openvpn bridge - kein ping

[real-challo]

Hallo !

Ich weiss, daß es vieles über dieses Problem zu finden ist, aber bei mir klappt es einfach nicht.

Server : Debian
Clients : XP

Server hat folgende Config :
------------------------------------
port 1194
proto udp
mode server
tls-server

dev tap

ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/vpn-server.crt
key /etc/openvpn/keys/vpn-server.key # This file should be kept secret

dh /etc/openvpn/keys/dh2048.pem

ifconfig-pool-persist ipp.txt

server-bridge 192.168.20.231 255.255.255.0 192.168.20.10 192.168.20.49

keepalive 10 120

comp-lzo

user nobody
group nogroup

persist-key
persist-tun

status openvpn-status.log

log-append /var/log/openvpn.log

verb 9

------------------------------------

Die Interfaces sehen nach dem "bridge-start" so aus :

br0 : 192.168.20.231
eth0 : (keine IP)
eth1 : 213.x.x.x (echte durch x ersetzt)
tap0 : keine IP

wobei eth0 ins LAN geht und eth1 ins Internet geht

Der Client kann sich am Server anmelden - ich sehe keine fehlermeldungen - Die Verbindung steht (sagen zumindest Client und Server)

Aber ich kann nichts anpingen und zu keinem Dienst verbinden. Selbst die 231 (VPN-Server selbst) kann ich nicht anpingen. Es läuft keine Firewall - Forwarding ist auch schon aktiviert.

Ich muss zugeben, ich habe 2 Sachen nicht "wirklich" verstanden :

1. ist es richtig daß ich den Bridge auf eth0 (also internes Netz) lege und nicht auf eth1 wo es zum Internet geht ?
2. Bei "server-bridge" trägt man doch als erste Option die IP, die eth0 hat (bzw. br0 - da br0 die IP von eth0 übernimmt) ?

Na ja da sind erstmal die 2 Fragen aber Hauptprblem ist, warum ich keine ping etc. durchführen kann.

[moe81]

Hallo !

Ich weiss, daß es vieles über dieses Problem zu finden ist, aber bei mir klappt es einfach nicht.

Server : Debian
Clients : XP

Server hat folgende Config :
------------------------------------
port 1194
proto udp
mode server
tls-server

dev tap

ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/vpn-server.crt
key /etc/openvpn/keys/vpn-server.key # This file should be kept secret

dh /etc/openvpn/keys/dh2048.pem

ifconfig-pool-persist ipp.txt

server-bridge 192.168.20.231 255.255.255.0 192.168.20.10 192.168.20.49

keepalive 10 120

comp-lzo

user nobody
group nogroup

persist-key
persist-tun

status openvpn-status.log

log-append /var/log/openvpn.log

verb 9

------------------------------------

Die Interfaces sehen nach dem "bridge-start" so aus :

br0 : 192.168.20.231
eth0 : (keine IP)
eth1 : 213.x.x.x (echte durch x ersetzt)
tap0 : keine IP

wobei eth0 ins LAN geht und eth1 ins Internet geht

Der Client kann sich am Server anmelden - ich sehe keine fehlermeldungen - Die Verbindung steht (sagen zumindest Client und Server)

Aber ich kann nichts anpingen und zu keinem Dienst verbinden. Selbst die 231 (VPN-Server selbst) kann ich nicht anpingen. Es läuft keine Firewall - Forwarding ist auch schon aktiviert.

Ich muss zugeben, ich habe 2 Sachen nicht "wirklich" verstanden :

1. ist es richtig daß ich den Bridge auf eth0 (also internes Netz) lege und nicht auf eth1 wo es zum Internet geht ?
2. Bei "server-bridge" trägt man doch als erste Option die IP, die eth0 hat (bzw. br0 - da br0 die IP von eth0 übernimmt) ?

Na ja da sind erstmal die 2 Fragen aber Hauptprblem ist, warum ich keine ping etc. durchführen kann.

Moin Moin,

also dein Tunnel-steht-aber-ping-geht-nicht problem rührt daher das du ihm
das tap-device falsch angegeben hast. Richtig wäre dev tap0 bzw. die nummer des tap devices die dir das bridging-modul
zuweist (einfach mal nen ifconfig machen und schauen). Hab am Freitag auch 4 Stunden für fehlersuche verschwendet wg. der blöden 0 :-)

Ja es ist richtig das du die bridge auf das lokale interface legst, schließlich
willst du ja mit deinem VPN-Client in dein lokales Netzwerk gebrückt werden. Das br0 interface am Server ist der virtuelle ausgang deiner openVPN
Netzwerkkarte (TAP-Device) am Client.

zu2.
Ja du trägst in dem bridge-utils startscript die ip-adresse der Netzwerkkarte
ein die du überbrücken willst (also in dem Fall die der NIC die an dein lokales
Netz angschlossen ist). Ich trage zusätzlich in da script immer noch ein
ifup eth0 ein (um der physikalischen Netzwerkkarte auch wieder die IP zu geben)
weil ich sonst manchmal probleme habe den server aus dem lokalen netz zu erreichen.

MFG MoeZ