ANTICHAT - Настройка VPN сервера

ANTICHAT (https://forum.antichat.io/index.php)

- Windows (https://forum.antichat.io/forumdisplay.php?f=125)

- - Настройка VPN сервера (https://forum.antichat.io/showthread.php?t=1940564)

Minor

20.05.2017 21:03

Приветствую.
Не получается настроить VPN сервер на Windows, чтобы траффик с компа полностью шел по VPN
Сделал вот по этой инструкции
https://www.elastichosts.com/blog/windows-l2tpipsec-vpn-server/

Почти всё работает, кроме самого главного - я подключаюсь к серверу, но сам траффик через сервер не идет, в том плане, что интернет пропадает, т.е. весь траф заворачивается на сервер, но далее не идет в сам интернет.

Помогите советом, что сделать, чую какой то простой вещи не хватает .

Den1xxx

21.05.2017 08:11

Цитата:

Minor написал(а):

траф заворачивается на сервер, но далее не идет в сам интернет

а он не к тебе должен идти разве?

zionkv

21.05.2017 09:42

Либо галочку гейтвея не поставил, либо ещё что пропустил. И сервер и клиент тебе принадлежит, обе стороны настраиваешь? На openvpn не хочешь это сделать?

Minor

21.05.2017 13:00

Цитата:

Den1xxx написал(а):

а он не к тебе должен идти разве?

Схема
[Мой комп][Инет][сервер с IP 81.XX.XX.XX и с одной сетевухой][Инет]

При подключении VPN - инет пропадает, пинг на внутренний IP VPN есть, а внешние адреса обрезаются.

Еще и сервер кстати виснет, пока не ребутнешь, по ходу только OpenVPN и остается. А его можно как привязать к пользователям на сервере ? чтоб на каждого акк не делать?

zionkv

22.05.2017 00:54

Цитата:

Minor написал(а):

Еще и сервер кстати виснет, пока не ребутнешь

Может, дело вообще именно в этом? У тебя трафик может не маршрутизироваться как раз из-за зависших серверов. Это продакшн, его нельзя переустановить? Открой лог, посмотри, почему машина зависает, я считаю, этот вопрос стоит решать в первую очередь.

OpenVPN раздаёт айпишники по сертификатам. Там есть ещё пара методов, но они не совсем легки в применении, вроде бы, есть поддержка LDAP и с AD интегрировали люди. Если делать вход по логину-паролю, придётся снизить безопасность, лучше всё-таки разобраться с ipsec, не полностью вижу твою задачу, решать самому.

Смотри логи системы, почему виснет при создании тоннеля?

Minor

24.05.2017 21:03

Сервер виснет, почти сразу после коннекта на него клиента. Даже по VNС на него не зайти.
Приходится через панель управления ребутать.

zionkv

24.05.2017 21:17

Цитата:

Minor написал(а):

Сервер виснет, почти сразу после коннекта на него клиента. Даже по VNС на него не зайти.
Приходится через панель управления ребутать.

ну а в логах что?

Можешь попробовать решение от softether, там прога - бесплатный vpn-сервер в любыми типами подключения

Minor

26.05.2017 15:54

Попробую, просто охота опираться на существующих в Винде юзеров, чтоб не генерить акки отдельно.

zionkv

26.05.2017 15:57

Цитата:

Minor написал(а):

Попробую, просто охота опираться на существующих в Винде юзеров, чтоб не генерить акки отдельно.

Решай проблему с зависанием, это потом мало ли во что выльется. Если больше данных дашь - больше помощи будет.

omnisilence

01.06.2017 18:24

Подними сервер на tmg или kerio

Aleks_66_77_88

27.07.2017 17:46

На керио подымал не один раз VPN тунели. Настройка быстрая проблем в работе мною замечено не было. И заодно фаервол получите мощнейший.

friwa

17.11.2017 13:46

http://windowsprofi.ru/win7/nastrojki-vpn-windows-7.html может кому еще нужно =)

Andrw

08.02.2018 13:40

Как хороший вариант - SoftEther VPN попробуй.

Vtk51

10.02.2018 11:24

получилось что нибудь?

romas_s

26.04.2018 12:15

Цитата:

Minor написал(а):

Приветствую.
Не получается настроить VPN сервер на Windows, чтобы траффик с компа полностью шел по VPN
Сделал вот по этой инструкции
https://www.elastichosts.com/blog/windows-l2tpipsec-vpn-server/

Почти всё работает, кроме самого главного - я подключаюсь к серверу, но сам траффик через сервер не идет, в том плане, что интернет пропадает, т.е. весь траф заворачивается на сервер, но далее не идет в сам интернет.

Помогите советом, что сделать, чую какой то простой вещи не хватает .

нужно на машине которая подключается к серверу убрать галочку в:
Протокол Интернета IP4 - дополнительно - убрать галочку назначать метрику по умолчанию.

для выхода в интернет через сервер - к серверу нужно подключить 2 сетевые карты
1-я выход в интернет
2-я - для подключения локальных машин.

Хотелось бы знать зачем Вам собственно VPN сервер для каких целей??

Если для того что бы на халяву можно было выходить в интернет Вашим соседям и т д - то VPN для этого вовсе не нужен. ))))

Если же хотите повысить безопасность рабочей сети выполняя выход через сервер.
В результате получите постоянные жалобы на подтормаживание интернета, приостановка работы предприятия в случае подвисания сетевухи сервера, медленная работа сервера и т д. по мелочах.

Лучше поднять VPN на сетевом оборудовании нежели на Windows Server 20XX.
на VPN поднятом на сетевом оборудовании можно объединить в 1 сетку более 100 локальных сетей без каких либо подвисаний.

Windows Server2003/2008 - в качестве VPN сервера у меня начал загибаться при 50+ активных пользователях.
Багнутое ПО 2003/2008 - при подключении свыше 50 пользователей начинает отрубать пользователей, при том, что со стороны пользователей VPN отображается активным, а на сервере он закрыт.

Крайне не советую юзать багнутый VPN на Windows Server 2003/2008.
VPN сервер в более новых версиях не юзал, но думаю что такой же багнутый и не стабильный.

Цитата:

Aleks_66_77_88 написал(а):

На керио подымал не один раз VPN тунели. Настройка быстрая проблем в работе мною замечено не было. И заодно фаервол получите мощнейший.

Можно ли с использованием Керио - объединить к примеру хотя бы 2 локальных сетки в 1 виртуальную сеть 50 + ПК??

Alekxander

19.06.2018 14:58

Есть вопрос по настройке OpenVPN. Пока настраиваю только сервер. Прогу установил, мануалы в сети очень отличаются. И как по настройке батников и добавлению папок.
Версия проги - 2.4.6
При попытке создавать сертификаты (запускаю build-ca.bat) пишет, что "ssl"не является внутренней или внешней командой. В одном из советов писали, что нужно добавить Глобальную Переменную "PATCH" и указать путь к папке, где лежит екзешник openssl.exe.Не помогло. Может кто подскажет, что не так.

terosufix

19.06.2018 15:12

Цитата:

Alekxander написал(а):

Есть вопрос по настройке OpenVPN. Пока настраиваю только сервер. Прогу установил, мануалы в сети очень отличаются. И как по настройке батников и добавлению папок.
Версия проги - 2.4.6
При попытке создавать сертификаты (запускаю build-ca.bat) пишет, что "ssl"не является внутренней или внешней командой. В одном из советов писали, что нужно добавить Глобальную Переменную "PATCH" и указать путь к папке, где лежит екзешник openssl.exe.Не помогло. Может кто подскажет, что не так.

Вы откройте батник и посмотрите, какой файл он вызывает. Соответсвенно вам нужно этот файл(и все необходимые ему), поместить в прямое поле видения этого батника или через path указать, где ещё смотреть.

zionkv

19.06.2018 15:38

Цитата:

Покажите выбранный маунал, хочу глянуть. 2.4 многое переделали, она вообще больше похожа на мажорный апдейт, поэтому инструкции могут не сходиться. И почти тогда же поменяли easy-rsa со 2 на 3 версию.
Файлу ssl поменяли расширение? Так же, попробуйте делать всё сначала в каталоге c:\openvpn

Alekxander

19.06.2018 15:47

Цитата:

zionkv написал(а):

Покажите выбранный маунал, хочу глянуть. 2.4 многое переделали, она вообще больше похожа на мажорный апдейт, поэтому инструкции могут не сходиться. И почти тогда же поменяли easy-rsa со 2 на 3 версию.
Файлу ssl поменяли расширение? Так же, попробуйте делать всё сначала в каталоге c:\openvpn

Что именно показать? Мануалы в сети находил.И да, разнятся очень сильно. В некоторых пишут , что нужно создать папку ssl.В некоторых нет такого упоминания. Вот так называется файл - openssl-1.0.0.cnf. Сам батник build-ca.bat такой. Екзешник openssl.exeнаходится по пути C:\OpenVPN\bin\

Код:

Код:

@echo off

cd %HOME%

rem build a cert authority valid for ten years, starting now

openssl req -days 3650 -nodes -new -x509 -keyout %KEY_DIR%\ca.key -out %KEY_DIR%\ca.crt -config %KEY_CONFIG%

zionkv

19.06.2018 18:39

Цитата:

Alekxander написал(а):

Что именно показать? Мануалы в сети находил.И да, разнятся очень сильно. В некоторых пишут , что нужно создать папку ssl.В некоторых нет такого упоминания. Вот так называется файл - openssl-1.0.0.cnf. Сам батник build-ca.bat такой. Екзешник openssl.exeнаходится по пути C:\OpenVPN\bin\

Код:

Код:

@echo off

cd %HOME%

rem build a cert authority valid for ten years, starting now

openssl req -days 3650 -nodes -new -x509 -keyout %KEY_DIR%\ca.key -out %KEY_DIR%\ca.crt -config %KEY_CONFIG%

Давайте иначе попробуем. Нашёл у себя openvpn на винде, версия 2.3.14. Запаковал в архив, удалив содержимое папки ssl. Кинул туда же инсталлер (на оф сайте тоже есть), сделал скриншот своей %path%.

