30 Maja 2024 17:13:43
Nawigacja
· Strona Główna
· Forum

· Tomato by Shibby
· FreshTomato


Wątki na forum
Najnowsze dyskusje
· Brak dostępu do ust...
· [MOD] FreshTomato-AR...
· [MOD] Tomato64 (x86-64)
· Takedown 2000
· Switch zasilany prze...
· [MOD] FreshTomato-MI...
· [Howto] Xpenology na...
· [HOWTO] Kompilacja "...
· nju swiatło pytania
· konfiguracja router ...
· Asus TUF-AX3000_V2 p...
· Jaki router kupić? ...
· Szukam zaproszenia n...
· dodatkowe złącza s...
· RT-N18U - nie można...
· Firewall nie zawsze ...
· Optware na CIFS
· RT-AX56U - Status kl...
· Multiroom N z wykorz...
· [S] Asus RT-AC68U E1
Najpopularniejsze obecnie wątki
· [MOD] FreshTomato... [876]
· [MOD] Tomato64 (x... [41]
· Takedown 2000 [5]
· Brak dostępu do ... [4]
· Switch zasilany p... [1]
Ankieta
Jaki procesor posiada twój router?

Broadcom MIPSEL
Broadcom MIPSEL
36% [151 głosów]

Broadcom ARM
Broadcom ARM
52% [216 głosów]

Atheros
Atheros
5% [22 głosów]

Marvell
Marvell
1% [4 głosów]

Ralink
Ralink
1% [3 głosów]

Intel/AMD/VIA
Intel/AMD/VIA
1% [5 głosów]

Żaden z powyższych
Żaden z powyższych
4% [15 głosów]

Ogółem głosów: 416
Musisz zalogować się, aby móc zagłosować.
Rozpoczęto: 02/02/2015 09:38
Twoje IP
3.215.16.238
Zobacz wątek
OpenLinksys » :: OPROGRAMOWANIE :: » Tomato - firmware
 Drukuj wątek
Połączenie dwóch sieci OpenVPN z obustronnym dostępem do urządzeń
Theo16
Potrzebuję pomocy przy konfiguracji połączenia VPN. Próbuję spiąć ze sobą dwie sieci tak aby był dostęp do urządzeń w sieciach LAN. Konfiguracja urządzeń wygląda tak:
- Sieć z publicznym IP: główny router RT-AX55 192.168.1.1 (LAN), jako AP działa RT-N18U (192.168.1.2) na tomato i tu najlepiej jakby działał serwer OpenVPN bo mam wrażenie że oryginalny soft Asusa ma mocno ograniczone możliwości konfiguracji.
- Sieć bez publicznego IP: Modem B535-232 192.168.0.1 z przekierowanymi wszystkimi portami na główny router RN-N16 z tomato 192.168.0.2 (WAN). 192.168.2.0 (LAN).
Tak jak wspomniałem na początku chciałbym, aby sieć 192.168.1.0 miała dostęp do urządzeń 192.168.2.0 i vice versa. Próbowałem różnych poradników, ale na żadnym nie chciało mi to działać w obie strony. Będę wdzięczny za pomoc i wskazówki.
 
hermes-80
Bo nie będzie działać to w konfiguracji AP ze względu na to, że OpenVPN jest tak ustawiony że uruchamia się z włączeniem portu WAN.
Druga sprawa - jakiej przepustowości oczekujesz po tunelu.
Trzecia - czy ma to działać w jednej domenie rozgłoszeniowej (tap) czy w trybie routingu (tun).
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
 
Theo16
Serwer może stać na RT-AX55 jeżeli jest to warunek działania. Przepustowość na poziomie 20-30 Mbit w zupełności będzie wystarczająca. Czytałem, że TUN znacznie mniej obciąża procesor więc wolałbym iść w te stronę.
 
