Les saludo y la vez les comento una configuracion de una vpn lan to lan, me falta una parte, pero no encuentro la falla, puede que alguien conozca la solucion le agradecere el aporte.
TENGO DOS REDES REMOTAS RED1 CON UNA CONEXION DE SPEEDY BUSSINESS E IP PUBLICA esta red tiene un server con firewall + proxy transparente eth0 :: 192.168.1.100 eth1 :: 192.168.10.0/24 esta red cuenta con una ip publica, ademas en el mismo router le puse la regla de nat para desde afuera llegar al server que tiene la vpn, osea: direccione el pto. 1194 hacia el ip de la eth0 de mi server en el mismo server firewall + proxy, tambien configure el openvpn la configuracion del openvpn la lleve a cabo sin problemas siguiendo muchos manuales comunes que hay en internet el proxy transparente trabaja OK y las estaciones entran a internet sin problemas por ejemplo una pc cliente seria: 192.168.10.2/255.255.255.0 gateway 192.168.10.1 AQUI LES COLOCO EL MODELO DE MI ARCHIVO DE CONFIGURACION DEL SERVIDOR VPN, los archivos crt y key del server funcionan sin problemas ###### ARCHIVO /etc/openvpn/vpn1.conf --- ARCHIVO DE CONFIGURACION DEL SERVER VPN port 1194 proto udp dev tun ca ca.crt cert vpn1.crt key vpn1.key dh dh1024.pem ###### Direcciones que se asignaran a los clientes, el server es .1 server 10.8.0.0 255.255.255.0 ifconfig-pool-persist ipp.txt #Ruta para que los clientes alcancen la red local del server (10.0/24) push "route 192.168.10.0 255.255.255.0" client-config-dir ccd route 192.168.20.0 255.255.255.0 client-to-client push "route 192.168.20.0 255.255.255.0" keepalive 10 120 comp-lzo user nobody group nobody persist-key persist-tun status openvpn-status.log verb 4 ADEMAS TAMBIEN EN EL ARCHIVO /etc/openvpn/ccd/vpn2 LE AGREGYE ESTE COMANDO --- NECESITO LLEGAR A LA RED 192.168.20.0/24 EN EL OTRO LADO iroute 192.168.20.0 255.255.255.0 TAMBIEN LE AGREGUE UN SCRIPT PARA CREAR RUTAS /sbin/route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.10.1 /sbin/route add -net 192.168.20.0 netmask 255.255.255.0 gw 192.168.10.1 /sbin/route add -net 10.8.0.0 netmask 255.255.255.255 gw 192.168.10.1 Y EL SCRIPT DE MIS REGLAS DE IPTABLES EN ESTE SERVIDOR ES echo -n Aplicando Reglas de Firewall... iptables=/sbin/iptables ## LIMPIEZA TOTAL DE LAS REGLAS ACTUALES #### PARA QUE SE CARGUEN ESTAS NUEVAS REGLAS ############################################ iptables -F iptables -X iptables -Z iptables -t nat -F #### DECLARACION DE VARIABLES #### LO HACEMOS PARA TENER ORDEN Y CLARIDAD LAN=192.168.10.0/24 NUBE=0.0.0.0/0 WAN="192.168.1.100" ## DECLARANDO LAS POLITICAS PRINCIPALES DEL FIREWALL #### AQUI SE DECIDE SI SERA ABIERTO Y CERRADO #### YA DEPENDE DEL ADMINISTRADOR #### EN ESTE CASO ESTAMOS ABRIENDO TODOS LOS PUERTOS Y CERRAMOS LOS QUE DESEAMOS iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT iptables -t nat -P PREROUTING ACCEPT iptables -t nat -P POSTROUTING ACCEPT ## CARGA FORZADA DE MODULOS IMPORTANTES ### A VECES EN ALGUNOS SISTEMAS NO ESTAN CARGADOS modprobe iptable_nat modprobe ip_nat_ftp modprobe ip_conntrack_ftp ## POLITICAS POR DEFECTO POR LA VPN iptables -F FORWARD iptables -P FORWARD ACCEPT iptables -A INPUT -i tun0 -j ACCEPT iptables -A FORWARD -i tun0 -j ACCEPT iptables -A FORWARD -o tun0 -j ACCEPT iptables -A OUTPUT -o tun0 -j ACCEPT iptables -A INPUT -i tap0 -j ACCEPT iptables -A FORWARD -i tap0 -j ACCEPT iptables -A INPUT -p udp --dport 1194 -j ACCEPT iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE iptables -A FORWARD -s 