Нужно закинуть в C:\OpenVPN, поверх установить из прогу из дистриба, инициализировать ключи и всё взлетит. Easy-RSA тоже можно скачать с оф сайта и кинуть поверх моего, если есть сомнения.

Перед build-ca запускаете vars и clean-all?

Alekxander

20.06.2018 11:06

Цитата:

zionkv написал(а):

Давайте иначе попробуем. Нашёл у себя openvpn на винде, версия 2.3.14. Запаковал в архив, удалив содержимое папки ssl. Кинул туда же инсталлер (на оф сайте тоже есть), сделал скриншот своей %path%.

Нужно закинуть в C:\OpenVPN, поверх установить из прогу из дистриба, инициализировать ключи и всё взлетит. Easy-RSA тоже можно скачать с оф сайта и кинуть поверх моего, если есть сомнения.

Я переменную %path% прописывал системную отдельную. Прописывал в батнике vars. Не помогало. Пытался вчера версию 2.3.18 ставить. Результат одиноковый. Тут ещё вспомнил один нюанс. Был у меня случай, когда что-то не запускалось по RDP, только консольно. Возможно из-за этого? Я всё делаю при подключении по RDP, под пользователем, но с админскими правами.

Цитата:

zionkv написал(а):

Перед build-ca запускаете vars и clean-all?

Это да, я в курсе.
Попробую ещё Ваш вариант. Easy-RSA на сколько я понял теперь идёт отдельно только для никсовых, а для винды всё в одном инсталлере.

В общем сервер настроил. Клиент настроил. Запускаются, подключаются. Но что-то не так с маршрутизацией. Сервер имеет доступ к клиенту по OpenVPN. Клиент не имеет доступ, даже не пингует сервер. Айпишники нормально выдаются. У сервера 10.10.10.1, у клиента 10.10.10.5.
Сервер имеет адрес в локальной сети 192.168.0.10, шлюз 192.168.0.254, маска 255.255.255.0
Клиент имеет прямой доступ в инет с белым айпишником. И второй адрес в локальной сети 192.168.1.11.
Подскажите как правильно прописать маршрутизацию.
Пока в конфиге сервера прописано так.
server 10.10.10.0 255.255.255.0
push "route 192.168.0.0 255.255.255.0"
route 192.168.1.0 255.255.255.0

Ещё нарыл. На сервере, сели включён брандмауер, нужно включить правило "Служба входа в сеть (NP-In). Клиент теперь видит сервер.
Осталось чтобы сеть была видна.

zionkv

05.07.2018 02:09

Цитата:

Alekxander написал(а):

Осталось чтобы сеть была видна.

Сейчас нужно, чтобы клиент видел сеть за сервером? Показывайте route print на клиенте и на сервере (белые адреса лучше затереть).
Не вижу, чтобы где-то был указан в роутах сервер, откуда клиенту знать, что в 0.0/24 сеть нужно ходить через шлюз 10.10.10.1?

Цитата:

Alekxander написал(а):

push "route 192.168.0.0 255.255.255.0"

исходя из маски, клиент, пытаясь попасть на любой адрес из 0.0/24 сети, будет идти на шлюз 0.1, которого у вас нет.

Вам точно нужно, чтобы сети видели друг друга? Много клиентов? Не проще везде сервис запустить?

Цитата:

Alekxander написал(а):

переменную %path% прописывал системную отдельную. Прописывал в батнике vars. Не помогало. Пытался вчера версию 2.3.18 ставить. Результат одиноковый. Тут ещё вспомнил один нюанс. Был у меня случай, когда что-то не запускалось по RDP, только консольно. Возможно из-за этого? Я всё делаю при подключении по RDP, под пользователем, но с админскими правами.

На это уже не нужно отвечать, получилось из RDP с моими файлами?

Кстати, юзайте тимвью, эммиадмин или подобное, если сомневаетесь в правильном поведении RDP. Они именно выводят изображение экрана.

Alekxander

05.07.2018 12:37

Цитата:

zionkv написал(а):

Сейчас нужно, чтобы клиент видел сеть за сервером? Показывайте route print на клиенте и на сервере (белые адреса лучше затереть).
Не вижу, чтобы где-то был указан в роутах сервер, откуда клиенту знать, что в 0.0/24 сеть нужно ходить через шлюз 10.10.10.1?

