Mikrotik OpenVPN Server με Android Client

[jkarabas]

Log file από το Openvpn for android

Spoiler:

2019-04-18 20:22:16 official build 0.7.8 running on xiaomi Redmi Note 7 (sdm660), Android 9 (PKQ1.180904.001) API 28, ABI arm64-v8a, (xiaomi/lavender/lavender:9/PKQ1.180904.001/V10.2.7.0.PFGMIXM:user/release-keys)
2019-04-18 20:22:16 Building configuration…
2019-04-18 20:22:16 started Socket Thread
2019-04-18 20:22:16 Network Status: CONNECTED EDGE to MOBILE gint.b-online.gr
2019-04-18 20:22:16 Debug state info: CONNECTED EDGE to MOBILE gint.b-online.gr, pause: userPause, shouldbeconnected: true, network: SHOULDBECONNECTED
2019-04-18 20:22:16 Debug state info: CONNECTED EDGE to MOBILE gint.b-online.gr, pause: userPause, shouldbeconnected: true, network: SHOULDBECONNECTED
2019-04-18 20:22:16 Current Parameter Settings:
2019-04-18 20:22:16 config = '/data/user/0/de.blinkt.openvpn/cache/android.conf'
2019-04-18 20:22:16 mode = 0
2019-04-18 20:22:16 show_ciphers = DISABLED
2019-04-18 20:22:16 show_digests = DISABLED
2019-04-18 20:22:16 show_engines = DISABLED
2019-04-18 20:22:16 genkey = DISABLED
2019-04-18 20:22:16 key_pass_file = '[UNDEF]'
2019-04-18 20:22:16 show_tls_ciphers = DISABLED
2019-04-18 20:22:16 connect_retry_max = 0
2019-04-18 20:22:16 NOTE: --mute triggered...
2019-04-18 20:22:16 178 variation(s) on previous 10 message(s) suppressed by --mute
2019-04-18 20:22:16 OpenVPN 2.5-icsopenvpn [git:icsopenvpn/v0.7.8-0-g168367a5] arm64-v8a [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [MH/PKTINFO] [AEAD] built on Feb 22 2019
2019-04-18 20:22:16 library versions: OpenSSL 1.1.1a 20 Nov 2018, LZO 2.10
2019-04-18 20:22:16 MANAGEMENT: Connected to management server at /data/user/0/de.blinkt.openvpn/cache/mgmtsocket
2019-04-18 20:22:16 MANAGEMENT: CMD 'version 3'
2019-04-18 20:22:16 Waiting 0s seconds between connection attempt
2019-04-18 20:22:16 MANAGEMENT: CMD 'hold release'
2019-04-18 20:22:16 MANAGEMENT: CMD 'username 'Auth' myusername'
2019-04-18 20:22:16 MANAGEMENT: CMD 'bytecount 2'
2019-04-18 20:22:16 MANAGEMENT: CMD 'password [...]'
2019-04-18 20:22:20 MANAGEMENT: CMD 'state on'
2019-04-18 20:22:20 MANAGEMENT: CMD 'proxy NONE'
2019-04-18 20:22:21 MANAGEMENT: CMD 'password [...]'
2019-04-18 20:22:21 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
2019-04-18 20:22:21 Control Channel MTU parms [ L:1623 D:1210 EF:40 EB:0 ET:0 EL:3 ]
2019-04-18 20:22:21 Data Channel MTU parms [ L:1623 D:1450 EF:123 EB:406 ET:0 EL:3 ]
2019-04-18 20:22:21 Local Options String (VER=V4): 'V4,dev-type tun,link-mtu 1559,tun-mtu 1500,proto TCPv4_CLIENT,cipher AES-256-CBC,auth SHA1,keysize 256,key-method 2,tls-client'
2019-04-18 20:22:21 Expected Remote Options String (VER=V4): 'V4,dev-type tun,link-mtu 1559,tun-mtu 1500,proto TCPv4_SERVER,cipher AES-256-CBC,auth SHA1,keysize 256,key-method 2,tls-server'
2019-04-18 20:22:21 TCP/UDP: Preserving recently used remote address: [AF_INET]waniport
2019-04-18 20:22:21 Socket Buffers: R=[26280->26280] S=[16384->16384]
2019-04-18 20:22:21 Attempting to establish TCP connection with [AF_INET]waniport [nonblock]
