Re: openvpn + firehol
Guten Tag Udo Mueller,
Am Donnerstag, 24. März 2005 um 11:29 schrieb Udo Mueller:
> Hallo Stefan,
> so, mittlerweile ist so viel Text in den Mails, daß wir jetzt
> nochmal zusammenfassen:
> Netzwerk:
> ------------------------------------------------
> Uni <--> Server <--> Client
> VPN |
> ppp0
> |
> Internet
stimmt soweit, nur dass der VPN natürlich übers Internet geht.
> IP-Adressen:
> ------------------------------------------------
> Uni: eth0: 141.13.x.y
> tun0: 172.16.1.2
> Server: eth0: 192.168.100.1
> ppp0: a.b.c.d
> tun0: 172.16.1.1
> Client: eth0: 192.168.100.2
hier hats ne Änderung gegeben: ich bin derzeit nicht in der Uni,
sondern bei meinen Eltern. Wir können´s aber gerne bei "Uni" belassen,
allerdings ists derzeit ein XP und kein sarge. Der Client hat eth0 =
192.168.100.4 oder 100.5, je nach dem, welchen Rechner ich grade in
der WG erreichen kann. (macht aber keinen Unterschied)
> Routing:
> ------------------------------------------------
> Uni: route -n
C:\Dokumente und Einstellungen\stefan>route print
===========================================================================
Schnittstellenliste
0x1 ........................... MS TCP Loopback interface
0x2 ...00 ff a2 7b 0c 59 ...... TAP-Win32 Adapter V8
0x10004 ...00 0e 35 3e e3 1b ...... Intel(R) PRO/Wireless 2200BG Network Connect
ion
===========================================================================
===========================================================================
Aktive Routen:
Netzwerkziel Netzwerkmaske Gateway Schnittstelle Anzahl
0.0.0.0 0.0.0.0 192.168.13.1 192.168.13.5 30
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
172.16.1.0 255.255.255.252 172.16.1.2 172.16.1.2 30
172.16.1.0 255.255.255.0 172.16.1.1 172.16.1.2 1
172.16.1.2 255.255.255.255 127.0.0.1 127.0.0.1 30
172.16.255.255 255.255.255.255 172.16.1.2 172.16.1.2 30
192.168.13.0 255.255.255.0 192.168.13.5 192.168.13.5 30
192.168.13.5 255.255.255.255 127.0.0.1 127.0.0.1 30
192.168.13.255 255.255.255.255 192.168.13.5 192.168.13.5 30
192.168.100.0 255.255.255.0 172.16.1.1 172.16.1.2 1
224.0.0.0 240.0.0.0 172.16.1.2 172.16.1.2 30
224.0.0.0 240.0.0.0 192.168.13.5 192.168.13.5 30
255.255.255.255 255.255.255.255 172.16.1.2 172.16.1.2 1
255.255.255.255 255.255.255.255 192.168.13.5 192.168.13.5 1
Standardgateway: 192.168.13.1
===========================================================================
Ständige Routen:
Keine
C:\Dokumente und Einstellungen\stefan>
> Server: route -n
stefan@debian:~$ /sbin/route -n
Kernel IP Routentabelle
Ziel Router Genmask Flags Metric Ref Use Iface
62.26.136.40 0.0.0.0 255.255.255.255 UH 0 0 0 ppp0
10.0.0.2 0.0.0.0 255.255.255.255 UH 0 0 0 ippp0
172.16.1.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
192.168.100.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
172.16.1.0 172.16.1.2 255.255.255.0 UG 0 0 0 tun0
192.168.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
0.0.0.0 62.26.136.40 0.0.0.0 UG 0 0 0 ppp0
stefan@debian:~$
> Windows XP: route print
kann ich derzeit nicht kopieren, da es der Rechner von nem Mitbewohner
ist, allerdings wirds so aussehen wie folgt:
C:\Dokumente und Einstellungen\stefan>route print
===========================================================================
Schnittstellenliste
0x1 ........................... MS TCP Loopback interface
0x10004 ...?? ?? ?? ?? ?? ?? ...... wahrscheinlich irgendeine RTL-Chip
Karte
===========================================================================
===========================================================================
Aktive Routen:
Netzwerkziel Netzwerkmaske Gateway Schnittstelle Anzahl
0.0.0.0 0.0.0.0 192.168.100.1 192.168.100.5 30
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.100.0 255.255.255.0 192.168.100.5 192.168.100.5 30
192.168.100.5 255.255.255.255 127.0.0.1 127.0.0.1 30
192.168.100.255 255.255.255.255 192.168.100.5 192.168.100.5 30
192.168.100.0 255.255.255.0 172.16.1.1 172.16.1.2 1
224.0.0.0 240.0.0.0 192.168.100.5 192.168.100.5 30
255.255.255.255 255.255.255.255 192.168.100.5 192.168.100.5 1
Standardgateway: 192.168.100.1
===========================================================================
Ständige Routen:
Keine
C:\Dokumente und Einstellungen\stefan>
der Rechner hat nur ein eth0 (192.168.100.4 oder eben 192.168.100.5),
darüber muss alles laufen; er nutzt 192.168.100.1 als DNS, DHCP,
Gateway usw.
wichtig ist mir in diesem Falle nochmal darauf hinzuweisen, dass ein
ping vom XP Uni aus folgendes Bild bringt (bei eingeschalteter,
erweiterter Firewall):
tun0 registriert den request, bekommt aber kein reply (s.u.):
01:02:32.412778 IP 172.16.1.2 > jan.wg: icmp 40: echo request seq 4865
01:02:37.416483 IP 172.16.1.2 > jan.wg: icmp 40: echo request seq 5121
01:02:42.425994 IP 172.16.1.2 > jan.wg: icmp 40: echo request seq 5377
eth0 registriert den request und schickt ihn an den Clienten
(192.168.100.5) und erhält von ihm auch eine Antwort, die auch an die
richtige Adresse gerichtet ist:
01:02:32.412887 IP 172.16.1.2 > jan.wg: icmp 40: echo request seq 4865
01:02:32.413064 IP jan.wg > 172.16.1.2: icmp 40: echo reply seq 4865
01:02:37.416557 IP 172.16.1.2 > jan.wg: icmp 40: echo request seq 5121
01:02:37.416731 IP jan.wg > 172.16.1.2: icmp 40: echo reply seq 5121
01:02:42.426083 IP 172.16.1.2 > jan.wg: icmp 40: echo request seq 5377
01:02:42.426264 IP jan.wg > 172.16.1.2: icmp 40: echo reply seq 5377
an tun0 kommt das Paket jedoch nicht mehr an, es sei denn, ich
schaltet die Firewall aus.
Aus diesem Grund
01:02:42.426083 IP 172.16.1.2 > jan.wg: icmp 40: echo request seq 5377
^^^^^^^^^^^^
01:02:42.426264 IP jan.wg > 172.16.1.2: icmp 40: echo reply seq 5377
^^^^^^^^^^
schliesse ich darauf, dass es eben kein routing sondern ein FW Problem
ist. Andernfalls würde eth0 ja beim reply meine öffentliche Adresse
angeben (also die Adresse, die T-Online dem WLAN Router meiner Eltern
zuteilt; über den ich derzeit mit dem Internet verbunden bin und auch
diese Email hier wegschicke (ich bin am Di. zu meinen Elter gefahren,
habe aber auf meinem Laptop die OpenVPN Verbindung eingerichtet und
mache darüber meine Tests)).
> Mit freundlichen Grüßen
Danke für die Hartnäckigkeit, ich glaub, wir sind kurz davor es ans
Laufen zu bekommen. :)
> Udo Müller
Stefan
Reply to: