Mikrotik OpenVPN Server με Android Client

[xhaos]

Αν είσαι σε Windows, ο client πρέπει να τρέχει σαν administratior (γιατί διαφορέτικα θα κάνει σύνδεση αλλά δε θα μπορέσει να ενημερώσει το routing, που πρέπει για να γίνει default gw ό ovpn server)

[jkarabas]

Αν είσαι σε Windows, ο client πρέπει να τρέχει σαν administratior (γιατί διαφορέτικα θα κάνει σύνδεση αλλά δε θα μπορέσει να ενημερώσει το routing, που πρέπει για να γίνει default gw ό ovpn server)

Μπαίνω από κινητό Android

[esma]

H 6.40 έχει κάποιο Bug με το Ovpn. Οπότε μην παλεύετε τσάμπα. Κάτι γίνεται με τα routes που δημιουργεί όταν συνδεέται. Επίσης στον openvpn server, το πεδίο netmask λαμβάνεται υπόψη. Οπότε νομίζω ότι θα πρέπει να εχει τιμή 32. Όταν όμως γίνει αυτό τότε δεν συνδεεται από την εφαρμογή.

[jkarabas]

H 6.40 έχει κάποιο Bug με το Ovpn. Οπότε μην παλεύετε τσάμπα. Κάτι γίνεται με τα routes που δημιουργεί όταν συνδεέται. Επίσης στον openvpn server, το πεδίο netmask λαμβάνεται υπόψη. Οπότε νομίζω ότι θα πρέπει να εχει τιμή 32. Όταν όμως γίνει αυτό τότε δεν συνδεεται από την εφαρμογή.

Δεν το ήξερα αυτό για την 6.40 και πρόκειται για νέο update ...οπότε εν αναμονή για το fix

[Nikiforos]

H 6.40 έχει κάποιο Bug με το Ovpn. Οπότε μην παλεύετε τσάμπα. Κάτι γίνεται με τα routes που δημιουργεί όταν συνδεέται. Επίσης στον openvpn server, το πεδίο netmask λαμβάνεται υπόψη. Οπότε νομίζω ότι θα πρέπει να εχει τιμή 32. Όταν όμως γίνει αυτό τότε δεν συνδεεται από την εφαρμογή.

Καλημερα, εχω περασει την 6.40 απο την 2η μερα που εμφανιστηκε, εχω και ovpn server για να δινει σε Mikrotik, ο ιδιος με αλλο ΝΑΤ δινει σε κινητα, ταμπλετς καθως και σε ενα αλλο 951 και δεν εχω πουθενα απολυτως κανενα προβλημα...
αν εχετε προβληματα ισως ειναι μεμονωμενες περιπτωσεις.

Συγκεκριμενα RB109 τρεχει ovpn server και δινει ιντερνετ μεσω awmn σε ενα 951.
Απο το Rb109 ο ιδιος με αλλο ΝΑΤ δινει μεσω ιντερνετ , AWMN σε κινητα-ταμπλετ-pc δουλειας και αλλο 951 στο εξοχικο (με ιντερνετ κινητης) για backup.
Και το 951 με ιντερνετ κινητης τρεχει ovpn server που συνδεεται με client το 109 για να κανω τα κολπα μου εκτος του awmn μεσω ιντερνετ κινητης σε αυτο.
Ολα αυτα τα τσεκαρα πολλες φορες και παιζουν αψογα και με openvpn connect (android) και με Openvpn for android.

Ισως αυτα που λετε να ειναι αναλογα και το εκαστοτε σεταπ οποτε και να υπαρχει bug αν εγω το εχω αλλιως δεν με πιανει.
Αν υπαρχει αναφορα για bug παρακαλω οταν λεμε κατι τετοιο να υπαρχει το Link για το αναλογο θεμα στο επισημο forum.

[jkarabas]

Καλημερα, εχω περασει την 6.40 απο την 2η μερα που εμφανιστηκε, εχω και ovpn server για να δινει σε Mikrotik, ο ιδιος με αλλο ΝΑΤ δινει σε κινητα, ταμπλετς καθως και σε ενα αλλο 951 και δεν εχω πουθενα απολυτως κανενα προβλημα...
αν εχετε προβληματα ισως ειναι μεμονωμενες περιπτωσεις.

Συγκεκριμενα RB109 τρεχει ovpn server και δινει ιντερνετ μεσω awmn σε ενα 951.
Απο το Rb109 ο ιδιος με αλλο ΝΑΤ δινει μεσω ιντερνετ , AWMN σε κινητα-ταμπλετ-pc δουλειας και αλλο 951 στο εξοχικο (με ιντερνετ κινητης) για backup.
Και το 951 με ιντερνετ κινητης τρεχει ovpn server που συνδεεται με client το 109 για να κανω τα κολπα μου εκτος του awmn μεσω ιντερνετ κινητης σε αυτο.
Ολα αυτα τα τσεκαρα πολλες φορες και παιζουν αψογα και με openvpn connect (android) και με Openvpn for android.

Ισως αυτα που λετε να ειναι αναλογα και το εκαστοτε σεταπ οποτε και να υπαρχει bug αν εγω το εχω αλλιως δεν με πιανει.
Αν υπαρχει αναφορα για bug παρακαλω οταν λεμε κατι τετοιο να υπαρχει το Link για το αναλογο θεμα στο επισημο forum.

Nικηφόρε μπορείς να κάνεις copy paste το .ovpn αρχείο σου εδώ μέσα να το τσεκάρω?

[Nikiforos]

Nικηφόρε μπορείς να κάνεις copy paste το .ovpn αρχείο σου εδώ μέσα να το τσεκάρω?

##############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server.     #
#                                            #
# This configuration can be used by multiple #
# clients, however each client should have   #
# its own cert and key files.                #
#                                            #
# On Windows, you might want to rename this  #
# file so it has a .ovpn extension           #
##############################################

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun

# Windows needs the TAP-Windows adapter name
# from the Network Connections panel
# if you have more than one.  On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server?  Use the same setting as
# on the server.
proto tcp
;proto udp

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote XXXXXXX.sn.mynetname.net 1XXX
;remote my-server-2 1194

# Choose a random host from the remote
# list for load-balancing.  Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server.  Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
;resolv-retry infinite

# Most clients don't need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
;user nobody
;group nobody

# Try to preserve some state across restarts.
;persist-key
;persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets.  Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings

# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
ca ca.crt
cert android.crt
key android.key

# Verify server certificate by checking
# that the certicate has the nsCertType
# field set to "server".  This is an
# important precaution to protect against
# a potential attack discussed here:
#  http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the nsCertType
# field set to "server".  The build-key-server
# script in the easy-rsa folder will do this.
;ns-cert-type server

# If a tls-auth key is used on the server
# then every client must also have the key.
;tls-auth ta.key 1
;tls-client

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
cipher AES-256-CBC
auth SHA1
;cipher x

# Enable compression on the VPN link.
# Don't enable this unless it is also
# enabled in the server config file.
;comp-lzo

# Set log file verbosity.
;verb 3

# Silence repeating messages
;mute 20

auth-user-pass
redirect-gateway

στα ΧΧΧΧ bold οτι εχεις για ip cloud ή Noip ή κατι άλλο και διπλα την πορτα, δεν εχω την στανταρ εγω.
Το παραπανω παιζει απο windows XP-7 client, arch+debian linux client, android client (οpenvpn connect και openvpn for android) και παλιοτερα το ιδιο επαιζε απο Iphone 3Gs και 4 με το προγραμμα Gizmo VPN.

To routing το αναλαμβανει το εκαστοτε προγραμμα client αναλογα το λειτουργικο ΔΕΝ βαζω ποτε routes μεσα στο αρχειακι αυτο.

H 6.40 έχει κάποιο Bug με το Ovpn. Οπότε μην παλεύετε τσάμπα. Κάτι γίνεται με τα routes που δημιουργεί όταν συνδεέται. Επίσης στον openvpn server, το πεδίο netmask λαμβάνεται υπόψη. Οπότε νομίζω ότι θα πρέπει να εχει τιμή 32. Όταν όμως γίνει αυτό τότε δεν συνδεεται από την εφαρμογή.

το netmask ΠΑΝΤΑ 29 εχω και ποτε δεν εχω προβλημα, γιατι 32?

/interface ovpn-server server
set auth=sha1 certificate=mikrotik.crt_0 cipher=aes256 default-profile=\
    ovpnprofile enabled=yes netmask=29 port=ΧΧΧΧ require-client-certificate=\
    yes

Αν δεις το επισημο how to απο κονσολα επισης λεει 29, θεωρω το 32 ειναι λαθος και γιαυτο εχει θεματα.
https://wiki.mikrotik.com/wiki/OpenVPN

For a default gw to the client, usually, this is added:

push "redirect-gateway"


Αν διαβασετε το HOW TO θα δειτε οτι ολα τα εξηγει πολυ καλα και ωραια, εγω επειδη εχω το redirect-gateway δεν χρειαζεται να δηλωσω routes μεσα στο αρχειακι .ovpn.

[jkarabas]

##############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server.     #
#                                            #
# This configuration can be used by multiple #
# clients, however each client should have   #
# its own cert and key files.                #
#                                            #
# On Windows, you might want to rename this  #
# file so it has a .ovpn extension           #
##############################################

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun

# Windows needs the TAP-Windows adapter name
# from the Network Connections panel
# if you have more than one.  On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server?  Use the same setting as
# on the server.
proto tcp
;proto udp

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote XXXXXXX.sn.mynetname.net 1XXX
;remote my-server-2 1194

# Choose a random host from the remote
# list for load-balancing.  Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server.  Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
;resolv-retry infinite

# Most clients don't need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
;user nobody
;group nobody

# Try to preserve some state across restarts.
;persist-key
;persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets.  Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings

# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
ca ca.crt
cert android.crt
key android.key

# Verify server certificate by checking
# that the certicate has the nsCertType
# field set to "server".  This is an
# important precaution to protect against
# a potential attack discussed here:
#  http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the nsCertType
# field set to "server".  The build-key-server
# script in the easy-rsa folder will do this.
;ns-cert-type server

# If a tls-auth key is used on the server
# then every client must also have the key.
;tls-auth ta.key 1
;tls-client

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
cipher AES-256-CBC
auth SHA1
;cipher x

# Enable compression on the VPN link.
# Don't enable this unless it is also
# enabled in the server config file.
;comp-lzo

# Set log file verbosity.
;verb 3

# Silence repeating messages
;mute 20

auth-user-pass
redirect-gateway

στα ΧΧΧΧ bold οτι εχεις για ip cloud ή Noip ή κατι άλλο και διπλα την πορτα, δεν εχω την στανταρ εγω.
Το παραπανω παιζει απο windows XP-7 client, arch+debian linux client, android client (οpenvpn connect και openvpn for android) και παλιοτερα το ιδιο επαιζε απο Iphone 3Gs και 4 με το προγραμμα Gizmo VPN.

To routing το αναλαμβανει το εκαστοτε προγραμμα client αναλογα το λειτουργικο ΔΕΝ βαζω ποτε routes μεσα στο αρχειακι αυτο.



το netmask ΠΑΝΤΑ 29 εχω και ποτε δεν εχω προβλημα, γιατι 32?

/interface ovpn-server server
set auth=sha1 certificate=mikrotik.crt_0 cipher=aes256 default-profile=\
    ovpnprofile enabled=yes netmask=29 port=ΧΧΧΧ require-client-certificate=\
    yes

Αν δεις το επισημο how to απο κονσολα επισης λεει 29, θεωρω το 32 ειναι λαθος και γιαυτο εχει θεματα.
https://wiki.mikrotik.com/wiki/OpenVPN

Έτσι το έχω και εγώ....το netmask το έχω στο 24...κοίτα συνδέεται κανονικά από το κινητό απλά παίρνει την ίδια ip με το wifi ή το 3G δίκτυο. Εσένα σου δείχνει διαφορετική??

[Nikiforos]

Δεν ξερω τι σεταπ εχεις εσυ, εγω μπορει να εχω διαφορετικα. Εμενα δινει AWMN μεσω ιντερνετ δλδ εχω προσβαση σε ολο το AWMN οταν συνδεομαι με openvpn.
Nαι δειχνει του σπιτιου μου γιατι το εχω να κανει redirect gw οπως εδειξα απο πανω.
Αμα δειχνει την ιδια πως δουλευει τοτε? σου δουλευει τελικα?

λοιπον εψαξα και βρηκα, υπαρχει οντως BUG στην 6.40 αλλα ΜΟΝΟ αν εχουμε δηλωσει push routes, εγω δεν εχω γιαυτο και δεν εχω κανενα απολυτως προβλημα!
οριστε απο το επισημο forum https://forum.mikrotik.com/viewtopic...610512#p610512
ηδη σε RC εχει βγει διορθωση και αναμενεται για την current.

What's new in 6.41rc7 (2017-Aug-02 09:51):

*) ovpn-client - fixed incorrect netmask usage for pushed routes;

προφανως αμα καποιος βιαζεται για την διορθωση και ειδικα αν εχει και bugfix θα πρεπει να παει στην RC....
ή απλα αλλαζει το setup ωστε να αποφυγει τα pushed routes!