2019-04-18 20:22:21 MANAGEMENT: >STATE:1555608141,TCP_CONNECT,,,,,,
2019-04-18 20:22:21 MANAGEMENT: CMD 'needok 'PROTECTFD' ok'
2019-04-18 20:22:30 TCP connection established with [AF_INET]waniport
2019-04-18 20:22:30 MANAGEMENT: CMD 'needok 'PROTECTFD' ok'
2019-04-18 20:22:30 TCP_CLIENT link local: (not bound)
2019-04-18 20:22:30 TCP_CLIENT link remote: [AF_INET]waniport
2019-04-18 20:22:30 MANAGEMENT: >STATE:1555608150,WAIT,,,,,,
2019-04-18 20:22:33 MANAGEMENT: >STATE:1555608153,AUTH,,,,,,
2019-04-18 20:22:33 TLS: Initial packet from [AF_INET]waniport, sid=1bd02568 74be7980
2019-04-18 20:22:33 Debug state info: CONNECTED EDGE to MOBILE gint.b-online.gr, pause: userPause, shouldbeconnected: true, network: SHOULDBECONNECTED
2019-04-18 20:22:39 VERIFY ERROR: depth=0, error=unsupported certificate purpose: C=GR, ST=Athens, L=KALLITHEA, O=UNIBIT, OU=UNIBIT, CN=CA
2019-04-18 20:22:39 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed
2019-04-18 20:22:39 TLS_ERROR: BIO read tls_read_plaintext error
2019-04-18 20:22:39 TLS Error: TLS object -> incoming plaintext read error
2019-04-18 20:22:39 Waiting 2s seconds between connection attempt
2019-04-18 20:22:39 TLS Error: TLS handshake failed
2019-04-18 20:22:39 Fatal TLS error (check_tls_errors_co), restarting
2019-04-18 20:22:39 TCP/UDP: Closing socket
2019-04-18 20:22:39 SIGUSR1[soft,tls-error] received, process restarting
2019-04-18 20:22:39 MANAGEMENT: >STATE:1555608159,RECONNECTING,tls-error,,,,,
2019-04-18 20:22:41 MANAGEMENT: CMD 'hold release'
2019-04-18 20:22:41 MANAGEMENT: CMD 'proxy NONE'
2019-04-18 20:22:41 MANAGEMENT: CMD 'bytecount 2'
2019-04-18 20:22:41 MANAGEMENT: CMD 'state on'
2019-04-18 20:22:42 Control Channel MTU parms [ L:1623 D:1210 EF:40 EB:0 ET:0 EL:3 ]
2019-04-18 20:22:42 Data Channel MTU parms [ L:1623 D:1450 EF:123 EB:406 ET:0 EL:3 ]
2019-04-18 20:22:42 Local Options String (VER=V4): 'V4,dev-type tun,link-mtu 1559,tun-mtu 1500,proto TCPv4_CLIENT,cipher AES-256-CBC,auth SHA1,keysize 256,key-method 2,tls-client'
2019-04-18 20:22:42 Expected Remote Options String (VER=V4): 'V4,dev-type tun,link-mtu 1559,tun-mtu 1500,proto TCPv4_SERVER,cipher AES-256-CBC,auth SHA1,keysize 256,key-method 2,tls-server'
2019-04-18 20:22:42 TCP/UDP: Preserving recently used remote address: [AF_INET6]2a02:587:3f0a:df00:::1194
2019-04-18 20:22:42 Socket Buffers: R=[26280->26280] S=[16384->16384]
2019-04-18 20:22:42 Attempting to establish TCP connection with [AF_INET6]2a02:587:3f0a:df00:::1194 [nonblock]
2019-04-18 20:22:42 MANAGEMENT: >STATE:1555608162,TCP_CONNECT,,,,,,
2019-04-18 20:22:42 Could not protect VPN socket
2019-04-18 20:22:42 MANAGEMENT: CMD 'needok 'PROTECTFD' ok'
2019-04-18 20:22:42 TCP: connect to [AF_INET6]2a02:587:3f0a:df00:::1194 failed: Network is unreachable
2019-04-18 20:22:42 SIGUSR1[connection failed(soft),init_instance] received, process restarting
2019-04-18 20:22:42 MANAGEMENT: >STATE:1555608162,RECONNECTING,init_instance,,,,,
2019-04-18 20:22:42 Waiting 2s seconds between connection attempt

[Nikiforos]

Συνεχιζει να λεει πολλα για TLS, τι στο καλο γινεται ?
για ριξε μια ματια εδω λενε πολυ σχετικα πραγματα : https://forum.mikrotik.com/viewtopic.php?t=88372

τι να πω δεν ξερω, αν εχεις βγαλει το TLS απο τις ρυθμισεις των clients, αλλα και απο το conf file του android, τι αλλο να ειναι?
εγω τα πιστοποιητικα τα εχω κανει σε archlinux δεν κανω τετοια πραγματα στο mikrotik και δεν ξερω παραπανω να σου πω δυστυχως.
οτι λενε εκει στο επισημο forum.

[jkarabas]

Συνεχιζει να λεει πολλα για TLS, τι στο καλο γινεται ?
για ριξε μια ματια εδω λενε πολυ σχετικα πραγματα : https://forum.mikrotik.com/viewtopic.php?t=88372

τι να πω δεν ξερω, αν εχεις βγαλει το TLS απο τις ρυθμισεις των clients, αλλα και απο το conf file του android, τι αλλο να ειναι?
εγω τα πιστοποιητικα τα εχω κανει σε archlinux δεν κανω τετοια πραγματα στο mikrotik και δεν ξερω παραπανω να σου πω δυστυχως.
οτι λενε εκει στο επισημο forum.

Έλα μου ντε? Εσύ τα έκανες μετά Import στο winbox?
Κάνω και uncheck require-client-certificate και πάλι δεν δουλεύει!!

[ios46]

https://play.google.com/store/apps/d...blinkt.openvpn (non official Android openvpn client), απ όπου παραθέτεις και τα logs και δεν έχει θέμα με το certificate singing απ΄το mikrotik. Είσαι σίγουρος για certificates που έχεις φτιάξει (ca, server, client) και έχεις περάσει ότι χρειάζετε σε client (πχ δες και εδω: https://www.micu.eu/ovpn-server/) ?

"2019-04-18 20:22:33 Debug state info: CONNECTED EDGE to MOBILE gint.b-online.gr, pause: userPause, shouldbeconnected: true, network: SHOULDBECONNECTED
2019-04-18 20:22:39 VERIFY ERROR: depth=0, error=unsupported certificate purpose: C=GR, ST=Athens, L=KALLITHEA, O=UNIBIT, OU=UNIBIT, CN=CA
2019-04-18 20:22:39 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed"

Με το CA δείχνει να έχει πρόβλημα, μπορείς και με notepad++ να κάνεις ένα diff άν τα αρχεία είναι ίδια πχ ?

[Nikiforos]

https://play.google.com/store/apps/d...blinkt.openvpn (non official Android openvpn client)

αναποδα τα ειπαμε αυτο ειναι το official https://play.google.com/store/apps/d...penvpn.openvpn οταν το ελεγα εγω οτι ειναι αυτο, καποιος ελεγε το αλλο....

