Les saludo y la vez les comento una configuracion de una vpn lan to lan, me falta una parte, pero no encuentro la falla, puede que alguien conozca la solucion le agradecere el aporte.
TENGO DOS REDES REMOTAS
RED1 CON UNA CONEXION DE SPEEDY BUSSINESS E IP PUBLICA
esta red tiene un server con firewall + proxy transparente
eth0 :: 192.168.1.100
esta red cuenta con una ip publica, ademas en el mismo router le puse la regla de nat para desde afuera llegar al server que tiene la vpn, osea:
direccione el pto. 1194 hacia el ip de la eth0 de mi server
en el mismo server firewall + proxy, tambien configure el openvpn
la configuracion del openvpn la lleve a cabo sin problemas siguiendo muchos manuales comunes que hay en internet
el proxy transparente trabaja OK y las estaciones entran a internet sin problemas
AQUI LES COLOCO EL MODELO DE MI ARCHIVO DE CONFIGURACION DEL SERVIDOR VPN, los archivos crt y key del server funcionan sin problemas
###### ARCHIVO /etc/openvpn/vpn1.conf --- ARCHIVO DE CONFIGURACION DEL SERVER VPN
port 1194
proto udp
dev tun
ca ca.crt
cert vpn1.crt
key vpn1.key
dh dh1024.pem
###### Direcciones que se asignaran a los clientes, el server es .1
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
#Ruta para que los clientes alcancen la red local del server (10.0/24)
push "route 192.168.10.0 255.255.255.0"
client-config-dir ccd
route 192.168.20.0 255.255.255.0
client-to-client
push "route 192.168.20.0 255.255.255.0"
keepalive 10 120
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
verb 4
ADEMAS TAMBIEN EN EL ARCHIVO
/etc/openvpn/ccd/vpn2
LE AGREGYE ESTE COMANDO --- NECESITO LLEGAR A LA RED
192.168.20.0/24 EN EL OTRO LADO
iroute 192.168.20.0 255.255.255.0
TAMBIEN LE AGREGUE UN SCRIPT PARA CREAR RUTAS
/sbin/route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.10.1
/sbin/route add -net 192.168.20.0 netmask 255.255.255.0 gw 192.168.10.1
/sbin/route add -net 10.8.0.0 netmask 255.255.255.255 gw 192.168.10.1
Y EL SCRIPT DE MIS REGLAS DE IPTABLES EN ESTE SERVIDOR ES
echo -n Aplicando Reglas de Firewall...
iptables=/sbin/iptables
iptables -F
iptables -X
iptables -Z
iptables -t nat -F
#### DECLARACION DE VARIABLES
#### LO HACEMOS PARA TENER ORDEN Y CLARIDAD
LAN=
192.168.10.0/24NUBE=
0.0.0.0/0
WAN="192.168.1.100"
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
## CARGA FORZADA DE MODULOS IMPORTANTES
### A VECES EN ALGUNOS SISTEMAS NO ESTAN CARGADOS
modprobe iptable_nat
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp
## POLITICAS POR DEFECTO POR LA VPN
iptables -F FORWARD
iptables -P FORWARD ACCEPT
iptables -A INPUT -i tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -j ACCEPT
iptables -A OUTPUT -o tun0 -j ACCEPT
iptables -A INPUT -i tap0 -j ACCEPT
iptables -A FORWARD -i tap0 -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j ACCEPT
iptables -A FORWARD -s
10.8.0.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -s
10.8.0.0/24 -o eth0 -j MASQUERADE
## SE AUMENTAN EL NUMERO DE CONEXIONES SEGUIDAS
echo 65535 > /proc/sys/net/ipv4/ip_conntrack_max
## SE IGNORAN LOS ERRORES DEL ICMP
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
## SE HABILITA EL FORWARD DE LOS PAQUETES
echo 1 > /proc/sys/net/ipv4/ip_forward
## SE HABILITA LA PROTECCION CONTRA LOS SYN FLOODS
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
## SE QUITAN LOS REGISTROS DE BROADCAST EN /var/log/messages
iptables -t mangle -I PREROUTING -j DROP -d
224.0.0.0/8## SE CONECTA LA LAN CON EL PROXY TRANSPARENTE
#### YA NO ES NECESARIO COLOCAR EN LOS NAVEGADORES LO DEL PROXY
iptables -t nat -A PREROUTING -i eth1 -p tcp -s $LAN -d $NUBE --dport 80 -j REDIRECT --to-port 3128
###### MANEJO DE PUERTO ESPECIAL PARA LAS VPNS - OPENVPN
iptables -A INPUT -i eth0 -p tcp --dport 1194 -j ACCEPT
##### ENMASCARAMOS LAS CONEXIONES DE LOS DNS ENTERNOS, MSN Y OTROS PARA TODAS
iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 53 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 53 -j MASQUERADE
iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 5190 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 5190 -j MASQUERADE
iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 1863 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 1863 -j MASQUERADE
iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 1024:65535 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 1024:65535 -j MASQUERADE
iptables -t nat -A POSTROUTING -s $LAN -d $NUBE -j SNAT --to-source $WAN
iptables -t nat -L -n
CONFIGURACION DEL SERVER2 EN EL OTRO LOCAL
RED2 CON UNA CONEXION DE SPEEDY CLASS SIN IP PUBLICA
esta red tiene un server con firewall + proxy transparente
eth0 :: 192.168.1.101
en el mismo server firewall + proxy, tambien configure el openvpn
el proxy transparente trabaja OK y las estaciones entran a internet sin problemas
AQUI LES COLOCO EL MODELO DE MI ARCHIVO DE CONFIGURACION DEL SERVIDOR VPN2, los archivos crt y key del server funcionan sin problemas -- vim /etc/openvpn/vpn2.conf
client
dev tun
proto udp
remote 190.41.110.99 1194
resolv-retry infinite
nobind ####### PARA QUE ME SIRVE ESTE COMANDO ALGUIEN LO PUEDE ACLARAR
#Las dos siguientes opciones no van en windows
user nobody
group nobody
persist-key
persist-tun
ca ca.crt
cert vpn2.crt
key vpn2.key
comp-lzo
verb 4
TAMBIEN CREE UN SCRIPT DE RUTAS
/sbin/route add -net 10.8.0.0 netmask 255.255.255.255 gw 192.168.20.1
/sbin/route add -net 192.168.10.0 netmask 255.255.255.0 gw 192.168.20.1
/sbin/route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.20.1
MI SCRIPT DE FIREWALL DE ESTA RED
echo -n Aplicando Reglas de Firewall...
iptables=/sbin/iptables
iptables -F
iptables -X
iptables -Z
iptables -t nat -F
#### DECLARACION DE VARIABLES
#### LO HACEMOS PARA TENER ORDEN Y CLARIDAD
LAN=192.168.20.0/24
NUBE=0.0.0.0/0
WAN="192.168.1.101"
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
modprobe iptable_nat
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp
iptables -F FORWARD
iptables -P FORWARD ACCEPT
iptables -A INPUT -i tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -j ACCEPT
iptables -A OUTPUT -o tun0 -j ACCEPT
iptables -A INPUT -i tap0 -j ACCEPT
iptables -A FORWARD -i tap0 -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j ACCEPT
iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -A FORWARD -s 192.168.10.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE
echo 65535 > /proc/sys/net/ipv4/ip_conntrack_max
## SE IGNORAN LOS ERRORES DEL ICMP
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
iptables -t mangle -I PREROUTING -j DROP -d 224.0.0.0/8
iptables -t nat -A PREROUTING -i eth1 -p tcp -s $LAN -d $NUBE --dport 80 -j REDIRECT --to-port 3128
iptables -A INPUT -i eth0 -p tcp --dport 1194 -j ACCEPT
iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 53 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 53 -j MASQUERADE
iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 5190 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 5190 -j MASQUERADE
iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 1863 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 1863 -j MASQUERADE
iptables -t nat -A POSTROUTING -p tcp -s $LAN -d $NUBE --dport 1024:65535 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp -s $LAN -d $NUBE --dport 1024:65535 -j MASQUERADE
iptables -t nat -A POSTROUTING -s $LAN -d $NUBE -j SNAT --to-source $WAN
iptables -t nat -L –n
EN CADA SERVER LEVANTA el dev tun0 sin problemas
EN EL SERVER2 SE LE ASIGNA UNA IP 10.8.0.6 en el dev tun0
YA QUE EL dev tun0 DEL SERVER1 tiene asignado 10.8.0.1
entre la red 10.8.0.0/24 puedo hacer ping sin problemas, PERO ENTRE LOS SERVERS NO PUEDO HACER PING NI A LA 192.168.10.1 NI A LA 192.168.20.1, COMO CONSECUENCIA UNA ESTACION DE LA RED1 NO PUEDE HACER PING A UNA PC DE LA RED2 Y VICEVERSA
DONDE ESTA LA FALLA
HAY QUE HACER ALGO EN EL ROUTER DEL SPEEDY CLASS DE LA RED2 O NO
DESDE LA RED2 QUIERO ACCEDER A UN SISTEMA QUE LO RTIENE UNA PC DE LA RED1, ESE ES MI OBJETIVO PERO NO LOGRO.
ESPERO SUS COMENTARIOS
ATT.
PAUL CRIOLLO