OpenVPN - Ping geht nicht

[Saxenpower]

Hi,

ich habe jetzt Probleme mit dem Pingen während einer OpenVPN-Verbindung.
Auf meiner Linux-Maschine (Debian/Squeeze) habe ich das Forwarding

Code: Alles auswählen

cat /proc/sys/net/ipv4/ip_forward
1

über die /etc/sysctl.conf mit "net.ipv4.ip_forward=1" dauerhaft eingestellt. Auf der Gegenmaschine, ein Vista-Client, der später Samba-Dienste beanspruchen soll, habe ich in "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" den DWORD-Wert "IPEnableRouter" auf 1 gesetzt.

Meine Testverbindung starte ich auf dem Server mit

Code: Alles auswählen

openvpn --remote 192.168.0.29 --dev tun0 --ifconfig 11.0.0.1 11.0.0.2 --verb 7

und auf dem Vista-Client mit

Code: Alles auswählen

openvpn --remote 192.168.0.2 --dev tun --ifconfig 11.0.0.2 11.0.0.1 --verb 7

Beide melden dann "Initialization Sequence Completed".

Während der Vista-Client den Server anpingen kann, kann der Server umgekehrt mit

Code: Alles auswählen

ping -c3 11.0.0.2
PING 11.0.0.2 (11.0.0.2) 56(84) bytes of data.

--- 11.0.0.2 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 2015ms

es nicht.
Ich habe dazu einmal die Firewall ganz gelöscht und beim zweiten Versuch
iptables -A FORWARD -i tun0 -o eth0 -s 11.0.0.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -s 11.0.0.0/24 -d 192.168.0.0/24 -j ACCEPT
gestartet:

Code: Alles auswählen

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     all  --  tun0   eth0    11.0.0.0/24          192.168.0.0/24      
    0     0 ACCEPT     all  --  eth0   tun0    11.0.0.0/24          192.168.0.0/24

Das Routing sieht so aus

Code: Alles auswählen

Ziel            Router          Genmask         Flags   MSS Fenster irtt Iface
11.0.0.2        0.0.0.0         255.255.255.255 UH        0 0          0 tun0
192.168.0.0     0.0.0.0         255.255.255.0   U         0 0          0 eth1
0.0.0.0         192.168.0.1     0.0.0.0         UG        0 0          0 eth1

Jetzt interessiert mich, warum der Server den Client über 11.0.0.2 anpingen kann?
Auch ein

Code: Alles auswählen

route del -host 11.0.0.2 
route add -host 11.0.0.2  gw 11.0.0.1

Code: Alles auswählen

Ziel            Router          Genmask         Flags   MSS Fenster irtt Iface
11.0.0.2        11.0.0.1        255.255.255.255 UGH       0 0          0 tun0
192.168.0.0     0.0.0.0         255.255.255.0   U         0 0          0 eth1
0.0.0.0         192.168.0.1     0.0.0.0         UG        0 0          0 eth1

hilft nicht weiter.

Grüße

SaxenPower

[timhaberkamm]

Kann er lediglich nicht pingen oder gehen auch keine Daten durch?

Falls es "nur" das Pingen ist: Lasse mal in der Vista-Firewall die ICMP-Echoanforderungen zu.

[Saxenpower]

Es funktioniert derzeit wirklich nur der Ping in Richtung Vista nicht. Aber auf dem Windowsrechner läuft auch keine Firewall. Die Samba-Dienste kann er gut empfangen.
Ich möchte OpenVPN erst komplett ohne Firewall zum Laufen bringen, das schränkt die Fehlerquellen ein. Später schalte ich auf dem Server Shorewall (IPTables-Frontend) ein.
Wenn ich die gleiche Befehlskette statt von Windows von Debian/Lenny auf dem Laptop an den Server schicke, dann habe ich die Möglichkeit von beiden Seiten die Pings abzusetzen.

Routing Server

Code: Alles auswählen

Ziel            Router          Genmask         Flags   MSS Fenster irtt Iface
11.0.0.2        0.0.0.0         255.255.255.255 UH        0 0          0 tun0
192.168.0.0     0.0.0.0         255.255.255.0   U         0 0          0 eth1
0.0.0.0         192.168.0.1     0.0.0.0         UG        0 0          0 eth1

Code: Alles auswählen

Routing Laptop (Linux)

Code: Alles auswählen

Ziel            Router          Genmask         Flags   MSS Fenster irtt Iface
11.0.0.1        0.0.0.0         255.255.255.255 UH        0 0          0 tun0
192.168.0.0     0.0.0.0         255.255.255.0   U         0 0          0 ath0
0.0.0.0         192.168.0.1     0.0.0.0         UG        0 0          0 ath0
0.0.0.0         0.0.0.0         0.0.0.0         U         0 0          0 eth0

Auf beiden ist die Firewall ausgeschaltet.