Скрытое содержимое доступно для зарегистрированных пользователей!

Список интерфейсов
2...40 8d 5c 82 5c 7d ......Realtek PCIe GBE Family Controller #2
16...00 ff f6 7d fe 0f ......TAP-Windows Adapter V9
1...........................Software Loopback Interface 1
8...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter
3...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
12...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #2
================================================== =========================

IPv4 таблица маршрута
================================================== =========================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.0.254 192.168.0.13 291
10.10.10.0 255.255.255.0 10.10.10.2 10.10.10.1 36
10.10.10.0 255.255.255.252 On-link 10.10.10.1 291
10.10.10.1 255.255.255.255 On-link 10.10.10.1 291
10.10.10.3 255.255.255.255 On-link 10.10.10.1 291
127.0.0.0 255.0.0.0 On-link 127.0.0.1 331
127.0.0.1 255.255.255.255 On-link 127.0.0.1 331
127.255.255.255 255.255.255.255 On-link 127.0.0.1 331
192.168.0.0 255.255.255.0 On-link 192.168.0.13 291
192.168.0.13 255.255.255.255 On-link 192.168.0.13 291
192.168.0.255 255.255.255.255 On-link 192.168.0.13 291
192.168.1.0 255.255.255.0 10.10.10.2 10.10.10.1 36
224.0.0.0 240.0.0.0 On-link 127.0.0.1 331
224.0.0.0 240.0.0.0 On-link 10.10.10.1 291
224.0.0.0 240.0.0.0 On-link 192.168.0.13 291
255.255.255.255 255.255.255.255 On-link 127.0.0.1 331
255.255.255.255 255.255.255.255 On-link 10.10.10.1 291
255.255.255.255 255.255.255.255 On-link 192.168.0.13 291
================================================== =========================
Постоянные маршруты:
Сетевой адрес Маска Адрес шлюза Метрика
0.0.0.0 0.0.0.0 192.168.0.254 По умолчанию
================================================== =========================

IPv6 таблица маршрута
================================================== =========================
Активные маршруты:
Метрика Сетевой адрес Шлюз
1 331 ::1/128 On-link
16 291 fe80::/64 On-link
2 291 fe80::/64 On-link
16 291 fe80::8d2d:d08:5bb3:3a01/128
On-link
2 291 fe80::988f:3b48:3c77:495/128
On-link
1 331 ff00::/8 On-link
16 291 ff00::/8 On-link
2 291 ff00::/8 On-link
================================================== =========================
Постоянные маршруты:
Отсутствует

Цитата:

zionkv написал(а):

исходя из маски, клиент, пытаясь попасть на любой адрес из 0.0/24 сети, будет идти на шлюз 0.1, которого у вас нет.

Вот я как бы это понимаю. [S]Как Василий Иванович в анекдоте про математику. )))))))))))))))[/S]
Как бы это правильно прописать???

Цитата:

zionkv написал(а):

Вам точно нужно, чтобы сети видели друг друга? Много клиентов? Не проще везде сервис запустить?

Клиент планируется один подключаться к серверу. А вот в сети сервера к клиенту будет несколько подключений. В основном будет подключение к расшаренному принтеру.
Клиент - это будет удалённый склад, с которым нужна связь.
Кстати сервер OpenVPN переставил на другой комп, чтобы можно было отключить брандмауэр. Пока только сервер и клиент видят друг друга.
И ещё. В конфиге сервера есть указание на конфиг клиента. Там указано.
ifconfig-push 10.10.10.5 10.10.10.6

iroute 192.168.1.0 255.255.255.0

# disable
Большое спасибо за помощь.
П.С. Все интерфейсы с клиента пингуются. Шары на сервере открываются как по айпи ВПН, так по внутреннему локальному айпи.
С сервера пинг не идёт только на внутренний интерфейс клиента. Но мне не критично, так как пока за клиентом не планируется доступ в локалку. Пока с этим разобраться бы.

adminium

06.07.2018 15:11

http://sys-team-admin.ru/stati/bezo...nenie-dlya-windows-nastrojka-vpn-servera.html отличная статейка

LinkBeen

08.08.2018 20:14

Если хотите без гемороя, советую просто через браузер.
Выход идет на весь поток интернета.

1. покупаете IpV4 (цена в среднем 70 рублей)
2. Заходите в настройки Google Chrome, внизу нажимаете "Показать дополнительные настройки"
3. нажимаете "настройки прокси сервера"
4. выбираете вкладку "дополнительно", "настройки сети"
5. нажимаете пункт "использование прокси сервера"
6. там вводите купленный IP
7. сохраняете
8. наслаждаетесь!!!

Время: 01:02