Milyen vpn-t SuSe 9.2-re?

Fórumok

Sziasztok!

Sürgősen (3 nap múlva) fel kell tegyek egy vpn szervert a linux szerverünkre. Az OpenVPN szerverrel próbálkoztam, mert azt már csináltam egyszer, de a ./configure-nál eldob egy hibaüzenettel amire eddig nem tudtam rájönni és az idő sürget.(Az lzo fejlécek fennt vannak de a library-k nincsennek).

Ezért az lenne a kérdésem, hogy melyik vpn szervert ajánlanátok, az lenne a legjobb ha a windows xp "beépített" vpn kliense (assezm ipsec-es) tudjon rá kapcsolódni. Mert az OpenVPN-nél még a win-es kliensekre is kellett telepíteni.

Köszi

Hozzászólások

Ha nincs időd, akkor a legegyszerűbb az OpenVPN. Viszont ahhoz nincs beépített Windows kliens. Szerencsére van windowos kliens, és a preshared key-es verziót nem nehéz összehozni. Kérdés, hogy ha nincs időd normálisan megcsinálni, akkor mennyit fog érni.

Egyszer írtam egy ilyet:

Privát hálózat kialakítása Linux, OpenBSD és Windows XP között OpenVPN-nel

Ebből ki lehet szedni a lényeget. Vagy

Az OpenVPN finomhangolása

--
trey @ gépház

Szerintem is maradjon az OpenVPM, akkor viszont leírom a hibaüzenetet amivel nem vergődtem zöldágra. Lehet te egyből tudod mi a baj, vagy esetleg találkoztál már ezzel a problémával. ez az utolsó 2 sor:

checking for lzo1x_1_15_compress in -llzo... no
configure: error: LZO headers were found but LZO library was not found

lzo, lzo-dev csomagokat tedd fel. Egyébként van OpenVPN .rpm csomagokban is (talán még a SUSE is tartalmazza), nem tudom miért akarsz mindenáron fordítani.

LZO RPM Packages

The OpenVPN RPM package requires the LZO library for real-time link compression. (sources: Dag Wieers and SuSE distribution).

http://www.oberhumer.com/opensource/lzo/
ftp://mirror.mcs.anl.gov/pub/suse/

Egyébként minden le van írva pontosan:

http://openvpn.net/download.html

--
trey @ gépház

Igen, az lzo, lzo-dev csomagok fennt vannak, feltelepítettem már.
Másik, én nem akarok minden áron telepíteni, nemtudtam, hogy van openvpn rpm-ben is, sajnos angolul nem tudok valami jól ez nagy hátrány nekem tudom.

Ezt már én is megtaláltam, de nem is tudom mit tegyek még innen fel:
http://www.oberhumer.com/opensource/lzo/

Próbálkoztam most töröltem és újratelepítetem az LZO és LZO-devel csomagokat de semmi:(
Telepítési forást keresek hátha valahol lesz valami

Előbb vedd elő a yast2-t, és nézd meg a csomagok közt, hogy nincs-e meg mindegyik. Meglepődnék, ha nem lennének meg. Ha belenézek az Ubuntu-ba, látom mindegyiket:

root@alderaan:/home/trey# apt-cache search lzo
liblzo-dev - data compression library (old version) (development files)
liblzo1 - data compression library (old version)
zope-debhelper - debhelper script for zope packaging
lzop - fast compression program
file-roller - an archive manager for GNOME
root@alderaan:/home/trey# apt-cache search openvpn
carpaltunnel - Configuration helper for OpenVPN
openvpn - Virtual Private Network daemon
tunneldigger - Configures OpenVPN tunnel networks
tunneldigger-utils - Utilities for TunnelDigger-configured OpenVPN tunnels

Nem hiszem el, hogy a SUSE-ban ne lenne benne alapból egy ilyen gyakran használt program.

--
trey @ gépház

Várjunk, lehet nem értelek. Az Lzo és az lzo-devel fennt van megnéztem már.

zope-debhelper - debhelper script for zope packaging
ez nemtom mi, ez is kell?

lzop - fast compression program
erre emlékszem ezt a packman-on találtam, de nem tettem fel, feltegyem ez is kell?

file-roller - ez se tudom mi kell? Ilyenek anno nem kellettek az openvpn-hez.

