Tôi đã nâng cấp lên Debian 11 từ 10.
Với Debian 10 openvpn hoạt động tốt, bây giờ tôi gặp sự cố này, tôi có thể truy cập máy chủ vpn của mình, nhưng tôi không thể ping hoặc truy cập từ xa lan của mình, ngoại trừ máy chủ vpn.
Đây là cấu hình tường lửa ở phía xa
iptables -L
ĐẦU VÀO chuỗi (chính sách CHẤP NHẬN)
đích prot opt nguồn đích
CHẤP NHẬN tất cả -- mọi nơi mọi nơi có trạng thái LIÊN QUAN,THÀNH LẬP
CHẤP NHẬN tất cả -- mọi nơi mọi nơi
CHẤP NHẬN tcp -- mọi nơi mọi nơi đa cổng dports 2991
CHẤP NHẬN udp -- mọi nơi mọi nơi đa cổng dports 2991
CHẤP NHẬN tcp -- mọi nơi mọi lúc mọi nơi tcp dpt:http-alt
CHẤP NHẬN tcp -- 192.168.0.0/24 ở mọi nơi tcp dpt:cisco-sccp
CHẤP NHẬN tcp -- 192.168.0.0/24 ở mọi nơi tcp dpt:2004
CHẤP NHẬN tcp -- 192.168.0.0/24 ở mọi nơi tcp dpt:3000
CHẤP NHẬN tcp -- 192.168.0.0/24 ở mọi nơi tcp dpt:37890
CHẤP NHẬN tcp -- mọi nơi mọi lúc mọi nơi tcp dpt:2124
CHẤP NHẬN tcp -- mọi nơi mọi lúc mọi nơi tcp dpt:5861
CHẤP NHẬN tcp -- 192.168.0.0/24 ở mọi nơi tcp dpt:telnet
CHẤP NHẬN tcp -- mọi nơi mọi lúc mọi nơi tcp dpts:5900:5910
CHẤP NHẬN icmp -- mọi nơi mọi nơi icmp echo-reply
CHẤP NHẬN icmp -- mọi nơi mọi nơi icmp echo-request
CHẤP NHẬN tất cả -- mọi nơi mọi nơi
ĐĂNG NHẬP tất cả -- mọi nơi mọi nơi
TỪ CHỐI tất cả -- mọi nơi mọi nơi từ chối-với icmp-host-bị cấm
Chuỗi FORWARD (chính sách CHẤP NHẬN)
đích prot opt nguồn đích
CHẤP NHẬN tất cả -- mọi nơi mọi nơi
CHẤP NHẬN tất cả -- mọi nơi mọi nơi có trạng thái LIÊN QUAN,THÀNH LẬP
NFLOG tất cả -- mọi nơi mọi nơi
TỪ CHỐI tất cả -- mọi nơi mọi nơi từ chối-với icmp-host-bị cấm
ĐẦU RA chuỗi (chính sách CHẤP NHẬN)
đích prot opt nguồn đích
CHẤP NHẬN icmp -- mọi nơi mọi nơi icmp echo-reply
CHẤP NHẬN icmp -- mọi nơi mọi nơi icmp echo-request
GHI CHUỒNG (1 tài liệu tham khảo)
đích prot opt nguồn đích
NFLOG all -- mọi nơi mọi nơi nflog-prefix "[iptables-drop]:" nflog-group 11
DROP all -- mọi nơi mọi nơi
root@vpn:/etc/openvpn#
Đây là cấu hình ở phía xa của Openvpn
cổng 2991
nguyên tcp
nhà phát triển điều chỉnh
ca /etc/openvpn/certs/keys/ca.crt
chứng chỉ /etc/openvpn/certs/keys/vpn.******.priv.crt
khóa /etc/openvpn/certs/keys/vpn.******.priv.key
dh /etc/openvpn/dh2048.pem
mạng con cấu trúc liên kết
máy chủ 10.8.0.0 255.255.255.0
ifconfig-pool-persist /var/log/openvpn/ipp.txt
đẩy "tuyến đường 192.168.0.0 255.255.255.0"
khách hàng đến khách hàng
lưu giữ 10 120
tls-auth /etc/openvpn/certs/keys/ta.key 0
dữ liệu-mật mã-dự phòng AES-256-CBC
người dùng openvpn
nhóm không có nhóm
phím kiên trì
kiên trì điều chỉnh
trạng thái /var/log/openvpn/openvpn-status.log
động từ 7
xác thực SHA512
mật mã tls TLS-DHE-RSA-VỚI-AES-256-GCM-SHA384:TLS-DHE-RSA-VỚI-AES-128-GCM-SHA256:TLS-DHE-RSA-VỚI-AES-256-CBC-SHA :TLS-DHE-RSA-VỚI-CAMELLIA-256-CBC-SHA:TLS-DHE-RSA-VỚI-AES-128-CBC-SHA:TLS-DHE-RSA-VỚI-CAMELLIA-128-CBC-SHA
auth-nocache
Đây là cấu hình của openvpn phía client (tường lửa giống hệt remote nên mình tránh post)
khách hàng
nhà phát triển điều chỉnh
nguyên tcp
từ xa ****** 2991
giải quyết-thử lại vô hạn
quý tộc
người dùng không ai
nhóm không ai
phím kiên trì
kiên trì điều chỉnh
chứng chỉ /etc/openvpn/certs/keys/vpn.******.priv.crt
khóa /etc/openvpn/certs/keys/vpn.******.priv.key
dh /etc/openvpn/dh2048.pem
máy chủ từ xa-cert-tls
tls-auth /etc/openvpn/certs/ta.key 1
dữ liệu-mật mã-dự phòng AES-256-CBC
xác thực SHA512
auth-nocache
mạng con cấu trúc liên kết
mật mã tls TLS-DHE-RSA-VỚI-AES-256-GCM-SHA384:TLS-DHE-RSA-VỚI-AES-128-GCM-SHA256:TLS-DHE-RSA-VỚI-AES-256-CBC-SHA :TLS-DHE-RSA-VỚI-CAMELLIA-256-CBC-SHA:TLS-DHE-RSA-VỚI-AES-128-CBC-SHA:TLS-DHE-RSA-VỚI-CAMELLIA-128-CBC-SHA
động từ 7
Lỗi duy nhất tôi tìm thấy trên máy chủ là lỗi này..
21 trước 00:56:23 vpn ovpn-server[3791]: ******/*****:24545 GET INST BY VIRT: 192.168.0.12 [thất bại]
192.168.0.12 là ip máy chủ openvpn và tôi có thể truy cập nó, nhưng mọi ip trong lan 192.168.0.02/24 đều bị chặn (không ping, không ssh, không có gì).
Ví dụ..
$ping 192.168.0.1
PING 192.168.0.1 (192.168.0.1) 56(84) byte dữ liệu.
^C
--- Thống kê ping 192.168.0.1 ---
Truyền 6 gói, nhận 0 gói, mất gói 100%, thời gian 5133ms
$ping 192.168.0.12
PING 192.168.0.12 (192.168.0.12) 56(84) byte dữ liệu.
64 byte từ 192.168.0.12: icmp_seq=1 ttl=64 time=166 ms
64 byte từ 192.168.0.12: icmp_seq=2 ttl=64 time=164 ms
64 byte từ 192.168.0.12: icmp_seq=3 ttl=64 time=84,9 ms
^C
--- Thống kê ping 192.168.0.12 ---
Truyền 3 gói, nhận 3 gói, mất gói 0%, thời gian 2002ms
rtt tối thiểu/trung bình/tối đa/mdev = 84,924/138,389/166,113/37,814 ms