dar3k
Jeżeli nie przeszkadza Ci wspólna adresacja w obu sieciach to ja u siebie mam dwie lokalizacje spięte tak:
https://openlinksys.info/forum/viewthread.php?thread_id=19009
Wszystko działa jakby było w jednej sieci - a statycznie wpisując bramę z drugiej lokalizacji można nawet wyjść na świat z tamtym adresem IP Smile
ER-12 + 4x UAP-AC-PRO
 
hermes-80
Na serwer wybiera sie silniejsze sprzetowo urządzenie. Na AP też jest możliwe uruchomienie tunelu ale wtedy już trzeba z palca dodawać odpowiednie komendy.
Postawienie tunelu przez GUI nie jest jakoś bardzo skompplikowane.
RT-AX55 jest na to Tomato?
Edytowany przez hermes-80 dnia 06-06-2023 17:53
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
 
Theo16
dar3k spróbuję tą metodą, ale problemem może być, że serwer dhcp jest na innym urządzaniu niż serwer vpn.

hermes-80 Ciężko mi porównać RT-AX55 do RT-N18U gdyż są to raczej podstawowe urządzenia różniące się głównie obsługą różnych WiFi. Na RT-AX55 nie ma tomato ani merlin wrt.
 
dar3k

Theo16 napisał:

dar3k spróbuję tą metodą, ale problemem może być, że serwer dhcp jest na innym urządzaniu niż serwer vpn.

To też nie problem - tylko zablokuj w ebtables zapytania DHCP - bo inaczej będziesz miał w jednej sieci 2 serwery dhcp i adresy będzie Ci przydzielał losowo - który pierwszy odpowie (a ten przez vpn często będzie pierwszy).
ER-12 + 4x UAP-AC-PRO
 
Theo16

dar3k napisał:

Theo16 napisał:

dar3k spróbuję tą metodą, ale problemem może być, że serwer dhcp jest na innym urządzaniu niż serwer vpn.

To też nie problem - tylko zablokuj w ebtables zapytania DHCP - bo inaczej będziesz miał w jednej sieci 2 serwery dhcp i adresy będzie Ci przydzielał losowo - który pierwszy odpowie (a ten przez vpn często będzie pierwszy).


Ustawienia tak jak na zdjęciach. Tunel połączony, ale nie mogę się dostać na urządzenia zarówno z jednej strony jak i z drugiej.
Theo16 załączono następujące plik:
Nie masz uprawnień, by zobaczyć załączniki w tym wątku.
 
dar3k
A jak masz ustawione IP ? Nie mają konfliktu (routery muszą mieć inne IP i inną pulę przydzielania dhcp np. jedna sieć 192.168.0.1 IP routera i DHCP 192.168.0.2-50, 192.168.0.51 drugi router i dhcp 192.168.0.52-100).
Dodatkowo dałbym Firewall: Automatic
ER-12 + 4x UAP-AC-PRO
 
Theo16
Konfliktu nie ma jeden jest od 1 do 199 drugi od 201 do 250 obie w sieci 192.168.1.XXX. Sprawdzę popołudniu czy zmiana ustawień firewalla coś pomoże.
 
hermes-80
Firewall na automatic
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
 
Theo16
Przełączenie na automatic nic nie zmieniło. Log od momentu włączenia serwera po włączenie klienta:
- serwer

