|
OpenVPN - poprawna konfiguracja link-mtu, cipher i keysize + IPv6
|
| qrs |
Dodano 28-08-2018 09:37
|
Maxi User
Posty: 749
Dołączył: 02/12/2012 00:55
|
Witam, używam OpenVPN i działa bez problemu, ale niestety w logach mam brzydkie warningi
Cytat Aug 28 09:25:50 R7000 openvpn: 37.47.31.15 WARNING: 'link-mtu' is used inconsistently, local='link-mtu 1558', remote='link-mtu 1542'
Aug 28 09:25:50 R7000 openvpn: 37.47.31.15 WARNING: 'cipher' is used inconsistently, local='cipher AES-256-CBC', remote='cipher BF-CBC'
Aug 28 09:25:50 R7000 openvpn: 37.47.31.15 WARNING: 'keysize' is used inconsistently, local='keysize 256', remote='keysize 128'
te 3 dotyczące link-mtu, cipher i keysize pojawiają się praktycznie co chwilę w logach :D
Pewnie wynika to z 3 rzeczy:
- błędna konfiguracja na serwerze
- błędna konfiguracja na kliencie
- źle wygenerowane klucze
Jak zlokalizować przyczynę warningów i wyeliminować problem?
Druga sprawa, skoro na routerze mam IPv6 co należy dodać do konfiguracji OpenVPN aby IPv6 działał też w tunelu?
---
Netgear R7000 • Netgear WNR3500L v2 • MikroTik hAP ac^2 • TP-LINK M7650
|
| |
|
|
| khain |
Dodano 29-08-2018 08:24
|
Power User
Posty: 335
Dołączył: 25/07/2007 17:09
|
Masz różnice w konfigu serwera i klienta takie jak wypisał w logu.
Blowfish (BF-CBC) jest podatny, więc przejdź na AES-256-CBC.
Odnośnie IPv6 w tunelu to poczytaj tutaj:
https://community.openvpn.net/openvpn.../wiki/IPv6
Nie wiem tylko czy na tomato pójdzie IPv6 z openvpn.
TP-LINK TL-WDR3600 @ Openwrt - 300/20Mbps
HP ProLiant DL360e Gen8 @ ESXi 7.0.1:2 x Intel Xeon CPU E5-2450L @ 1.80GHz, 160GB RAM ECC, 2x 1TB SSD
ASRock J4205-ITX @ Debian 11 16BG RAM, 2x 1TB SSD, 1x 1TB HDD
|
| |
|
|
| qrs |
Dodano 29-08-2018 19:28
|
Maxi User
Posty: 749
Dołączył: 02/12/2012 00:55
|
IPv6 daruję sobie do czasu aż uporam się z logami
na routerze mam
na kliencie mam
Cytat client
dev tun
proto udp
remote ... 1195
resolv-retry infinite
nobind
persist-key
persist-tun
cipher AES-256-CBC
comp-lzo
auth-nocache
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
...
-----END RSA PRIVATE KEY-----
w obu konfiguracjach jest AES-256-CBC ale w logach bez zmian... problem musi być w innym miejscu...
---
Netgear R7000 • Netgear WNR3500L v2 • MikroTik hAP ac^2 • TP-LINK M7650
|
| |
|
|
| khain |
Dodano 02-09-2018 17:22
|
Power User
Posty: 335
Dołączył: 25/07/2007 17:09
|
Znalazłem coś takiego:
https://www.snbforums.com/threads/ope...-fw.43283/
https://forums.openvpn.net/viewtopic....399#p71387
Wygląda na problem z cipher GCM, ale Ty masz wybrany CBC, więc może spróbuj użyć tej samej wersji openvpn na kliencie i serwerze.
TP-LINK TL-WDR3600 @ Openwrt - 300/20Mbps
HP ProLiant DL360e Gen8 @ ESXi 7.0.1:2 x Intel Xeon CPU E5-2450L @ 1.80GHz, 160GB RAM ECC, 2x 1TB SSD
ASRock J4205-ITX @ Debian 11 16BG RAM, 2x 1TB SSD, 1x 1TB HDD
|
| |
|
|
| qrs |
Dodano 03-09-2018 09:55
|
Maxi User
Posty: 749
Dołączył: 02/12/2012 00:55
|
na razie zmieniłem Cipher Negotiation na Disabled i mam nadzieję, że to wymusi na serwerze korzystanie z AES-256-CBC które widoczne jest w pozycji Legacy/fallback cipher
---
Netgear R7000 • Netgear WNR3500L v2 • MikroTik hAP ac^2 • TP-LINK M7650
|
| |
|
|
| bigl |
Dodano 16-04-2019 20:18
|
Maxi User
Posty: 997
Dołączył: 17/05/2006 00:12
|
Coś udało się ustalić w temacie i rozwiązać problem?
Pytam bo mam dokładnie te same komunikaty na najnowszym FreshTomato (2019.01) gdy łączą się klienci też z takim FreshTomato (serwer to R7000 AIO, klienci to R7000 i Tenda AC15).