Először is az a kérdésem, hogy tisztában vagy-e olyan fogalmakkal, hogy yast2, csomagkezelés, online tárolók, szoftverek hivatalos repóban történő keresése, és telepítése?

Ha igen, akkor először keresd meg a disztribúciód hivatalos csomagjai közt az openvpn-t, és telepítsd fel. Van ilyen csomag? kezdjük ezzel.

Ha nem vagy ismerős ezekben, akkor először ezekkel kéne tisztába jönni, majd csak azután nekiállni olyan bonyolultabb taszkoknak, mint egy VPN szerver telepítése és beállítása.

--
trey @ gépház

Ok, bocsi, ezt nem tudtam. Végülis azért akarok fordítani, mert így már csináltam, és működött, csak nem jött elő ez a hiba és tudom, hogy ha rpm-ből telepítem akkor ott kicsit máshogy vannak a dolgok. Forrásból telepítés esetén vannak scriptek is amivel a szükséges kulcsokat generálni lehet, és nem akarom most kikísérletezni, hogy rpm-ből telepítés esetén hogy van ez. Nagyon kevés az idő.

Ez jó volt a parancs amit írtál meg is találta, de ...
megmutatom mit csináltam:

server:/usr/local/src/openvpn-2.0.7 # find /usr/ -name *liblzo*
/usr/lib/liblzo.so.1
/usr/lib/liblzo.la
/usr/lib/liblzo.so
/usr/lib/liblzo.so.1.0.0
/usr/lib/liblzo.a
server:/usr/local/src/openvpn-2.0.7 # ./configure --with-lzo-lib=/usr/lib

és megintcsak nem lett, jó :(
Ennyit bénázok???

Esetleg kihagyni nem lehet az LZO-t?
Most nézem a configure scriptet és így szerepel

Optional Packages:
...
--with-lzo-headers=DIR
--with-lzo-lib=DIR
...

???

Muszály ezt megcsinálnom valahogy

Nah, feltettem rpm-ből. Elkészítettem a ca.crt és ca.key-t így:

openssl req -days 3650 -nodes -new -x509 -keyout ca.key -out ca.crt -config /etc/ssl/openssl.cnf

majd a server.crt és server.key-t így:

openssl req -days 3650 -nodes -new -keyout server.key -out server.crt -config /etc/ssl/openssl.cnf && \ openssl ca -days 3650 -out server.crt -in server.csr -config /etc/ssl/openssl.cnf

Ezeket a parancsokat a /usr/share/doc/packages/openvpn/easy-rsa-ban található scriptekből szedtem ki. De az aláírás nem működik, próbáltam utólag is külön aláírni de nem engedi. Miért?

server:/etc/openvpn/key # openssl ca -days 3650 -out server.crt -in server.csr -config /etc/ssl/openssl.cnf Using configuration from /etc/ssl/openssl.cnf
Error opening CA private key ./demoCA/private/cakey.pem
15366:error:0E06D06C:configuration file routines:NCONF_get_string:no value:conf_lib.c:329:group=CA_default name=unique_subject
15366:error:02001002:system library:fopen:No such file or directory:bss_file.c:276:fopen('./demoCA/private/cakey.pem','r')
15366:error:20074002:BIO routines:FILE_CTRL:system lib:bss_file.c:278:
unable to load CA private key
Segmentation fault
server:/etc/openvpn/key #

1. Más is dolgozik.
2. Hoztál létre Certificate Authority-t (CA)? Annak a privát kulcsát nem találja (./demoCA/private/cakey.pem). Ha van, akkor állj a megfelelő könyvtárba, ami alapján ezzel a path-al megtalálja. Cert generáláshoz egyébként használhatod az openssl scriptjét is (/usr/lib/ssl/misc/CA.sh).
3. Ha sürgősen kell, lokális hozzáférésed van a másik gép(ek)hez is és csak néhány laptop-on kell mennie, akkor miért nem csinálsz egy pre-shared static key-t, ahogy már trey is javasolta.