Jun 7 21:03:57   daemon   notice   openvpn-server1[5465]   Closing TUN/TAP interface
Jun 7 21:03:57   daemon   notice   openvpn-server1[5465]   SIGTERM[hard,init_instance] received, process exiting
Jun 7 21:03:57   kern   info   kernel   br0: port 4(tap21) entering forwarding state
Jun 7 21:03:57   kern   info   kernel   br0: port 4(tap21) entering forwarding state
Jun 7 21:03:57   kern   info   kernel   br0: port 4(tap21) entering forwarding state
Jun 7 21:03:57   kern   info   kernel   br0: port 4(tap21) entering forwarding state
Jun 7 21:03:57   kern   info   kernel   br0: port 4(tap21) entering disabled state
Jun 7 21:04:03   kern   info   kernel   device tap21 entered promiscuous mode
Jun 7 21:04:03   kern   info   kernel   ADDRCONF(NETDEV_UP): tap21: link is not ready
Jun 7 21:04:03   daemon   warn   openvpn-server1[7405]   DEPRECATED OPTION: The option --secret is deprecated.
Jun 7 21:04:03   daemon   notice   openvpn-server1[7405]   DEPRECATION: No tls-client or tls-server option in configuration detected. OpenVPN 2.7 will remove the functionality to run a VPN without TLS. See the examples section in the manual page for examples of a similar quick setup with peer-fingerprint.
Jun 7 21:04:03   daemon   notice   openvpn-server1[7405]   OpenVPN 2.6.1 arm-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [MH/PKTINFO] [AEAD]
Jun 7 21:04:03   daemon   notice   openvpn-server1[7405]   library versions: OpenSSL 1.1.1t 7 Feb 2023, LZO 2.10
Jun 7 21:04:03   daemon   notice   openvpn-server1[7406]   TUN/TAP device tap21 opened
Jun 7 21:04:03   daemon   notice   openvpn-server1[7406]   TUN/TAP TX queue length set to 1000
Jun 7 21:04:03   daemon   warn   openvpn-server1[7406]   Could not determine IPv4/IPv6 protocol. Using AF_INET6
Jun 7 21:04:03   daemon   notice   openvpn-server1[7406]   Socket Buffers: R=[87380->87380] S=[16384->16384]
Jun 7 21:04:03   daemon   notice   openvpn-server1[7406]   setsockopt(IPV6_V6ONLY=0)
Jun 7 21:04:03   daemon   notice   openvpn-server1[7406]   Listening for incoming TCP connection on [AF_INET6][undef]:1194
Jun 7 21:04:03   kern   info   kernel   ADDRCONF(NETDEV_CHANGE): tap21: link becomes ready
Jun 7 21:04:03   kern   info   kernel   br0: port 4(tap21) entering forwarding state
Jun 7 21:04:03   kern   info   kernel   br0: port 4(tap21) entering forwarding state