192.168.20.0/24 -j ACCEPT iptables -t nat -A POSTROUTING -s 192.168.20.0/24 -o eth0 -j MASQUERADE ## SE AUMENTAN EL NUMERO DE CONEXIONES SEGUIDAS echo 65535 > /proc/sys/net/ipv4/ip_conntrack_max ## SE IGNORAN LOS ERRORES DEL ICMP echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ## SE HABILITA EL FORWARD DE LOS PAQUETES echo 1 > /proc/sys/net/ipv4/ip_forward ## SE HABILITA LA PROTECCION CONTRA LOS SYN FLOODS echo 1 > /proc/sys/net/ipv4/tcp_syncookies ## SE QUITAN LOS REGISTROS DE BROADCAST EN /var/log/messages iptables -t mangle -I PREROUTING -j DROP -d 224.0.0.0/8 ## SE CONECTA LA LAN CON EL PROXY TRANSPARENTE #### YA NO ES NECESARIO COLOCAR EN LOS NAVEGADORES LO DEL PROXY iptables -t nat -A PREROUTING -i eth1 -p tcp -s $LAN -d $NUBE --dport 80 -j REDIRECT --to-port 3128 ###### MANEJO DE PUERTO ESPECIAL PARA LAS VPNS - OPENVPN iptables -A INPUT -i eth0 -p tcp --dport 1194 -j ACCEPT ##### ENMASCARAMOS LAS CONEXIONES DE LOS DNS ENTERNOS, MSN Y OTROS PARA TODAS iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 53 -j MASQUERADE iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 53 -j MASQUERADE iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 5190 -j MASQUERADE iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 5190 -j MASQUERADE iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 1863 -j MASQUERADE iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 1863 -j MASQUERADE iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 1024:65535 -j MASQUERADE iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 1024:65535 -j MASQUERADE #### YA HACIENDO EL NAT EN LA V iptables -t nat -A POSTROUTING -s $LAN -d $NUBE -j SNAT --to-source $WAN # /root/cbq.init stats | more iptables -t nat -L -n ###################################################################################################### ###################################################################################################### CONFIGURACION DEL SERVER2 EN EL OTRO LOCAL RED2 CON UNA CONEXION DE SPEEDY CLASS SIN IP PUBLICA esta red tiene un server con firewall + proxy transparente eth0 :: 192.168.1.101 eth1 :: 192.168.20.0/24 en el mismo server firewall + proxy, tambien configure el openvpn el proxy transparente trabaja OK y las estaciones entran a internet sin problemas por ejemplo una pc cliente seria: 192.168.20.2/255.255.255.0 gateway 192.168.20.1 AQUI LES COLOCO EL MODELO DE MI ARCHIVO DE CONFIGURACION DEL SERVIDOR VPN2, los archivos crt y key del server funcionan sin problemas -- vim /etc/openvpn/vpn2.conf client dev tun proto udp remote 190.41.110.99 1194 resolv-retry infinite nobind ####### PARA QUE ME SIRVE ESTE COMANDO ALGUIEN LO PUEDE ACLARAR #Las dos siguientes opciones no van en windows user nobody group nobody persist-key persist-tun ca ca.crt cert vpn2.crt key vpn2.key comp-lzo verb 4 TAMBIEN CREE UN SCRIPT DE RUTAS /sbin/route add -net 10.8.0.0 netmask 255.255.255.255 gw 192.168.20.1 /sbin/route add -net 192.168.10.0 netmask 255.255.255.0 gw 192.168.20.1 /sbin/route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.20.1 MI SCRIPT DE FIREWALL DE ESTA RED echo -n Aplicando Reglas de Firewall... iptables=/sbin/iptables ## LIMPIEZA TOTAL DE LAS REGLAS ACTUALES #### PARA QUE SE CARGUEN ESTAS NUEVAS REGLAS ############################################ iptables -F iptables -X iptables -Z iptables -t nat -F #### DECLARACION DE VARIABLES #### LO HACEMOS PARA TENER ORDEN Y CLARIDAD LAN=192.168.20.0/24 NUBE=0.0.0.0/0 