1. jó-jó, csak türelmetlen vagyok, mert időhatáros a dolog

2. A ./build-ca szkript pont ezt hozza létre nem?
Ennyi van kész eddig:

server:~/openvpn # l keys/
total 25
drwx------ 2 root root 248 Aug 3 12:06 ./
drwxr-xr-x 3 root root 472 Aug 3 11:59 ../
-rw-r--r-- 1 root root 1415 Aug 3 12:00 ca.crt
-rw-r--r-- 1 root root 887 Aug 3 12:00 ca.key
-rw-r--r-- 1 root root 245 Aug 3 12:02 dh1024.pem
-rw-r--r-- 1 root root 0 Aug 3 11:59 index.txt
-rw-r--r-- 1 root root 3 Aug 3 11:59 serial
-rw-r--r-- 1 root root 810 Aug 3 12:06 server.csr
-rw-r--r-- 1 root root 887 Aug 3 12:06 server.key

csak nem tudom aláírni ugye a szerver tanúsítványát.

3.Sürgős igen, de az angol tudáson f*s, amikor először csináltam openvpn-t akkor napokig csak fordítottam. De ha lennél Te vagy valaki más aki elmagyarázza, hogy mi az a "pre-shared static key" és hogy kell alkalmazni és hogy működik akkor nagyon megköszönném. Esküszöm fizetek neki egy sört is valahol!!! :)

Mellesleg az openvpn.rpm telepítésekor nem jött létre tun interfész, vagy az csak akkor látszik ha elindul az openvpn.
De se így nem indul:
server:/etc/init.d # rcopenvpn start
Starting OpenVPN failed

Se így:

server:/etc/openvpn # openvpn start
I'm trying to parse "start" as an --option parameter but I don't see a leading '--'
Use --help for more information.

3. a legegyszerűbb ezt elmagyaráznom

openvpn --genkey --secret static.key

ezzel legenerálod a statikus kulcsot, utána átmásolod a kliens gépre is. Openvpn konfban csak annyit kell megadni mindkét oldalon az X509 certekre vonatkozó rész

tls-client
ca my-ca.crt
cert home.crt
key home.key

helyett, hogy

secret /ahol/a/kulcs/van/static.key

(a kulcs neve persze bármi lehet) és elvileg kész is vagy.

A tun interfészhez be kell tölteni a megfelelő kernelmodult (tun) és az interfész csak akkor jön létre, ha fut az openvpn.

A problémákhoz általában nézz syslog-ot, sok hasznos infót találsz ott arról, hogy mi a gond. Egyébként az angol annyira nem megy, hogy nem érted a második indítási próbálkozás esetében a hibaüzenetet? Én a helyedben elkezdeném erőteljesen tanulni, és ezt tényleg jószándékúan mondom.

De még mindig nem tudom elindítani. A server.conf-al nem lehet baj, mert jó helyről szedtem, egy leírásból amit itt a hup-on találtam (linket).

port 183
proto udp
dev tun

ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key
dh /etc/openvpn/dh1024.pem

server 10.8.0.0 255.255.255.0

push "route 192.168.1.0 255.255.255.0"
push "dhcp-option DNS 85.159.48.10"
#push "dhcp-option WINS 10.8.0.1"

keepalive 10 120
comp-lzo
max-clients 10

persist-key
persist-tun

status /var/log/openvpn/openvpn-status.log

verb 3

Tudom, de ettől függetlenül nem indul.

Közben próbálkoztam a forrásból telepítéssel és feltettem az lzo-t forrásból, mert eddig csak rpm-ből tettem fel. Így már megtalálja, de most:
configure: checking for OpenSSL Crypto Library and Header files...
checking openssl/evp.h usability... yes
checking openssl/evp.h presence... yes
checking for openssl/evp.h... yes
checking for EVP_CIPHER_CTX_init in -lcrypto... no
configure: error: OpenSSL Crypto library not found.

Megőrülök!!!!
de "Nem adom fel! Még élek ..." Ahogy szól a nóta. Ha kell reggelig csinálom és zaklatlak titeket :), de menni fog

./build-key: line 19: 24715 Segmentation fault openssl ca -days 3650 -out $1.crt -in $1.csr -config $KEY_CONFIG

Ez sem ismerős senkinek? Letudom generálni a kulcsokat/tanúsítványokat de nem tudom aláírni.