-klient


Jun  7 21:04:30 unknown user.info kernel: device tap11 entered promiscuous mode
Jun  7 21:04:30 unknown user.info kernel: br0: port 3(tap11) entering forwarding state
Jun  7 21:04:31 unknown daemon.warn openvpn-client1[5536]: Cipher negotiation is disabled since neither P2MP client nor server mode is enabled
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5536]: OpenVPN 2.5.9 mipsel-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [MH/PKTINFO] [AEAD]
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5536]: library versions: OpenSSL 1.1.1t  7 Feb 2023, LZO 2.10
Jun  7 21:04:31 unknown daemon.warn openvpn-client1[5538]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Jun  7 21:04:31 unknown daemon.warn openvpn-client1[5538]: WARNING: INSECURE cipher (BF-CBC) with block size less than 128 bit (64 bit).  This allows attacks like SWEET32.  Mitigate by using a --cipher with a larger block size (e.g. AES-256-CBC). Support for these insecure ciphers will be removed in OpenVPN 2.7.
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: Outgoing Static Key Encryption: Cipher 'BF-CBC' initialized with 128 bit key
Jun  7 21:04:31 unknown daemon.warn openvpn-client1[5538]: WARNING: INSECURE cipher (BF-CBC) with block size less than 128 bit (64 bit).  This allows attacks like SWEET32.  Mitigate by using a --cipher with a larger block size (e.g. AES-256-CBC). Support for these insecure ciphers will be removed in OpenVPN 2.7.
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: Outgoing Static Key Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: Incoming Static Key Encryption: Cipher 'BF-CBC' initialized with 128 bit key
Jun  7 21:04:31 unknown daemon.warn openvpn-client1[5538]: WARNING: INSECURE cipher (BF-CBC) with block size less than 128 bit (64 bit).  This allows attacks like SWEET32.  Mitigate by using a --cipher with a larger block size (e.g. AES-256-CBC). Support for these insecure ciphers will be removed in OpenVPN 2.7.
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: Incoming Static Key Encryption: Using 256 bit message hash 'SHA256' for HMAC authentication
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: TUN/TAP device tap11 opened
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: TUN/TAP TX queue length set to 1000
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: /usr/sbin/ip link set dev tap11 up mtu 1500
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: /usr/sbin/ip link set dev tap11 up
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: /usr/sbin/ip addr add dev tap11 10.8.0.2/24
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: updown-client.sh tap11 1500 1590 10.8.0.2 255.255.255.0 init
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: TCP/UDP: Preserving recently used remote address: [AF_INET]XXX.XXX.XXX.XXX:1194
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: Socket Buffers: R=[87380->87380] S=[16384->16384]
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: Attempting to establish TCP connection with [AF_INET]XXX.XXX.XXX.XXX:1194 [nonblock]
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: TCP connection established with [AF_INET]XXX.XXX.XXX.XXX:1194
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: TCP_CLIENT link local: (not bound)
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: TCP_CLIENT link remote: [AF_INET]XXX.XXX.XXX.XXX:1194
Jun  7 21:04:31 unknown daemon.err openvpn-client1[5538]: Authenticate/Decrypt packet error: cipher final failed
Jun  7 21:04:31 unknown daemon.err openvpn-client1[5538]: Fatal decryption error (process_incoming_link), restarting
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: SIGUSR1[soft,decryption-error] received, process restarting
Jun  7 21:04:31 unknown daemon.notice openvpn-client1[5538]: Restart pause, 5 second(s)
Jun  7 21:04:36 unknown daemon.warn openvpn-client1[5538]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Jun  7 21:04:36 unknown daemon.notice openvpn-client1[5538]: Re-using pre-shared static key
Jun  7 21:04:36 unknown daemon.notice openvpn-client1[5538]: Preserving previous TUN/TAP instance: tap11
Jun  7 21:04:36 unknown daemon.notice openvpn-client1[5538]: TCP/UDP: Preserving recently used remote address: [AF_INET]XXX.XXX.XXX.XXX:1194
Jun  7 21:04:36 unknown daemon.notice openvpn-client1[5538]: Socket Buffers: R=[87380->87380] S=[16384->16384]
Jun  7 21:04:36 unknown daemon.notice openvpn-client1[5538]: Attempting to establish TCP connection with [AF_INET]XXX.XXX.XXX.XXX:1194 [nonblock]
Jun  7 21:04:36 unknown daemon.notice openvpn-client1[5538]: TCP connection established with [AF_INET]XXX.XXX.XXX.XXX:1194
Jun  7 21:04:36 unknown daemon.notice openvpn-client1[5538]: TCP_CLIENT link local: (not bound)
Jun  7 21:04:36 unknown daemon.notice openvpn-client1[5538]: TCP_CLIENT link remote: [AF_INET]XXX.XXX.XXX.XXX:1194
Jun  7 21:04:37 unknown daemon.err openvpn-client1[5538]: Authenticate/Decrypt packet error: cipher final failed
Jun  7 21:04:37 unknown daemon.err openvpn-client1[5538]: Fatal decryption error (process_incoming_link), restarting
Jun  7 21:04:37 unknown daemon.notice openvpn-client1[5538]: SIGUSR1[soft,decryption-error] received, process restarting
Jun  7 21:04:37 unknown daemon.notice openvpn-client1[5538]: Restart pause, 5 second(s)
Jun  7 21:04:42 unknown daemon.warn openvpn-client1[5538]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
 
hermes-80
Szyfrowanie z domyślnego zmień na AES-256-CBC
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
 