- - - Updated - - -

Έλα μου ντε? Εσύ τα έκανες μετά Import στο winbox?
Κάνω και uncheck require-client-certificate και πάλι δεν δουλεύει!!

ναι μετα τα εκανα import, τι στο καλο γινεται!
δεν δουλευες το openvpn σε αλλο μηχανημα εκτος android ε?

[ios46]

[QUOTE=Nikiforos;6579714]αναποδα τα ειπαμε αυτο ειναι το official https://play.google.com/store/apps/d...penvpn.openvpn οταν το ελεγα εγω οτι ειναι αυτο, καποιος ελεγε το αλλο....

- - - Updated - - -

Δεν σε καταλαβαίνω και δεν έχει και νόημα σε τελική αναλύση να λέμε το ίδιο με άλλα λόγια https://play.google.com/store/apps/d...blinkt.openvpn (non official Android openvpn client)

[jkarabas]

Παίδες τα κατάφερα τελικά!!!
Έσβησα για πολλοστή φορά τα certificates από το Mikrotik και ακολούθησα κατά γράμμα τις οδηγίες στο wiki εδώ.
Επιτέλους έσκασα 2 μέρες τώρα.
Ευχαριστώ όλους σας για τη βοήθεια.
Καλό βράδυ.

[Nikiforos]

[QUOTE=ios46;6579717]

αναποδα τα ειπαμε αυτο ειναι το official https://play.google.com/store/apps/d...penvpn.openvpn οταν το ελεγα εγω οτι ειναι αυτο, καποιος ελεγε το αλλο....

- - - Updated - - -

Δεν σε καταλαβαίνω και δεν έχει και νόημα σε τελική αναλύση να λέμε το ίδιο με άλλα λόγια https://play.google.com/store/apps/d...blinkt.openvpn (non official Android openvpn client)

Λεω οτι καποιος σε αυτο το θεμα ελεγε την αλλη εφαρμογη οτι ειναι η official, ενω ελεγα την σωστη!
Το link που δινεις δεν υπαρχει λεει...Λυπούμαστε, αλλά η διεύθυνση URL που ζητήσατε δεν βρέθηκε σε αυτόν το διακομιστή.
Δεν εχει σημασια οτι βολευει τον καθενα, εμενα επειδη μου αρεσουν και τα 2 δουλευω και τα 2, αλλα ποιο πολυ το τελικά μη official.

- - - Updated - - -

Παίδες τα κατάφερα τελικά!!!
Έσβησα για πολλοστή φορά τα certificates από το Mikrotik και ακολούθησα κατά γράμμα τις οδηγίες στο wiki εδώ.
Επιτέλους έσκασα 2 μέρες τώρα.
Ευχαριστώ όλους σας για τη βοήθεια.
Καλό βράδυ.

ελα επιτελους, μπραβο! κατι θα ειχε κολλησει μαλλον!
καλο βραδυ!

[ios46]

@Nikiforos

το έχω δώσει 3-4 φόρες σε αυτό το forum....και άλλες τόσες αναφέρει (και εγώ) ποίος είναι o official και ποιός ο non on official (A.Schwabe) openvpn client. O δαίμων του copy/paste - παράθεση - επεξέργασία κειμένου μια χαρά τα έκανε αλλά ντάλα στην τελευταία αναφορά (copy/paste)...

https://play.google.com/store/apps/d...blinkt.openvpn

In any case, δεν έχει πρόβλημα με το singing που γίνετε σε export (certs) απο το mikrotik σε αντίθεση με τον official που έχει χρησιμοποιεί άλλα libraries και βγάζει το μήνυμα λάθους:

"error parsing config private key : PKCS5 - Requested encryption or digest alg not available"

το οποίο επίσης υπήρχε στα logs που παρατέθηκαν:

"09:50:42.112 -- EVENT: CORE_THREAD_ERROR info='mbed TLS: error parsing config private key : PKCS5 - Requested encryption or digest alg not available'"

[Nikiforos]

A δεν το γνωριζα αυτο με το προβλημα που λες γιατι οπως εγραψα και πριν τα πιστοποιητικα τα εχω κανει και γενικα τα κανω μονο πανω σε linux και ΠΟΤΕ στο Mikrotik.
Οποτε απο εκει δεν εχουν προβλημα σε κανεναν android client.
Aλλη μια λοιπον δυσκοιλιοτητα του Mikrotik εναντι στο openvpn...