Mivan akkor ha nem írom alá?? Vagy a kulcsokat és tanúsítványokat másik gépen készítem el???? Működni fog szerintetek???

OpenVPN-t vagy PPTP ajánlatosabb használni olyan esetben, ha egy samba-s szervert kellene elérni távolról, ill. a hálózat többi gépe számára az XP -megjelenjen a WORKGROUP-ban?

Basszus basszus, sikerült lefordítani!!! Hahaha blüblüblü <(o_O)>

To Blint:

server:~ # openvpn --config /etc/openvpn/server.conf
Unrecognized option or missing parameter(s) in /etc/openvpn/server.conf:96: server
Use --help for more information.

Ezt kapom, ez nemm jó :(

Milyen verziójú openvpn-t használsz? (openvpn --version) Szerintem (ez nem biztos) az 1.x széria még nem ismerte a server direktívát, hanem csak point-to-point kapcsolatot lehetett felépíteni két gép között az ifconfig opcióval.

openvpn --help | grep server

mit mond?

szerk.: most hogy jobban átgondolom talán 1.x-el is meg lehet oldani a több gép vpn-ezését, ha fix ip-ket adsz a klienseknek.

A legújabbat fordítottam le amit le lehet tölteni az openvpn.net-ról (2.0.7).
server:~ # openvpn --version
OpenVPN 1.6_rc4 i686-pc-linux-gnu [SSL] [LZO] [PTHREAD] built on Dec 3 2004
Copyright (C) 2002-2004 James Yonan

Én legalábbis azt tölötttem le és fordítottam le. Most nem tudom mi ez a 1.6?? De mondom suse 9.3-nál már ment ez a dolog, még a suliban, többször is. Semmi hasonló probléma nem volt vele.

openvpn --help | grep server
p = udp (default), tcp-server, or tcp-client
--inetd [name] ['wait'|'nowait'] : Run as an inetd or xinetd server.
--tls-server : Enable TLS and assume server role during TLS handshake.
in .pem format (for --tls-server only).

Hát, azzal kikapcsoltad a csomagtitkosítást, ami nem biztos, hogy túl jó ötlet... Az ssl-dev vagy libssl-dev csomag fent van? Ha nincs, akkor tedd fel és forgasd újra az openvpn-t.

Visszatérve az eredeti problémához, ha teljes elérési úttal próbálod futtatni, akkor mi történik? Pl.

/usr/local/sbin/openvpn --config /etc/openvpn/server.conf

Ha így jó, akkor csakcsak fent maradt valahogy a SuSE verzió (mert egyébként a verzió stimmel a 9.2-esben lévővel, ahogy néztem).

Nem értem, az kell is oda, egyenlőre nem statikus kulcsal csináltam. csináltam.
Ezeket készítettem el:
server:/etc/openvpn # l
total 26
drwxr-xr-x 2 root root 200 Aug 3 17:05 ./
drwxr-xr-x 66 root root 6232 Aug 3 18:22 ../
-rw-r--r-- 1 root root 1289 Aug 3 15:56 ca.crt
-rw-r--r-- 1 root root 245 Aug 3 16:56 dh1024.pem
-rw-r--r-- 1 root root 527 Aug 3 19:37 server.conf
-rw-r--r-- 1 root root 3653 Aug 3 15:57 server.crt
-rw------- 1 root root 887 Aug 3 15:57 server.key

és ez a server.conf-om

proto udp
dev tun
ca ca.crt
cert server.crt
key server.key # This file should be kept secret

dh dh1024.pem

server 192.168.2.100 255.255.255.248

ifconfig-pool-persist ipp.txt
;push "route 192.168.20.0 255.255.255.0"
;route 192.168.40.128 255.255.255.248
;push "dhcp-option DNS 10.8.0.1"
;push "dhcp-option WINS 10.8.0.1"

keepalive 10 120
;tls-auth ta.key 0 # This file is secret

comp-lzo

max-clients 10

persist-key
persist-tun

status openvpn-status.log

log openvpn.log
;log-append openvpn.log

verb 3
mute 20

Ennek most így mennie kellene ?!

