Forum Debian Users Gang

jacekz · 2017-07-15 13:51:10

Cześć,
nie wiem jak zmusić to do działania. [b]Brak wpisu do tablicy routingu?[/b]

Co zrobiłem:

/etc/systemd/network/vpn.network

Kod:

[Match]
Name=tap9

[Address]
Address=10.10.0.9/24

/etc/systemd/network/vpn.netdev

Kod:

[NetDev]
Name=tap9
Kind=tap

i po starcie systemu mam trzeci interfejs:

Kod:

3: tap9: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast state DOWN group default qlen 1000
    link/ether 0e:31:11:df:84:a4 brd ff:ff:ff:ff:ff:ff
    inet 10.10.0.9/24 brd 10.10.0.255 scope global tap9
       valid_lft forever preferred_lft forever

a po wykonaniu: [b] ssh -o Tunnel=Ethernet -w9:9 [i]no_root_user@serwer[/i][/b]

Kod:

3: tap9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether ee:6c:e2:68:56:bd brd ff:ff:ff:ff:ff:ff
    inet 10.10.0.9/24 brd 10.10.0.255 scope global tap9
       valid_lft forever preferred_lft forever
    inet6 fe80::ec6c:e2ff:fe68:56bd/64 scope link 
       valid_lft forever preferred_lft forever

Kod:

$ ip r
default via 192.168.2.1 dev eth1 proto static 
10.10.0.0/24 dev tap9 proto kernel scope link src 10.10.0.9 
192.168.2.0/24 dev eth1 proto kernel scope link src 192.168.2.102

na serwerze:

Kod:

5: tap9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 500
    link/ether b2:14:e8:9e:69:a4 brd ff:ff:ff:ff:ff:ff
    inet 10.10.0.2/24 brd 10.10.0.255 scope global tap9
       valid_lft forever preferred_lft forever
    inet6 fe80::b014:e8ff:fe9e:69a4/64 scope link 
       valid_lft forever preferred_lft forever

Ostatnio edytowany przez jacekz (2017-07-15 19:18:46)

Jacekalex · 2017-07-15 14:23:52

Intefejsy TAP zrób sobie poleceniem [b]tunctl[/b] z paczki [b]uml-utilities[/b], tak, jak masz w tym tutku:

https://dug.net.pl/tekst/148/tunel_vpn__przez_ssh/

Wtedy na pewno zestawisz tunel.

Potem, jeśli chcesz np korzystać z tego tunelu do używania netu, to tak, jak w każdym VPNie, routing do hosta VPN musi iść przez interfejs zewnętrzny, ale trasa domyślna (ruting default) musi kierować pakiety przez interfejs TAP vpn na drugą końcówkę tunelu.

Przykład pobrania trasy domyślnej do hosta, np:

Kod:

 ip route get $(dig +short dug.net.pl)
46.105.189.254 via 192.168.0.1 dev eth0  src 192.168.0.10 
    cache

Przykład dodania trasy statycznej w tablicy routingu:

Kod:

ip route add 46.105.189.254 via 192.168.0.1 dev eth0  src 192.168.0.10

Potem trzeba podmienić domyślną trasę routingu na tą z VPNa:
Pobieramy:

Kod:

ip route show | grep default
default via 192.168.0.1 dev eth0  metric 4

Trzeba ją usunąć i wstawić własną, wg potrzeb po tym, jak już będzie ustawiona trasa interfejsu do drugiego końca tunelu (co powinno odbyć się automatycznie przy nadawaniu adresu interfejsowi TAP) i tunel będzie uruchomiony.

Krótko pisząc, żadna magia, przy OpeVPN robi się to zazwyczaj automatycznie, przy SSH jest z tym chwilka zabawy.

To jest najprostsza konfiguracja, jest też kilka innych możliwości, jak np druga tablica routingu, sposób nawet wygodniejszy w użyciu, ale trudniejszy we wstępnej konfiguracji.

W ogóle do używania internetu przez VPN lepszy będzie OpenVPN, tunel SSH raczej sprawdzi się przy bezpiecznym dostępie do różnych usług na zdalnym serwerze, bez wystawiania ich do internetu, jak np Mysql, PostgreSQL, Firebird, Webmin, FTP, itp.

Pozdro

Ostatnio edytowany przez Jacekalex (2017-07-15 14:28:19)

morfik · 2017-07-15 14:36:18

Ja u siebie to robiłem [url=https://morfitronik.pl/jak-skonfigurowac-polaczenie-vpn-przez-ssh/]w taki sposób[/url].

Jacekalex · 2017-07-15 14:55:44

[quote=morfik]Ja u siebie to robiłem [url=https://morfitronik.pl/jak-skonfigurowac-polaczenie-vpn-przez-ssh/]w taki sposób[/url].[/quote]
1.Celowo użyłeś TUN zamiast TAP, czy to po prostu było z jakiegoś powodu wygodniejsze?

2. Może starczy użyć dwóch tras routingu default z różnymi metrykami?
https://morfitronik.pl/metryki-tras-interfejsow-eth0-wlan0-laptop-metric/

morfik · 2017-07-15 15:01:48

Ja zwykle jadę na tun i nie używałem w zasadzie tap i temu wyszło tun. xD

Poza tym, to nie wiem co chce autor zrobić ale skoro jest VPN via SSH, to podesłałem artykuł.

Jacekalex · 2017-07-15 15:33:34

O iIle się nie mylę, TUN jest konieczny w Andku bez roota, albo jak nie ma driverów TAP (w Andku czy Windows 10).

W przypadku Linuxa moim zdaniem TAP wymiata o tyle, że jest pełnowartościową kartą sieciową, podczas gdy TUN ma jakieś ograniczenia.

