Dzień dobry,

Świetny artykuł!

Mam kilka spostrzeżeń:

1. Można wygenerować jeden certyfikat klienta a dostęp dla poszczególnych użytkowników ustawić w PPP. Wszyscy użytkownicy mają ten sam certyfikat klienta (a co za tym idzie jeden plik profilu .ovpn, ale o tym w punkcie 3).

2. Można uniknąć pytania o hasło do klucza prywatnego (oprócz loginu i hasła). W tym celu trzeba wykonać:
openssl.exe rsa -in user.key -out user.key

3. Zamiast 4 plików (profil.ovpn, ca.cert, user.cert, user.key) można mieć jeden – profil.ovpn w nim sekcje:

W tych sekcjach należy wkleić odpowiednie certyfikaty (ca.cert, user.cert, user.key).

Z pliku profilu trzeba usunąć linie:
ca ca.crt
cert user.crt
key user.key

Pozdrawiam,
Bogusław Gębura

Podpowie ktoś jak skonfigurować klienta aby w tej konfiguracji przez tunel vpn łączył się tylko z jednym hostem bądz z konkretną siecią natomiast internet był dostępny przez łącze lokalne.

Dzień dobry,
czy jeśli moje połączenie z dostawcą internetowym nie odbywa się przy pomocy PPPoE to czy taka konfiguracja powinna działać? Pytam bo mam problem z połączeniem po skonfigrowaniu wg instrukcji. Moje połączenie to dostaje adres zewnętrzny przez DHCP od dostawcy.

Witam
Piewszy raz chciałbym postawić jakiegoś VPNa Mam stały publiczny adres IP połączenie PPPoE i MT RB2011 UiAS. Zależy mi żeby z jednego góra dwóch komputerów mieć dostęp do sieci LAN. Próbowałem l2tp ale wystąpił u mnie w kompie jakiś „nieoczekiwany błąd” nie dało się wejść we właściwości nowego połączenia.

Czy żeby móc korzystać z OPENVPN muszę mieć jakieś konto? Wszystko jest płatne czy jak? Bo potrzebuję domeny jak w artykule: „Common Name: *.grzegorzkowalik.com, czyli certyfikat typu wildcard”
Pewnie za jakiś czas douczę się, dowiem o co chodzi, więc jeśli mój wpis zaniża poziom proszę usunać.
Zajmuję się konfigurowaniem systemów KD CCTV SAP itp polubiłem MT ale o co chodzi z tym VPN? Szukam w google top 10 darmowych VPN otwieram jakies a tam załóż konto podaj nr karty kredytowej…

Czy jest możliwość konfiguracji VPN zgodnie z powyższym opisem bez domeny tylko ze stałym adresem IP?

Hej. Rozwiązanie z certyfikatami generowanymi z mikrotiku mi działa, jednak chciałbym importować certyfikaty z CA mojej domeny, dodatkowo by na mikrotiku sprawdzany był certyfikat stacji – Win10, Zależy mi na łączeniu z VPN większej ilości maszyn by były weryfikowane ich indywidualne certyfikaty stacji.

Udało się komuś połączyć z Androida?? z Windows działa bezproblemowo ale z telefonu nie chce się połączyć

Panie Grzegorzu ustawiłem OpenVPN wg Pańskiego przewodnika i w zasadzie działa mi prawie wszystko. W zależności od tego czy w pliku konfiguracji klienta dodając route siec_LAN maska na przemian z redirect-gateway def1 mam odpowiednie kierowanie ruchem.

W konfiguracji Mikrotika ustawiłem adres dns w profilu. Po połączeniu klienta Windows po poleceniu ipconfig /all widzę wskazany adres serwera dns jaki jest dla mojej sieci LAN czyli Mikrotik. Problem w tym, że wywołując poleceine nslookup onet.pl dostaję informacje, że zapytania są wysyłane na adres mikrotika czyli 192.168.xxx.1, natomiast dostaję timeouty – czyli DNS nie realizuje zapytań.

Dodałem regułę na firewallu input chain na tcp na interfejsie all ppp dla source address wskazując nazwę listy adresów, którą aktualizuje każde połączenie przez VPN (w profilu mam wskazaną listę adresów).

Gdzie tutaj leży mój błąd konfigutracji dns lub firewalla ?

Pojawiła się nowa wersja OVPN GUI 2.5.0
Przy łączeniu się wywala na czerwono ostrzeżenie

DEPRECATED OPTION:
–cipher set to 'AES-256-CBC’ but missing in
–data-ciphers (AES-256-GCM:AES-128-GCM). Future OpenVPN version will ignore
–cipher for cipher negotiations. Add 'AES-256-CBC’ to
–data-ciphers or change
–cipher 'AES-256-CBC’ to
–data-ciphers-fallback 'AES-256-CBC’ to silence this warning.

Można tą funkcję włączyć lub wyłączyć zgodnie z opisem. Proszę autora o sugestię i opis istotności ustawienia.