[jkarabas]

Τελικά ρε παιδιά ποιος είναι ο official για να καταλάβω;
Αυτός?

Το ρωτάω διότι με αυτήν δεν τα έχω καταφέρει ακόμη.

[Nikiforos]

Τελικά ρε παιδιά ποιος είναι ο official για να καταλάβω;
Αυτός?

oχι αυτος εδω ειναι το λεει απο κατω https://play.google.com/store/apps/d...penvpn.openvpn

WHAT IS OPENVPN CONNECT?

OpenVPN Connect is the official VPN application for Android developed by OpenVPN, Inc.

[jkarabas]

oχι αυτος εδω ειναι το λεει απο κατω https://play.google.com/store/apps/d...penvpn.openvpn

WHAT IS OPENVPN CONNECT?

OpenVPN Connect is the official VPN application for Android developed by OpenVPN, Inc.

Όπα τώρα το πρόσεξα, άρα έχει δίκιο ο @ios46 έχει θέμα το Mikrotik μάλλον με τα certs. Θα με αναγκάσετε να εγκαταστήσω linux για να τα δημιουργήσω.

- - - Updated - - -

https://play.google.com/store/apps/d...blinkt.openvpn (non official Android openvpn client), απ όπου παραθέτεις και τα logs και δεν έχει θέμα με το certificate singing απ΄το mikrotik. Είσαι σίγουρος για certificates που έχεις φτιάξει (ca, server, client) και έχεις περάσει ότι χρειάζετε σε client (πχ δες και εδω: https://www.micu.eu/ovpn-server/) ?

"2019-04-18 20:22:33 Debug state info: CONNECTED EDGE to MOBILE gint.b-online.gr, pause: userPause, shouldbeconnected: true, network: SHOULDBECONNECTED
2019-04-18 20:22:39 VERIFY ERROR: depth=0, error=unsupported certificate purpose: C=GR, ST=Athens, L=KALLITHEA, O=UNIBIT, OU=UNIBIT, CN=CA
2019-04-18 20:22:39 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed"

Με το CA δείχνει να έχει πρόβλημα, μπορείς και με notepad++ να κάνεις ένα diff άν τα αρχεία είναι ίδια πχ ?

Είχες δίκιο τελικά δεν τα είχα δημιουργήσει σωστά.

[Nikiforos]

Όπα τώρα το πρόσεξα, άρα έχει δίκιο ο @ios46 έχει θέμα το Mikrotik μάλλον με τα certs. Θα με αναγκάσετε να εγκαταστήσω linux για να τα δημιουργήσω.

- - - Updated - - -

Είχες δίκιο τελικά δεν τα είχα δημιουργήσει σωστά.

ναι ειπε ομως οτι με το αλλο προγραμμα δεν εχει προβλημα! απλα επειδη συμβαινει μονο απο mikrotik εγω δεν το γνωριζα αυτο.

[jkarabas]

ναι ειπε ομως οτι με το αλλο προγραμμα δεν εχει προβλημα! απλα επειδη συμβαινει μονο απο mikrotik εγω δεν το γνωριζα αυτο.

Ναι το άλλο χρησιμοποιώ και εγώ και δουλεύει μια χαρά.

- - - Updated - - -

Καλημέρα
Σχετικά με τη κουβέντα που είχαμε χθες και τη δημιουργία cert από διανομή Linux ποια προτείνεται να βάλω που να δoυλεύουν παράλληλα με τα windows??