Ostatnio edytowany przez Jacekalex (2017-07-15 15:33:54)

morfik · 2017-07-15 16:21:34

A ten mechanizm w ogóle obsługuje interfejsy TAP? Tak sobie szukam informacji i w zasadzie w manualu to jedyne co znalazłem to taki zapis:

Kod:

-w local_tun[:remote_tun]
             Requests tunnel device forwarding with the specified tun(4) devices between the client (local_tun) and the server (remote_tun).

             The devices may be specified by numerical ID or the keyword “any”, which uses the next available tunnel device.  If remote_tun is not specified, it defaults to “any”.  See also
             the Tunnel and TunnelDevice directives in ssh_config(5).  If the Tunnel directive is unset, it is set to the default tunnel mode, which is “point-to-point”.

I nie ma nic o TAP, jedynie TUN.

Ostatnio edytowany przez morfik (2017-07-15 16:24:04)

jacekz · 2017-07-15 19:08:39

Chyba właśnie TUN wymaga roota i logowania na roota na serwerze.

@Jacekalex, @morfik: [b]pokażcie jak u was wygląda wynik polecenia [/b]

Kod:

ip r

[b]przy działającym tunelu.[/b]

Dodam, że ping na 10.0.0.2 (drugi koniec tunelu postawiony na serwerze) odpowiada

Kod:

ping 10.10.0.2 -c 4
PING 10.10.0.2 (10.10.0.2) 56(84) bytes of data.
64 bytes from 10.10.0.2: icmp_seq=1 ttl=64 time=61.5 ms
64 bytes from 10.10.0.2: icmp_seq=2 ttl=64 time=62.2 ms
64 bytes from 10.10.0.2: icmp_seq=3 ttl=64 time=62.1 ms
64 bytes from 10.10.0.2: icmp_seq=4 ttl=64 time=61.7 ms

--- 10.10.0.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3001ms
rtt min/avg/max/mdev = 61.517/61.914/62.213/0.299 ms

Ostatnio edytowany przez jacekz (2017-07-15 19:44:43)

Jacekalex · 2017-07-15 20:02:01

Rzuć okiem na to:

https://wiki.debian.org/OpenVPN#Debian_Server_with_Android_.2F_iOS_devices

Konkretnie ten fragment:

In client:
Kod:
# ip route add VPNSERVER_IP via LOCALGATEWAY_IP dev eth0  proto static
# ip route change default via 10.9.8.5 dev tun0  proto static   //client tun0 10.9.8.5
[/quote]
Priersza reguła dodaje trasę statyczną do serwera VPN przez aktualny interfejs dostarczający neta, a druga zmienia domyślną trasę routingu, żeby szła przez tunel VPN.

Dokładnie to samo próbowałem wytłumaczyć kilka postów wcześniej.

Ostatnio edytowany przez Jacekalex (2017-07-15 20:03:17)
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)

Time (s)	Query
0.00007	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00062	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.129.67.248' WHERE u.id=1
0.00056	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.129.67.248', 1732486513)
0.00051	SELECT * FROM punbb_online WHERE logged<1732486213
0.00041	SELECT topic_id FROM punbb_posts WHERE id=312472
0.00006	SELECT id FROM punbb_posts WHERE topic_id=29741 ORDER BY posted
0.00041	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=29741 AND t.moved_to IS NULL
0.00005	SELECT search_for, replace_with FROM punbb_censoring
0.00100	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=29741 ORDER BY p.id LIMIT 0,25
0.00201	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=29741
Total query time: 0.00574 s

Forum Debian Users Gang

Ogłoszenie

#1 2017-07-15 13:51:10

jacekz - Użytkownik

VPN przez SSH

Kod:

Kod:

Kod:

Kod:

Kod:

Kod:

#2 2017-07-15 14:23:52

Jacekalex - Podobno człowiek...;)

Re: VPN przez SSH

Kod:

Kod:

Kod:

#3 2017-07-15 14:36:18

morfik - Cenzor wirtualnego świata

Re: VPN przez SSH

#4 2017-07-15 14:55:44

Jacekalex - Podobno człowiek...;)

Re: VPN przez SSH

#5 2017-07-15 15:01:48

morfik - Cenzor wirtualnego świata

Re: VPN przez SSH

#6 2017-07-15 15:33:34

Jacekalex - Podobno człowiek...;)

Re: VPN przez SSH

#7 2017-07-15 16:21:34

morfik - Cenzor wirtualnego świata

Re: VPN przez SSH

Kod:

#8 2017-07-15 19:08:39

jacekz - Użytkownik

Re: VPN przez SSH

Kod:

Kod:

#9 2017-07-15 20:02:01

Jacekalex - Podobno człowiek...;)

Re: VPN przez SSH

Kod:

#10 2017-07-15 20:22:28

jacekz - Użytkownik

Re: VPN przez SSH

Kod:

Kod:

#11 2017-07-15 20:26:03

Jacekalex - Podobno człowiek...;)

Re: VPN przez SSH

#12 2017-07-15 20:47:23

jacekz - Użytkownik

Re: VPN przez SSH

#13 2017-07-15 20:59:16

Jacekalex - Podobno człowiek...;)

Re: VPN przez SSH

Kod:

#14 2017-07-15 21:06:19

jacekz - Użytkownik

Re: VPN przez SSH

Kod:

Kod:

#15 2017-07-15 21:07:55

Jacekalex - Podobno człowiek...;)

Re: VPN przez SSH

Kod:

#16 2017-07-15 21:10:55

jacekz - Użytkownik

Re: VPN przez SSH

Kod:

#17 2017-07-15 21:17:06

Jacekalex - Podobno człowiek...;)

Re: VPN przez SSH

Kod:

Kod:

#18 2017-07-15 21:28:25

jacekz - Użytkownik

Re: VPN przez SSH

Kod:

Kod: