www.zeroshell.net

[scanepa]

Ciao a tutti,
ho attivato OpenVPN sul mio firewall che è connesso a Internet usando una ADSL e una SHDSL entrambe con IP statico.
Il router ADSL fa NAT e filtra tutte le connessioni in ingresso, il router SHDSL non ha nessuna regola di firewalling e quindi mi aspetto di poter vedere attraverso questa interfaccia la mia VPN, ma così non è. Se mi connetto all'esterno e provo, con nmap a vedere se la porta di OpenVPN è aperta ho in risposta che è filtrata. Cosa sbaglio? Ho provato ha vedere le regole di iptables (via ssh) e mi sembrano ok.

Ciao
Stefano

[redfive]

Non ho ben capito , il router con shdsl non natta ? Hai un pubblico sull' interfaccia interna ? Che indirizzo ha l'interfaccia di Zs connessa a tale router , pubblico o privato ?

[scanepa]

Si scusa ma sono stato poco chiaro:
1) IP statico da entrambe le parti
2) lato SHDSL IP publico direttamente all'ETH del firewall
3) lato ADSL router del provider con NAT configurabile su mia richiesta, per ora non ho fatto aprire nessuna porta.

Ciao
Stefano

[redfive]

Se non ho capito male , lasciando stare per ora il router che fà nat , sul router con shdsl hai un pubblico lato wan (doppino , seriale..) ed hai anche un pubblico sull interfaccia interna , alla quale è connesso a sua volta l'interfaccia del FW (ZS) , alla quale è stato assegnato un pubblico ? Qual è il default-gateway del FW ? Se colleghi un pc direttamente al router shdsl , la configurazione ip è automatica (dhcp)o la setti manualmente ? Il pc riesce a navigare ? Quando vuoi connetterti dall'esterno via vpn , punti sul pubblico lato wan del router shdsl o direttamente su pubblico del FW ? Lato ZS , le policy di default del firewall sono ad ACCEPT sia sulla chain di input (ed output) che su quella di forward .

[scanepa]

[redfive]

Proverei a creare , in balancing rules , una regola che instradi i pacchetti di risposta destinati ai vpn client verso il gateway corretto (ip e0 del cisco). Potresti postare la regola che viene aggiunta in automatico quando attivi la vpn ? La ho sempre inserita manualmente , cambiando la policy di default da ACCEPT a DROP

[scanepa]

[redfive]

Dopo aver cambiato nella chain di input la policy di default da accept a drop ,per permettere la connessione al vpn server ho sempre inserito una regola accept, specificando interfaccia di ingresso , protocollo e porta (credo che tu avedo il pubblico statico possa anche specificare il dest.ip address) ,eventualmente in IPTABLES Parameters -m limit , -m state (in funzione di altre rules) ,-m comment.... il tutto tranquillamente da GUI .

[scanepa]

Grazie, ora funziona tutto. L'unico problema è che ora mi sono tagliato fuori dall'interfaccia web di amministrazione per un errore, rimedierò domani usando la console.

Ancora grazie.

Ciao
Stefano