Theo16
Dziękuje wszystkim za pomoc. Po zresetowaniu urządzeń do ustawień fabrycznych oraz ustawieniu serwera i klienta od nowa zgodnie z instrukcjami od dar3k oraz radami od hermes-80 połączenie działa prawidłowo. Potrzebuję jeszcze informacji co i gdzie dopisać, aby będąc za serwerem móc się dostać na modem B535-232 192.168.0.1 dający Internet klientowi. W kliencie w basic->network mam ustawiony Route Modem IP.
 
dar3k
A ustawiając z ręki jako bramę adres drugiego routera (tego za serwerem vpn, do którego ten modem jest wpięty jako WAN fizycznie) możesz się dostać na ten modem?
ER-12 + 4x UAP-AC-PRO
 
Theo16
Router po stronie klienta jest ustawiony tak jak widać na załączniku i w tej sieci mam dostęp do modemu na 192.168.0.1. Chciałbym mieć jeszcze dostęp do niego będąc podłączony do sieci po stronie serwera.
Theo16 załączono następujące plik:
Nie masz uprawnień, by zobaczyć załączniki w tym wątku.
 
dar3k
Wpisz ręcznie w ustawienia karty sieciowej bramę na ten router, gdzie chcesz się do modemu dostać i zobacz czy widzisz ten modem - problem jest taki, że po VPN nie zrobisz routingu dwóch sieci, a jak odpowiada Ci po zmianie bramy to może rozwiąże Twój problem Smile
ER-12 + 4x UAP-AC-PRO
 
Theo16
Właśnie myślałem, że można ustawić jakiś routing na stałe, bo ręczna zmiana bramy jest męczące zwłaszcza jak potrzebowałbym się dostać np. z telefonu.
 
hermes-80
Dodajesz trasę na serwerze openvpn w custom config - route 192.168.0.0
Przy twoich potrzebach skonfigurował bym OVPN jako tun. Poza tym dodał bym parametry wskazane przez shbbiego: https://openlinksys.info/forum/viewth...ost_179893 by troszkę przepustowość zwiększyć.
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
 
Przejdź do forum
Zaloguj
Wprowadź adres e-mail lub nazwę użytkownika

Hasło



Nie masz jeszcze konta? Zarejestruj się.

Zapomniałeś/aś hasła?
Aktualnie online
· Gości online: 14

· Użytkowników online: 0

· Łącznie użytkowników: 24,115
· Najnowszy użytkownik: Ja
Czat
Musisz się zalogować, aby opublikować wiadomość.

tamtosiamto
12-05-2024 18:22
Ma ktos sim Plus lub Plush? Mam kod to terabajta danych na 30 dni z blikomanii Smile

RaTaJ
10-05-2024 15:43
Czy intel n100 4x 3,40Ghz z Intel HD i DDR5 byłby dobry, widziałem za 550zł z 8gb ram i ssd 512gb?

Adooni
26-04-2024 14:41
jaki router RMerlin nie pociagne, tomato/ openwrt tak non hilink,

tamtosiamto
23-04-2024 12:35
modem bez smilocka?

man1
22-04-2024 23:27
Czy próbował ktoś uzywac karty voice (z nolimit GB) od tmobile w modemie /routerze? Da się jakoś to zrobić? Bo u mnie neta brak. E3372 Sad

tamtosiamto
31-03-2024 12:54
Wesolego jajka wszytskim forumowiczom Grin

tamtosiamto
28-03-2024 23:24
tak, tak zgadza sie, ale ja pytam o wykluczenie noda na guest network w first set, i to nie dziala

Adooni
24-03-2024 13:16
Guest network is currently designed to allow the first set of each band (2.4G, 5G, 5G-1) available to the AiMesh node

tamtosiamto
24-03-2024 03:03
ale w 1 jest opcja do wyboru - dla calej sieci albo rutera only i wlasnie o tym mowie, ze nie dziala

Adooni
23-03-2024 16:31
w dokumencie asusa jest ze wlasnie dla 1 ma dzialac na nodach tez

72,448,888 unikalnych wizyt