně certifikátů rebootujete MK ? Pokud si dobře vzpomínám, tak to vždy potřebovalo reboot.

Pokud by toto nepomohlo udělám malý video, ale můžu říct, že jinak než je postup v návodu to nedělám :).

marekpetr

myslim ze nekde delam chybu pri vyrobe tech certifikatu, vase jsou ve formatu (v souboru) jine nez co mi "leze" z openvpn pod win, kde mam server.crt s nulovou delkou tedy nic v nem neni, pokud jej generuji pomoci openssl http://www.root.cz/clanky/jak-na-openssl-2/ tedy "openssl x509 -in cert.pem -text > certifikat" pod linuxem tak dostanu stejny vypis jako vy, dostanu to i do mk, ale neudelam zase certifikat pro klienta ... snad nemotam jablka s hruskama

(vypis jsem zkratil - vas -client_test.crt)

Certificate:

Data:

Version: 3 (0x2)

x x

-----BEGIN CERTIFICATE-----

MIIDfjCCAuegAwIBAgIBAjANBgkqhkiG9w0BAQQFADCBgjELMAkGA1UEBhMCVVMx

-----END CERTIFICATE-----

kazdopadne by mi velice pomohl nejaky postup jak to vytvorit. Treba nekde delam uplne logickou chybu ale uz ji nejak po te dobe nevidim a stale ji opakuji .

EDIT:

Takze uz jsem se dostal dal, musi byt poctive vyplnena pole pri zadavani certifikatu, ale pri delani druheho certifikatu dojde k chybe ...

countryName :PRINTABLE:'CZ'

stateOrProvinceName :PRINTABLE:'CA'

localityName :PRINTABLE:'SanFrancisco'

organizationName :PRINTABLE:'FortFunston'

organizationalUnitName:PRINTABLE:'CZ'

commonName :PRINTABLE:'CZ'

emailAddress :IA5STRING:'mail@host.domain'

Certificate is to be certified until Nov 23 21:08:18 2018 GMT (3650 days)

Sign the certificate? [y/n]:y

failed to update database

TXT_DB error number 2

Jdu se poradit s googlem :

ok2slc

Je potřeba si dát pozor na commonName aby se neopakovala. Musí být pro každý certifikát jedinečná.

marekpetr

Dekuji za pomoc, problem byl v commonName : jiz vse bezi jak ma

ok2slc

Z toho si nic nedělejte, já jsem na této chybě taky strávil den než jsem na to přišel.

Ještě jedna dobrá rada, pokud používáte "require-client-certificate=yes" tak si zkontrolujte zda máte opravdu klientský certifikát vygenerovaný jako klientský a na serveru tak i klientovi nastaven platný čas a ne "zero time after reboot", protože pokud ano, tak platnost klientského certifikátu ještě nezačala... . A asi zřejmě jen pomocí doby platnosti lze na MK "zneplatňovat" klientské certifikáty.

h_rocky

Mel by jsem prosbu. Uspesne se mi povedlo podle vyse zminenych How-To rozbehat OpenVPN pod Mikrotikem. Ovsem, mam problem, po pripojeni nevidim vsechny PC v siti (nepingnu si na ne).

Client: WinXP

OpenVPN server: Mikrotik

IP VPN: 10.10.20.150

Local Lan: 192.168.1.0/24

Wan: 1.2.3.4

« Předchozí stránka Další stránka »