Na jó akkor újra kellene forgatni és megpróbálom a cryptot beleforgatni, hogy hogy azt nemtudom. De előtte eltávolítsam ami most fennt van openvpn? Ha igen akkor azt nem tudom hogy kell, mert amit forrásból telepítettem eddig nem kellett letörölnöm.

Nemtudom ez jó lenne szerinted? Bocsi de már semmiben nem vagyok biztos és félek nehogy taccsra vágjam valamivel a szervert.

http://www.gnu.org/software/gnu-crypto/#downloading

Csak mert elég dok minden kell még neki

server:/usr/local/src/gnu-crypto-2.0.1 # ./configure
checking for a BSD-compatible install... /usr/bin/install -c
checking whether build environment is sane... yes
checking for gawk... gawk
checking whether make sets $(MAKE)... yes
checking whether to enable maintainer-specific portions of Makefiles... no
You have no CLASSPATH, I hope it is good
checking for gcj... no
checking for guavac... no
checking for jikes... no
checking for javac... no
configure: error: no acceptable Java compiler found in $PATH

hagyd a vpn-t és löjj be egy puttyot a wines kliensen és álítsd be a port forwardot, a kliensbe pedig, hogy a localhostról vegye az infót.
esetleg kulcs alapú azonosítással, hogy biztonságosabb legyen.
http://www.sulinet.hu/tart/cikk/Rda/0/21704/1
üdv

G.
ps. Csak a sürgősség miatt írom

hagyd a vpn-t és löjj be egy puttyot a wines kliensen és álítsd be a port forwardot, a kliensbe pedig, hogy a localhostról vegye az infót.

A biztonságot most hadjuk, de ezt sem értem. Állítsak be a főnököm gépén egy putty-ot, hogy be tudjon jeéentkezni a szerverre a saját loginjával. Eddig ok, bejelentkezik, és aztán? Az outlook-ot kellene beállítani, hogy localhostról szedje vegye az infót? Nem értem, írd le jobban légyszi.

az outlooknál én bekapcsolnám az imap-s ha nincs akkor imap. a mapi szeret rpc-zni.

Neked a third host megoldás kell
http://www.ssh.com/support/documentation/online/ssh/adminguide/32/Port_…
http://www.scarfboy.com/hhl/hhlg/sshtunnel.html

vagyis a linuxoss, gépen keresztül, mész el az exchange gép imap portjára

http://jumbo.kfki.hu/packages/security/ssh/putty/htmldoc/Chapter3.html#…
Előszür teszteld ku sima ssh-val.
A port forwardingot.

Zárj le mindent a linuxon a 22 es port kivételével és tunelingelj át néhány service-t.
pl vnc, imap stb.

Ez megy?

ps. Srácok valaki segítsen már aki sok ilyet csinált!! (g)

Hát, a linuxon nem zárhatok le minden portot, mert az a szerver és rossz néven vennék ha nem menne a Samba és a web.

Sajnos aapbólnem értem, hogy működne a dolog amit mondasz. A Putty-ban talátam a Conection/SSH/Tunnels menüpont alatt Post Forwardingot ("Options Controlling SSH port forwarding")
Gondolom talán itt az első checkbox lenne a lényeges (Local ports accept connections from other hosts)

Átnézem a linket amit adtál hátha okosabb leszek.

thx

To gorgo75

végülis a link alapján amit küldtél sikerült megcsinálnom. de azért leírom, hogy csináltam biztos ami biztos:

Tehát: putty - Connection/SSH/Tunnels
A Local ports accept ... -t kipipáltam és hozzáadtam 2 portot.
Először a 3110-et a "Source port" mellé
Erre a portra forwardolja a putty azt amit a Destination mellé írunk be, esetemben: mailszerver.domain.hu:110.
Ennek eredményére meglepően tpasztaltam, hogy elsőre működött. Persze be kellett állítani Outlookban a pop3 szervert localhostra, és a More settings-nél még az "Advanced" fülön az új portot (3110) és ment is nagyon szépen.

Majd ugyanez a 25-ös portal is ment.

