无法从 Ubuntu 13.10 访问 OpenVPN 后面的 LAN

Question 1

Thu Jan  9 18:52:43 2014 PUSH: Received control message: 'PUSH_REPLY,dhcp-option DNS 192.168.1.1,route-gateway dhcp,ping 15,ping-restart 60'

从日志中可以看出，客户端计算机未获取有效的 DHCP IP，而这通常应由服务器使用“push”语句推送。因此客户端无法与对等方（服务器）通信，然后触发重启。

您可能注意到，这里也推送了“ping 15, ping-restart 60”，这就是为什么会出现“SIGUSR1”。请参阅“man openvpn”了解更多详细信息。

   --ping-restart n
          Similar  to --ping-exit, but trigger a SIGUSR1 restart after n seconds pass without reception of a ping or other packet from remote.

          This option is useful in cases where the remote peer has a dynamic IP address and a low-TTL  DNS  name  is  used  to  track  the  IP  address  using  a service such as http://dyndns.org/ + a dynamic DNS client such as ddclient.

          If the peer cannot be reached, a restart will be triggered,  causing  the  hostname used with --remote to be re-resolved (if --resolv-retry is also specified).

Answer

Thu Jan  9 18:52:43 2014 PUSH: Received control message: 'PUSH_REPLY,dhcp-option DNS 192.168.1.1,route-gateway dhcp,ping 15,ping-restart 60'

从日志中可以看出，客户端计算机未获取有效的 DHCP IP，而这通常应由服务器使用“push”语句推送。因此客户端无法与对等方（服务器）通信，然后触发重启。

您可能注意到，这里也推送了“ping 15, ping-restart 60”，这就是为什么会出现“SIGUSR1”。请参阅“man openvpn”了解更多详细信息。

   --ping-restart n
          Similar  to --ping-exit, but trigger a SIGUSR1 restart after n seconds pass without reception of a ping or other packet from remote.

          This option is useful in cases where the remote peer has a dynamic IP address and a low-TTL  DNS  name  is  used  to  track  the  IP  address  using  a service such as http://dyndns.org/ + a dynamic DNS client such as ddclient.

          If the peer cannot be reached, a restart will be triggered,  causing  the  hostname used with --remote to be re-resolved (if --resolv-retry is also specified).

Question 2

连接后，您可以访问 LAN 上的单个节点，但无法访问其他节点。以下是发生的情况。您的路由器不知道如何为 OpenVPN 路由流量，因为它是一个“外部网络”。示例：

客户端 A 连接到 OpenVPN 服务器 B。

A分配的OpenVPN地址为172.19.0.2，服务器的OpenVPN地址为172.19.0.1，但其LAN地址为192.168.0.101。

A 正在尝试连接到 LAN 上的另一个盒子 192.168.0.33 (C)。为了实现这一点，流量必须从 A 发起，传输到 B，传输到 B 的网关（路由器）最后传输给C.

现在，继续前进。如果您没有 LAN 路由器的管理员权限，这些都不起作用：

因此，首先您需要在 OpenVPN 服务器上启用路由，以便它可以将数据包路由到网关。这将因您的操作系统而异，但您应该能够谷歌搜索“启用路由_“（您的操作系统名称）。这样做。

然后你需要在路由器上添加一条静态路由，以便它知道 openvpn 流量必须从 LAN 返回通过您的 openvpn 服务器。在您的路由器配置中找到静态路由部分，然后添加路由。该路由必须与您的服务器配置文件中的地址规范相匹配。因此，如果您的服务器配置文件将使用虚拟网络 10.20.0.0 和网络掩码 255.255.0.0，则您需要添加

network - 10.20.0.0
netmask - 255.255.0.0
gateway - 192.168.0.101 #replace this with your openvpn server's address on the lan)

那就可以了。

Answer

连接后，您可以访问 LAN 上的单个节点，但无法访问其他节点。以下是发生的情况。您的路由器不知道如何为 OpenVPN 路由流量，因为它是一个“外部网络”。示例：

客户端 A 连接到 OpenVPN 服务器 B。

A分配的OpenVPN地址为172.19.0.2，服务器的OpenVPN地址为172.19.0.1，但其LAN地址为192.168.0.101。

A 正在尝试连接到 LAN 上的另一个盒子 192.168.0.33 (C)。为了实现这一点，流量必须从 A 发起，传输到 B，传输到 B 的网关（路由器）最后传输给C.

现在，继续前进。如果您没有 LAN 路由器的管理员权限，这些都不起作用：

因此，首先您需要在 OpenVPN 服务器上启用路由，以便它可以将数据包路由到网关。这将因您的操作系统而异，但您应该能够谷歌搜索“启用路由_“（您的操作系统名称）。这样做。

然后你需要在路由器上添加一条静态路由，以便它知道 openvpn 流量必须从 LAN 返回通过您的 openvpn 服务器。在您的路由器配置中找到静态路由部分，然后添加路由。该路由必须与您的服务器配置文件中的地址规范相匹配。因此，如果您的服务器配置文件将使用虚拟网络 10.20.0.0 和网络掩码 255.255.0.0，则您需要添加

network - 10.20.0.0
netmask - 255.255.0.0
gateway - 192.168.0.101 #replace this with your openvpn server's address on the lan)

那就可以了。

Question 3

Ubuntu Server 14.04.1 如何在 LAN 网关以外的单独机器上设置 OpenVPN 服务器（可以访问服务器 LAN 上的其他机器）

确保您的 openvpn LAN 不是通常的 192.168.1.1 或 10.0.0.1。如果是，请登录您的路由器并更改第三个数字，即 192.168.(此数字).1

确保将路由器上的端口 1194 转发到 OpenVPN 服务器 IP

示例网络：

Gateway IP:            192.168.5.1
OpenVPN Server IP:     192.168.5.20

OpenVPN配置：

 port 1194
 proto udp
 dev tun0
 ca ca.crt
 cert server.crt
 key server.key
 dh dh2048.pem
 server 10.8.0.0 255.255.255.0
 ifconfig-pool-persist ipp.txt
 push "route 192.168.5.0 255.255.255.0"
 push "route 10.8.0.0 255.255.255.0"
 push "redirect-gateway def1 bypass-dhcp"
 push "dhcp-option DNS 8.8.8.8"
 push "dhcp-option DNS 8.8.4.4"
 client-to-client
 duplicate-cn
 keepalive 10 120
 tls-auth ta.key 0
 comp-lzo
 user nobody
 group nogroup
 persist-key
 persist-tun 
 status openvpn-status.log
 verb 3

编辑 /etc/network/interfaces：

 auto lo
 iface lo inet loopback

 auto eth0
 iface eth0 inet static
      address 192.168.5.20
      netmask 255.255.255.0
      broadcast 192.168.5.255
      network 192.168.5.0
      gateway 192.168.5.1
      dns-nameservers 8.8.8.8
      dns-nameservers 8.8.4.4

 post-up iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to 192.168.5.20

确保注释掉 ipv6 设置

编辑/etc/sysctl.conf：

改变：

 #net.ipv4.ip_forward=1

到：

 net.ipv4.ip_forward=1

假设您的密钥和客户端配置都已整理好；重新启动服务器，您就可以开始了！

Answer