Adott egy pfsense 1.2.3 final, amin beallitottam az openvpn-t (legyartottam certificate-eket, stb, stb). Hozzaadtam a tuzfalhoz egy szabalyt, ami tcp/udp 1194-et engedelyezi befele. Ha az openvpn-t tcp-re allitom, tokeletesen mukodik (kicsit lassu), viszont ha udp-n van, akkor 60 masodperc utan elszall idotullepessel es nem tudok csatlakozni.
Annyi trukk van a dologban, hogy a tuzfalban 2 internetkapcsolat van, van egy adsl + egy kabeles, ezek ugy vannak beallitva, hogy ha nincs kapcsolat a kabelen, akkor atall az adsl-re es 30 masodpercenkent nezi, hogy visszajott-e mar a kabel, ha igen, akkor visszaall (emiatt nincs is default route, de megy szepen minden). Valakinek barmilyen otlet?
- 175710 megtekintés
Hozzászólások
Nekünk is volt ilyen bajunk.
Váltttunk softveres tűzfalról HW tűzfalra SW (linux alapúval ment gyönyrűen UDP-n) HW tűzfal -al csak TCP ment, UDP mindg megszakadt.
Nem oldotta meg semmi sem.
Maradt a TCP.
- A hozzászóláshoz be kell jelentkezni
Detto, egyszercsak megallt az udp-s mukodik.
Mondjuk en sokat nem veszodtem vele. Lett tcp, aztan pa'. Most mar alapbol tcp-re allitom.
t
- A hozzászóláshoz be kell jelentkezni
Sokat gondolkodtam rajta és valahol a NAT és valamilyen csomag timeout környékén lehet a megoldás.
- A hozzászóláshoz be kell jelentkezni
mi is szarakodtunk sokat 2-3 éve openvpn+UDP-vel, mindig az lett a vége h. visszaálltunk TCP-re mert az UDP maximálisan használhatatlanul instabil volt és folyton megszakadt. A TCP-n viszont lassabb, a VOIP-hoz kifejezetten szar (remote siteok között) mert TCP lévén újraküldés kell ha csomagvesztés volt (jittert szarja el), valamint úgy tudom bevár mindig pár csomagot amiket tömörítve egyben küld át, így meg a delay lesz rosszabb. De legalább működött.
- A hozzászóláshoz be kell jelentkezni
Koszi a valaszokat. A baj itt is a sebesseg, mivel TCP-n keresztul marhara lassu (igaz nem voip, hanem vastagkliens kapcsolodik adatbazisra). Hat, megnezzuk akkor a 2 masik alternativat (pptp, ipsec). Udv
- A hozzászóláshoz be kell jelentkezni
Ha ennyire komoly a dolog, en inkabb debuggolnam az ovpn-t.
Mondjuk tcpdump-pal.
udv,
t
- A hozzászóláshoz be kell jelentkezni
Szia!
A ping es keepalive opciokat probaltad tekergetni? Ha egybol inditasz valami trafficot a kliens-szerver kozott, akkor is elszall?
- A hozzászóláshoz be kell jelentkezni
TCP-nél van connection tracking, UDP-nél nincs. Ha nem engeded be külön szabályban az UDP-t, akkor csak kifelé megy, vissza nem tud jönni -> timeoutol
Én egyszer emiatt szívtam, mert fáradtan nem esett le a tantusz :)
- A hozzászóláshoz be kell jelentkezni
A Netfilter/Iptables connection tracking modulja UDP-vel is működik, Kadlecsik említette valamelyik videotoriumos videóban.
- A hozzászóláshoz be kell jelentkezni
Ez azt jelenti, hogy ha van olyan szabályom a tűzfalon ami pl. "tőlem" kifelé egy adott remote szerver adott UDP portjára enged küldeni, akkor a visszafelé jövő csomagot kvázi válaszként fogja felismerni az én először kiküldött csomagomra, és az elvárt tűzfal szabály hiányában is beengedi? Ennek az a követelménye, h. ami destination port számot használtam a kimenő csomagban, azt a remote end source portként használja, ill. ami nálam source udp port volt, az a vissza csomagban destination legyen?
Az elmúlt hetekben nyomoztam 1 ilyen probléma kapcsán, és ha a posztom fenti része helytálló, akkor ez a fícsör mennyire elterjedt ill. ismert a különböző tűzfalakon (Cisco, Checkpoint és tsai)?
- A hozzászóláshoz be kell jelentkezni
és az elvárt tűzfal szabály hiányában is beengedi
Nem, nem az elvárt szabály hiányában. Akkor engedi be, ha van
--match state --state RELATED,ESTABLISHED --jump ACCEPTszabályod. (Az ESTABLISHED ágban, ha jól tudom.)
Szerk: ovpn keepalive opciót be kell majd állítani, mert (ismét, ha jól emlékszem) 2 perc csend után a conntrack entry megy a kukába. (De ezt a 2 percet lehet, hogy csak álmodtam.)
- A hozzászóláshoz be kell jelentkezni
Kösz az infót. Majd utána nézed mióta, mert hogy korábban nem így volt, az tuti.
- A hozzászóláshoz be kell jelentkezni
Kb. 2003 óta így van.
http://videotorium.hu/hu/recordings/details/611,Linux_NetFilter_iptable….
38. perc környékétől lesz érdekes számodra.
- A hozzászóláshoz be kell jelentkezni
Én az egész OpenVPN-t úgy oldottam meg, hogy valahol találtam egy firewall.sh -t és azt elindítom
Ez engedélyezi a szerveren a 443-at TCP-n + UDP-n és még az 1194-es porton is
- A hozzászóláshoz be kell jelentkezni
Koszi, hat sajnos ezek nem nagyon visznek elore (a pfsense freebsd alapu), de szerintem valamelyik este megnezem tcpdumppal aztan majd ideirom, ha sikerult okozni valamit.
--
zsebHUP-ot használok!
- A hozzászóláshoz be kell jelentkezni