WAN="192.168.1.101" ## DECLARANDO LAS POLITICAS PRINCIPALES DEL FIREWALL #### AQUI SE DECIDE SI SERA ABIERTO Y CERRADO #### YA DEPENDE DEL ADMINISTRADOR #### EN ESTE CASO ESTAMOS ABRIENDO TODOS LOS PUERTOS Y CERRAMOS LOS QUE DESEAMOS iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT iptables -t nat -P PREROUTING ACCEPT iptables -t nat -P POSTROUTING ACCEPT ## CARGA FORZADA DE MODULOS IMPORTANTES ### A VECES EN ALGUNOS SISTEMAS NO ESTAN CARGADOS modprobe iptable_nat modprobe ip_nat_ftp modprobe ip_conntrack_ftp ## POLITICAS POR DEFECTO POR LA VPN iptables -F FORWARD iptables -P FORWARD ACCEPT iptables -A INPUT -i tun0 -j ACCEPT iptables -A FORWARD -i tun0 -j ACCEPT iptables -A FORWARD -o tun0 -j ACCEPT iptables -A OUTPUT -o tun0 -j ACCEPT iptables -A INPUT -i tap0 -j ACCEPT iptables -A FORWARD -i tap0 -j ACCEPT iptables -A INPUT -p udp --dport 1194 -j ACCEPT iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE iptables -A FORWARD -s 192.168.10.0/24 -j ACCEPT iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE ## SE AUMENTAN EL NUMERO DE CONEXIONES SEGUIDAS echo 65535 > /proc/sys/net/ipv4/ip_conntrack_max ## SE IGNORAN LOS ERRORES DEL ICMP echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ## SE HABILITA EL FORWARD DE LOS PAQUETES echo 1 > /proc/sys/net/ipv4/ip_forward ## SE HABILITA LA PROTECCION CONTRA LOS SYN FLOODS echo 1 > /proc/sys/net/ipv4/tcp_syncookies ## SE QUITAN LOS REGISTROS DE BROADCAST EN /var/log/messages iptables -t mangle -I PREROUTING -j DROP -d 224.0.0.0/8 ## SE CONECTA LA LAN CON EL PROXY TRANSPARENTE #### YA NO ES NECESARIO COLOCAR EN LOS NAVEGADORES LO DEL PROXY iptables -t nat -A PREROUTING -i eth1 -p tcp -s $LAN -d $NUBE --dport 80 -j REDIRECT --to-port 3128 ###### MANEJO DE PUERTO ESPECIAL PARA LAS VPNS - OPENVPN iptables -A INPUT -i eth0 -p tcp --dport 1194 -j ACCEPT ##### ENMASCARAMOS LAS CONEXIONES DE LOS DNS ENTERNOS, MSN Y OTROS PARA TODAS LAS VES Y VLANS iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 53 -j MASQUERADE iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 53 -j MASQUERADE iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 5190 -j MASQUERADE iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 5190 -j MASQUERADE iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 1863 -j MASQUERADE iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 1863 -j MASQUERADE iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 1024:65535 -j MASQUERADE iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 1024:65535 -j MASQUERADE #### YA HACIENDO EL NAT EN LA V iptables -t nat -A POSTROUTING -s $LAN -d $NUBE -j SNAT --to-source $WAN # /root/cbq.init stats | more iptables -t nat -L –n EN CADA SERVER LEVANTA el dev tun0 sin problemas EN EL SERVER2 SE LE ASIGNA UNA IP 10.8.0.6 en el dev tun0 YA QUE EL dev tun0 DEL SERVER1 tiene asignado 10.8.0.1 entre la red 10.8.0.0/24 puedo hacer ping sin problemas, PERO ENTRE LOS SERVERS NO PUEDO HACER PING NI A LA 192.168.10.1 NI A LA 192.168.20.1, COMO CONSECUENCIA UNA ESTACION DE LA RED1 NO PUEDE HACER PING A UNA PC DE LA RED2 Y VICEVERSA DONDE ESTA LA FALLA HAY QUE HACER ALGO EN EL ROUTER DEL SPEEDY CLASS DE LA RED2 O NO DESDE LA RED2 QUIERO ACCEDER A UN SISTEMA QUE LO RTIENE UNA PC DE LA RED1, ESE ES MI OBJETIVO PERO NO LOGRO. ESPERO SUS COMENTARIOS ATT. PAUL CRIOLLO
_______________________________________________ CentOS-es mailing list CentOS-es@centos.org http://lists.centos.org/mailman/listinfo/centos-es