WARNING: 'link-mtu' is used inconsistently, local='link-mtu 1558', remote='link-mtu 1542'
WARNING: 'cipher' is used inconsistently, local='cipher AES-256-CBC', remote='cipher BF-CBC'
WARNING: 'keysize' is used inconsistently, local='keysize 256', remote='keysize 128'
Klienci i serwer w max standardowej konfiguracji (tylko to co daje się wyklikać).
Próbowałem walczyć ustawiając na serwerze:
tun-mtu 1500
keysize 256
ale pojawi się to nadal.
Natomiast nie mam tego komunikatu dla jednego klienta, który łączy się z najnowszego RMerlina (RT-AC68U, FW 384.10_2). Sprawdzałem i konfiguracja OpenVPN nie różni się niczym od tej na FreshTomato.
Router: Netgear R7000 + FreshTomato (latest)
Wi-Fi: Ubiquiti U6-Lite
NAS/HomeLab: GMKTec NucBox G3 + Ubuntu 24.04 Server + WD My Book Essential 8TB
Players: Android TV (Nokia Streaming Box 8010) / Odroid N2+ with Coreelec
|
| |
|
|
| damianssj661 |
Dodano 21-04-2019 01:54
|
User
Posty: 128
Dołączył: 14/05/2011 20:01
|
Udało się komuś ustawić lede(openwrt) jako klienta serwera na tomato?
Za pomoc mogę się nawet odwdzięczyć małą kwota a na podstawie informacji zrobić poradnik ze zdjęciami dla kolejnych.
Chcę uruchomić multiroom netii. Działa w tun na kliencie tomato,cm ale drugi router nie moze mieć tomato
ASUS RT-AC56U
|
| |
|
|
| Steel_Rat |
Dodano 21-04-2019 07:30
|
OL Maniac
Posty: 1831
Dołączył: 29/05/2011 22:24
|
Zacznij od tego by open vpn byl w tej samej wersji. Ja bym skopiowałem configa z jakiegoś clienta i przeniósł na router zmieniając odpowiednio konfig .. W openwrt pewnie będzie trzeba odłączyć któryś LAN że switcha i zostawić go osobno podpiętego do openvpn.
WRT3200ACN (WRT32X) + OpenWRT 18.06+światełko 150/150 Mb/s
Asus RT-AC68UvE1 + RMerlin + Entware
Netgear WNR3500Lv2 + DDWRT
|
| |
|
|
| majkel152 |
Dodano 21-04-2019 11:55
|
OL Maniac
Posty: 1716
Dołączył: 09/06/2010 14:36
|
po co tak duże mtu ?
nie znam się na tym ^^
kupię coś fajnego
sieć domowa:
router z pfsense https://i.imgur.com/IuB6Zwy.png, jakieś dziwne urządzenia , ups, światłowody, apeki i działa miło  |
| |
|
|
| khain |
Dodano 22-04-2019 10:12
|
Power User
Posty: 335
Dołączył: 25/07/2007 17:09
|
@bigl - używasz różnych wersji openvpn na kliencie i serwerze stąd pluje takimi ostrzeżeniami.
@damianssj661 - do wskazówek Steel_Rata należy dorzucić, że openvpn pod multiroom musi być w trybie TAP, a nie tun.
TP-LINK TL-WDR3600 @ Openwrt - 300/20Mbps
HP ProLiant DL360e Gen8 @ ESXi 7.0.1:2 x Intel Xeon CPU E5-2450L @ 1.80GHz, 160GB RAM ECC, 2x 1TB SSD
ASRock J4205-ITX @ Debian 11 16BG RAM, 2x 1TB SSD, 1x 1TB HDD
|
| |
|
|
| damianssj661 |
Dodano 23-04-2019 01:56
|
User
Posty: 128
Dołączył: 14/05/2011 20:01
|
Cytat khain napisał(a):
@bigl - używasz różnych wersji openvpn na kliencie i serwerze stąd pluje takimi ostrzeżeniami.
@damianssj661 - do wskazówek Steel_Rata należy dorzucić, że openvpn pod multiroom musi być w trybie TAP, a nie tun.
Skoro napisałem, że działa w TUN to nie rozumiem, czemu twierdzisz, że trzeba TAP. W innym domu mam router z tomato i działa bardzo dobrze.
ASUS RT-AC56U
|
| |
|
|
| khain |
Dodano 24-04-2019 20:27
|
Power User
Posty: 335
Dołączył: 25/07/2007 17:09
|
Jeśli Netia Playery komunikują się po broadcaście to musisz zestawić tap, jeśli nie to rzeczywiście tun wystarczy. I jeszcze pozostaje maks. upload na WANie serwera + moc obliczeniowa cpu na serwerze i kliencie - czy są w stanie przerzucić 10Mbps.
TP-LINK TL-WDR3600 @ Openwrt - 300/20Mbps
HP ProLiant DL360e Gen8 @ ESXi 7.0.1:2 x Intel Xeon CPU E5-2450L @ 1.80GHz, 160GB RAM ECC, 2x 1TB SSD
ASRock J4205-ITX @ Debian 11 16BG RAM, 2x 1TB SSD, 1x 1TB HDD
|
| |
|
' target='_blank'>Link
