Наша компания арендует в офисе другой компании одну комнату, в которой стоит пару компьютеров. Поставил на одном из компьютеров OpenVPN для создания канала в нашу сеть. Админ той, другой сети просит описать то, что куда соединяется и что нужно открыть для OpenVPN. Вот конфиг клиента:

client

dev tun

proto udp

remote x.y.z.w 1194

resolv-retry infinite

nobind

persist-key
persist-tun

ca ca.crt
cert client.crt
key client.key

tls-auth ta.key 1

comp-lzo

verb 3

Что еще нужно открыть, кроме соедниния по udp порту 1194?? Телнетом на адрес x.y.z.w 1194 тоже не подключается. На сервере появляется строка TLS: Initial packet from... и все дальше думает и выкидывает TLS Error ... (check your network...)

• Что нужно открыть для OpenVPN?,ze6ra, 12:46 , 27-Ноя-09
• Что нужно открыть для OpenVPN?,ALex_hha, 13:31 , 27-Ноя-09
  • Что нужно открыть для OpenVPN?,IvanSCW, 10:39 , 01-Дек-09
    • Что нужно открыть для OpenVPN?,ze6ra, 11:53 , 01-Дек-09
      • Что нужно открыть для OpenVPN?,IvanSCW, 11:58 , 01-Дек-09
        • Что нужно открыть для OpenVPN?,ze6ra, 13:04 , 01-Дек-09
          • Что нужно открыть для OpenVPN?,IvanSCW, 16:51 , 01-Дек-09
            • Что нужно открыть для OpenVPN?,IvanSCW, 18:02 , 01-Дек-09
              • Что нужно открыть для OpenVPN?,PavelR, 18:06 , 01-Дек-09
                • Что нужно открыть для OpenVPN?,Алексей, 13:49 , 15-Июл-11
                  • Что нужно открыть для OpenVPN?,FelikZ, 02:34 , 22-Мрт-16
                    • Что нужно открыть для OpenVPN?,Le0n, 21:36 , 17-Май-16
                      • Что нужно открыть для OpenVPN?,Alex, 16:07 , 03-Сен-19
                  • Что нужно открыть для OpenVPN?,Лэйла, 13:55 , 03-Май-20

>[оверквотинг удален]
>tls-auth ta.key 1
>
>comp-lzo
>
>verb 3
>
>Что еще нужно открыть, кроме соедниния по udp порту 1194?? Телнетом на
>адрес x.y.z.w 1194 тоже не подключается. На сервере появляется строка TLS:
>Initial packet from... и все дальше думает и выкидывает TLS Error
>... (check your network...)

сервер должен впускать udp на свой порт 1194 и выпускать со своего udp 1194 на любой порт.
клиент соответственно выпускать upd на удалённый 1194 и принимать udp с порта 1194.

в tls-auth на сервере должен ссылаться на тотже ключ что и клиент и параметр tls-auth direction должен быть равен 0.

telnet делаел tcp подключение c udp он не поможет.

Ты всегда можешь проверить с помощью tcpdump

Блин, все равно не хочет подключаться

На серваке видно, что начинается соединение, появляется сообщение:

TLS: Initial packet from ... , sid ...

Потом думает и отваливается

TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity).

Я так понял админ в той сети еще ни чего не изменял, потому что все не может понять, что я от него хочу. Может проблема в другом...

>[оверквотинг удален]
>TLS: Initial packet from ... , sid ...
>
>Потом думает и отваливается
>
>TLS Error: TLS key negotiation failed to occur within 60 seconds (check
>your network connectivity).
>
>Я так понял админ в той сети еще ни чего не изменял,
>потому что все не может понять, что я от него хочу.
>Может проблема в другом...

Логи у openvpn ведутся не только на сервере но и у клиента.
Неплохо бы tcpdump задействовать.
Можно попробовать настроить тунель без TLS и шифрований.

