OpenVPN - Was hab ich vergessen?

[Oelapaloma]

Hallo.

Ich möchte zwei alte PCs mit Debian als Brücke von zwei Netzwerken nutzen.
( 192.168.0.0 und 192.168.1.0 )

Damit es recht redundant läuft, hab ich Gegenseitig zwei einfache OpenVPN Tunnel aufgebaut. So das in der Zeit der Zwangstrennung ... bis zur Aktualisierung der Dyn-Adresse (was bis zu 5 Min dauern kann), das jeweils andere VPN übernehmen kann.


tun0 172.27.25.2 zu 172.27.25.1
tun1 172.27.26.2 zu 172.27.26.1

die OpenVPN-Confs sehen ungefähr so auf beiden aus:

Code: Alles auswählen

client.conf:
dev tun
remote dynIP 11199
proto tcp-client
keepalive 120 300
dev tun
ifconfig 172.27.25.2 172.27.25.1
secret /etc/openvpn/srv-static.key

srv.conf:
dev tun
port 11199
proto tcp-server
keepalive 120 300
dev tun
ifconfig 172.27.26.1 172.27.26.2
secret /etc/openvpn/srv-static.key

Code: Alles auswählen

PC 1

ping 172.27.26.1
PING 172.27.26.1 (172.27.26.1) 56(84) bytes of data.
64 bytes from 172.27.26.1: icmp_seq=1 ttl=64 time=39.5 ms

ing 172.27.25.2
PING 172.27.25.2 (172.27.25.2) 56(84) bytes of data.
64 bytes from 172.27.25.2: icmp_seq=1 ttl=64 time=37.8 ms

PC 2:
ping 172.27.25.1
PING 172.27.25.1 (172.27.25.1) 56(84) bytes of data.
64 bytes from 172.27.25.1: icmp_seq=1 ttl=64 time=37.6 ms

ping 172.27.26.2
PING 172.27.26.2 (172.27.26.2) 56(84) bytes of data.
64 bytes from 172.27.26.2: icmp_seq=1 ttl=64 time=38.5 ms

An den Antworten und Latenzzeiten sieht man, dass die beide VPNs schon mal prima laufen.

Code: Alles auswählen

sysctl -w net.ipv4.ip_forward=1

bzw. /etc/sysctl.conf habe ich auch um net.ipv4.ip_forward=1 erweitert.


In den jeweiligen Routern habe ich auch das jeweils andere Network sowie die VPN-IPs eingetragen, damit später alle Rechner automatisch von Router auf die VPN-Brücke umgelenkt werden.

Problem 1 ist (von den anderen PCs im Netzwerk):

Code: Alles auswählen

ping -t 172.27.25.1

Ping wird ausgeführt für 172.27.25.1 mit 32 Bytes Daten:
Antwort von 172.27.25.1: Bytes=32 Zeit=1ms TTL=63


ping -t 172.27.25.2

Ping wird ausgeführt für 172.27.25.2 mit 32 Bytes Daten:
Zeitüberschreitung der Anforderung.

wird letzteres (das VPN-Netzwerk auf der anderen Seiten) nicht beantwortet, obwohl es direkt auf dem Debian-Rechner funktioniert.

Ein Tracereoute auf die IP zeigt auch es leitet dieser um, aber ab dann ist Überschreitung. Die Anfragen werden vermutlich ign. oder vom Linux abgewiesen.

Code: Alles auswählen

tracert 172.27.25.2

Routenverfolgung zu 172.27.25.2 über maximal 30 Abschnitte

  1    <1 ms    <1 ms    <1 ms  192.168.1.1
  2    <1 ms    <1 ms    <1 ms  192.168.1.254
  3     *        *        *     Zeitüberschreitung der Anforderung.
  4     *        *        *     Zeitüberschreitung der Anforderung.
  ...

Problem 2 ist (was sich wohl mit der Problemlösung von P1 schon lösen könnte):

das auch kein Ping des jeweiligen anderen Netzwerkes funktioniert.

Hier müsste ich wohl statische Routen anlegen, aber soweit komme ich gar nicht, da Problem 1 noch besteht.


Wo liegt hier der Denkfehler. Was könnte ich vergessen haben?

[jeff84]

Die 192.168.1.254 ist die lokale IP eines der Debian VPN Gateways?

Zur besseren Hilfe wären die Outputs von

Code: Alles auswählen

ip a
ip r
iptables -nvL

ganz hilfreich.