Witam. Skonfigurowałem całość zgodnie z opisem i udaje się połączyć z vpn, w przeglądarce dostaję IP publiczne takie jak na WAN mikrotika. Niestety nie mogę sobie poradzić z routingiem tak, żeby mieć dostęp do zasobów LAN ze świata po połączeniu z VPN. Próbowałem dodać do pliku konfiguracyjnego *.ovpn linijkę route ale kompletnie nie mam pojęcia jak i nic nie działało.
W mikrotiku mam tak:
Mikrotik LAN: 192.168.0.1/24 – interface bridge1
Mikrotik WAN: tu moje publiczne stałe IP – połączenie pppoe
Profil PPP adres: 192.168.10.1
Pula dla open vpn: 192.168.10.2 – 192.168.10.32 – ustawiona w profilu PPP

Na mikrotiku mogę pingować na IP PPP czyli 192.168.10.1
ale już na podłączony zdalnie komputer który dostaje IP 192.168.10.32 nie mogę.
I oczywiście z połączonego komputera mogę pingować mikrotika VPN IP 192.168.10.1
Nie mogę natomiast pingować niczego z sieci LAN 192.168.0.1/24

Jak to wpisać w pliku *.ovpn żeby po połączeniu się z tunelem mieć dostęp do lokalnych zasobów po stronie LAN mikrotika ? Ewentualnie jak ustawić jakiś routing na mikrotiku, tak żeby obie sieci mogły ze sobą gadać ?

Z góry dziękuję za jakiekolwiek podpowiedzi.

https://pastebin.com/gD8fE3yh

a w logach mam w Logach mam „duplicate packet, dropping”

Zrobiłem wszystko zgodnie z instrukcją.
OpenVpn się łączy, routing działa.
Mogę pingować komputery w sieci, nawet prosty serwis REST działa na zdalnej maszynie.
Ale …
Jak próbuję podpiąć się pod RDP lub VNC całe połączanie umiera. Po kilku zmianach udało mi się doprowadzić do sytuacji, że połączenie udaje się nawiązać, ale po restarcie połączenia wszystko wraca do normy.
Po połączeniu mogę wejść po sambie na zdalną maszynę i widzę pierwszy poziom, ale po próbie wejścia do kolejnych katalogów sytuacja jak wyżej.
Dopiero restart połączenia a czasem całego routera pomaga.

Mikrotik stoi za NATem port 1194 otwarty.
Już mi się pokończyły pomysły.

Przepraszam za błąd w w/wym. wypowiedzi nie chodzi oczywiście w ostatnim zdaniu o przekierowanie portu a o otwarcie portu 1195 po drodze do do drugiego MT

Odniosę się do pierwszego komentarza, ze względu że jest enigmatyczny. Ja to tak rozumiem, że jeżeli chcemy wygenerować tylko jeden certyfikat użytkownika a jednocześnie chcemy kontrolować / selektywnie dopuszczać do zasobów LAN poszczególnych użytkowników ( lub grup) to tworzymy każdego nowego usera z utworzonego wcześniej user najprościej przez kopiowanie i modyfikację. Kopiujemy w PPP->Secrets nowego usera nadając mu inną nazwę, hasło i Remote Address z puli po za pool- vpn ale z tej samej sieci co pool-vpn. Tak utworzonych nowych userów kontrolujemy w Firewall używając ich Src. Address (odpowiada to nadanym Remotre Address ) odpowiednimi regułami zezwalającymi lub zabraniającymi.
Przykład pool-openvpn 10.10.10.2- 10.10.10.30, sieć 10.0.0.0/24
W PPP-> Secrets tworzymy kolejnego usera o nazwie: darek dajemy mu hasło: „haslodarka”, Remote Address adres np. 10.10.10.100
i chcemy go ograniczyć: przyznać mu dostęp tylko do hosta 192.168.0.21
to w Firewal ->Fiter Rules: drop Src Addres =10.10.10.100 Dst. Addres = !192.168.0.21 forward
a poniżej accept Src. Address 10.10.10.0./24 forward.
i.t.d. tworzymy kolejnych userów lub grup userów.

Świetny tekst, szczególnie dla osób zaczynających „zabawę” z MT. Proszę o komentarz do problemu: VPN serwer na cele prywatne (klientów do 10), głównie urządzenia mobilne;
Czy OpenVPN jest właściwym rozwiązaniem czy należy rozważyć inny serwer?
Jak wygląda problem „inverse split tunneling”? Ktoś ma doświadczenie albo porady?
Z góry dziękuję za podzielenie się wiedzą
Pozdrawiam,
MiKa

Witam, walczę według Twojego poradnika…spróbowałem zarówno na RB2011 oraz CCR1009-7G-1C-1S+… W obu przypadkach po próbie połączenia w logu mam duplicate packing, dropping… Nie mam pojęcia co robić