Csak ugye főnököm eléggé nem szereti az ilyen dolgokat, ő azt szeretné, hogy ha bekapcsolja és rákattint egy ikonra akkor menjen is.
Ezzel szemben itt elmenthetem neki a putty-ban a port forwarding beállításokat és akkor csak rá kell kattintania a szerver szóra a putty-ban, de aztán még be kell lépnie ugye usrname and passwd. Ez lehet már nem fog tecceni neki :(

De a lényeg, hogy sikerült amit te mondtál, köszi!

Kár, hogy a vpn nem akar menni, azért még próbálkozom ma is, hátha ...

Tök jó, ez is működik, köszi mindent.
Ámm azért vannak aggályim. Mégpedig az, hogy a doksiban emlegetett szerveroldali konfigokat nem végeztem el és mégis működik a kulcsos bejelentkezés. Sőtt a /etc/ssh/sshd_config fájlban szinte minden ki van kommentezve mintha nem is azt használná. Kicsit félek elkezdeni szerkeszteni

Nah, közben nem bírtam tovább és kipróbáltam, persze készítettem róla bizt. másolatot. Ez fantasztikus. Végre egy kis sikerélmény (hisz ez viszi előrrébb az embert). Mostmár legalább efelől is nyugodt vagyok, mert sikerült beállítani, hogy ssh-n keresztül csak én léphetek be mint egyszerű user. A root se léphet be. Igazából ezek alapdolgok tudom.
Viszont most csak 1 user léphet be én kulcspárral. a Passwdauthentication no nem akar működni, de végülis nembaj, jó az ha én be tudok lépni jelszóval is ha kell.

Már csak abban kell reménykednem, hogy működni fog a vpn helyett szépen és tudnak így majd levelet küldeni is.

Még azt megkérdezném, hogy a sambat is meg lehet oldani ezzel? Hogy külföldről tudják tallózni a samba szervert is ha a megfelelő portokat forwardolom a sajátgépükre?

configure: error: LZO headers were found but LZO library was not found

Erre nem tudom megtaláltad e már a megoldást. Ha nem, akkor megpróbálhatnád feltenni ezt:

http://www.oberhumer.com/opensource/lzo/download/LZO-v1/lzo-1.08.tar.gz

Szerintem a mostani verzió (ami neked most telepítve van) valamiért nem támogatott.

Sziasztok!

Feltelepítettem az OpenVPN-t, de csak csomaból sikerült.
OpenVPN 1.6_rc4 i686-pc-linux-gnu [SSL] [LZO] [PTHREAD] built on Dec 3 2004

Szépen megcsináltam mindent sorban és ismét itt akadok el amikor indítanám:
Sep 26 12:31:09 server openvpn[6275]: Unrecognized option or missing parameter(s) in /etc/openvpn/server.conf:46: server
Sep 26 12:31:09 server openvpn[6275]: Use --help for more information.

Ebben a sorban a server direktíva szerepel. Mi ezzel a baja?
Igaz a putty port forward működik azóta is szépen, de mostmár kell a VPN.

Viszont most nézem, hogy a SUSE 9.3-hoz már van
openvpn-2.0-5.i586.rpm

Nah, feltettem az újabb vpn-t, felment szépen. Most már többetkapok:
server:/etc/openvpn # openvpn server.conf
Tue Sep 26 12:56:29 2006 OpenVPN 2.0_rc14 i686-suse-linux [SSL] [LZO] [EPOLL] built on Mar 19 2005
Tue Sep 26 12:56:29 2006 Diffie-Hellman initialized with 1024 bit key
Tue Sep 26 12:56:29 2006 TLS-Auth MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Tue Sep 26 12:56:29 2006 TUN/TAP device opened
Tue Sep 26 12:56:29 2006 Note: Cannot set tx queue length on : No such device (errno=19)
Tue Sep 26 12:56:29 2006 /sbin/ifconfig 192.168.10.1 pointopoint 192.168.10.2 mtu 1500
SIOCSIFDSTADDR: No such device
192.168.10.1: unknown interface: No such device
SIOCSIFMTU: No such device
Tue Sep 26 12:56:29 2006 Linux ifconfig failed: shell command exited with error status: 1
Tue Sep 26 12:56:29 2006 Exiting