У меня все крутиться на win платформе

У клиента:

OpenVPN 2.0.9 Win32-MinGW [SSL] [LZO] built on Oct  1 2006
IMPORTANT: OpenVPN's default port number is now 1194, based on an official port number assignment by IANA.  OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Control Channel Authentication: using 'c:\Program Files\OpenVPN\easy-rsa\keys\ta.key' as a OpenVPN static key file
Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
LZO compression initialized
UDPv4 link local: [undef]
UDPv4 link remote: x.y.z.w:41194
TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
TLS Error: TLS handshake failed
TCP/UDP: Closing socket
SIGUSR1[soft,tls-error] received, process restarting
Restart pause, 2 second(s)

IMPORTANT: OpenVPN's default port number is now 1194, based on an official port number assignment by IANA.  OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Re-using SSL/TLS context
LZO compression initialized
UDPv4 link local: [undef]
UDPv4 link remote: x.y.z.w:41194
TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
TLS Error: TLS handshake failed
TCP/UDP: Closing socket
SIGUSR1[soft,tls-error] received, process restarting
Restart pause, 2 second(s)
IMPORTANT: OpenVPN's default port number is now 1194, based on an official port number assignment by IANA.  OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
.....

Есть такая программа tcpdump

Посмотрел другим анализатором трафика. Похоже что так и есть, пакеты с внутреннего адреса 192.168.21.18 уходят на внешний адрес, но обратных пакетов я не вижу. Как сформулировать это для местного админа?
"Весь трафик приходящий из интернета на порт 1194 перенаправлять на такие то ip-шники"?

А на локальной машине openvpn привязывается к какому то конкретному порту?

>А на локальной машине openvpn привязывается к какому то конкретному порту?

Посольку по пути у вас есть неопределенный NAT, попробуйте настроить openvpn на работу по tcp (с обеих сторон).

>>А на локальной машине openvpn привязывается к какому то конкретному порту?
> Посольку по пути у вас есть неопределенный NAT, попробуйте настроить openvpn на
> работу по tcp (с обеих сторон).

Два дня боролся с этой проблемой, сменил протокол на TCP, все заработало!!!
Видимо такие udp пакеты режутся на уровне провайдера

>>>А на локальной машине openvpn привязывается к какому то конкретному порту?
>> Посольку по пути у вас есть неопределенный NAT, попробуйте настроить openvpn на
>> работу по tcp (с обеих сторон).
> Два дня боролся с этой проблемой, сменил протокол на TCP, все заработало!!!
> Видимо такие udp пакеты режутся на уровне провайдера

Тоже самое, помогло.

>>>>А на локальной машине openvpn привязывается к какому то конкретному порту?
>>> Посольку по пути у вас есть неопределенный NAT, попробуйте настроить openvpn на
>>> работу по tcp (с обеих сторон).
>> Два дня боролся с этой проблемой, сменил протокол на TCP, все заработало!!!
>> Видимо такие udp пакеты режутся на уровне провайдера
> Тоже самое, помогло.

У меня была та же серия ошибок (судя по вашим логам).
Это означает (вероятно), что не совпадают алгоритмы хешей аутентификации.
Решилось следующим образом:
На обоих сторонах (в конфигах сервера и клиента) добавил строку:
auth SHA512

Запахало сходу...

>[оверквотинг удален]
>>>> работу по tcp (с обеих сторон).
>>> Два дня боролся с этой проблемой, сменил протокол на TCP, все заработало!!!
>>> Видимо такие udp пакеты режутся на уровне провайдера
>> Тоже самое, помогло.
> У меня была та же серия ошибок (судя по вашим логам).
> Это означает (вероятно), что не совпадают алгоритмы хешей аутентификации.
> Решилось следующим образом:
> На обоих сторонах (в конфигах сервера и клиента) добавил строку:
> auth SHA512
> Запахало сходу...

>>>А на локальной машине openvpn привязывается к какому то конкретному порту?
>> Посольку по пути у вас есть неопределенный NAT, попробуйте настроить openvpn на
>> работу по tcp (с обеих сторон).
> Два дня боролся с этой проблемой, сменил протокол на TCP, все заработало!!!
> Видимо такие udp пакеты режутся на уровне провайдера

Спасибо! Сменила провайдера с ростелеком на мегафон, и сразу подключилось!