Επισης να υπενθυμισω οτι η MIKROTIK προωθει το SSTP VPN αντι το OVPN που το εχω ξαναγραψει, εχω σε ενα 951 για ιντερνετ απο γειτονα μεσω εξωτερικων δικτυων. Σε αυτο λοιπον μπορουν να μπουν αρχεια κρυπτογραφησης και πιστοποιησης σαν το OVPN αλλα υποστηριζει και αλλα πραγματα οπως πχ το UDP.
Aν θελει κανεις να δοκιμασει εχω κανει και θεμα εδω : https://www.adslgr.com/forum/threads...ik-SSTP-server

Δεν ξερω τελικα αν ειναι καλυτερο το OVPN ή το SSTP, μπορει ομως να παιξει και απλα χωρις πιστοποιητικα κατι που θυμιζει pptp vpn ή το απλό l2tp χωρίς το ipsec.

[jkarabas]

Αμα δειχνει την ιδια πως δουλευει τοτε? σου δουλευει τελικα?

Νικηφόρε συνδέεται κανονικά απο το κινητό μου και μπαίνω στις localip των συσκευών μου στο σπίτι.

[Nikiforos]

OpenVPN has been implemented in some manufacturer router firmware, such as the D-Link DSR-250[35] and some MikroTik Routers.[36] MikroTik's implementation does not support the UDP protocol or LZO compression, which limits transfer speeds attainable. MikroTik said in 2010 that they would not continue developing OpenVPN in favor of SSTP.[37]

https://en.wikipedia.org/wiki/OpenVPN

Νικηφόρε συνδέεται κανονικά απο το κινητό μου και μπαίνω στις localip των συσκευών μου στο σπίτι.

δεν ξερω τι ρυθμισεις εχεις εμενα δεν γινεται αυτο ποτε!
δοκιμασα τωρα μαλιστα.
Οταν συνδεθω εφοσον εχει gw το 109 στο σπιτι λεει την ip που εχει εκει το ιντερνετ.
Αν ξεσυνδεθω λεει την ip απο το ιντερνετ που εχει το wifi vdsl router εδω που ειμαι.
αυτο γινεται παντα στα δικα μου. Ποτε δεν λέει την ιδια στο showmyip με συνδεδεμενο το vpn-αποσυνδετο.
το ιδιο ισχυει με ολα τα vpn που εχω δουλεψει και με pptp και με l2tp+ipsec.
και απο android και απο pcs.

[jkarabas]

OpenVPN has been implemented in some manufacturer router firmware, such as the D-Link DSR-250[35] and some MikroTik Routers.[36] MikroTik's implementation does not support the UDP protocol or LZO compression, which limits transfer speeds attainable. MikroTik said in 2010 that they would not continue developing OpenVPN in favor of SSTP.[37]

https://en.wikipedia.org/wiki/OpenVPN



δεν ξερω τι ρυθμισεις εχεις εμενα δεν γινεται αυτο ποτε!
δοκιμασα τωρα μαλιστα.
Οταν συνδεθω εφοσον εχει gw το 109 στο σπιτι λεει την ip που εχει εκει το ιντερνετ.
Αν ξεσυνδεθω λεει την ip απο το ιντερνετ που εχει το wifi vdsl router εδω που ειμαι.
αυτο γινεται παντα στα δικα μου. Ποτε δεν λέει την ιδια στο showmyip με συνδεδεμενο το vpn-αποσυνδετο.
το ιδιο ισχυει με ολα τα vpn που εχω δουλεψει και με pptp και με l2tp+ipsec.
και απο android και απο pcs.

Περίεργα πράγματα!!!Πως γίνεται αυτό με μένα??έπρεπε να βλέπω όταν συνδέομαι με το ovpn την Ip adress (ιντερνετική) του mikrotik σωστά?. Μήπως επειδή το έχω στήσει το ΜΤ σαν PPOE client??

- - - Updated - - -

gw στο ovpn server του mikrotik έχεις την 109? Δηλ. είναι η IP του MT σου σωστά?

- - - Updated - - -

gw στο ovpn server του mikrotik (στο profil σου) έχεις την 109? Δηλ. είναι η IP του MT σου σωστά?

[Nikiforos]

έχω πολλά rbs, το 109 είναι αυτό που έχει ppoe client για ιντερνέτ και τον openvpn server που έδειξα πριν. Ο καθε πελάτης έχει αυτό το rb σαν gw γι'αυτό δείχνει την δικιά του ιντερνετική ip και γι'αυτό δεν χρειάζομαι push routes. Επίσης μέσα από winbox έχω τικ add default route στο ovpn server window.
Το 109 είναι ρουτερμποντ όχι ip! Είναι το ιντερνέτ ρούτερ μου .

[jkarabas]

έχω πολλά rbs, το 109 είναι αυτό που έχει ppoe client για ιντερνέτ και τον openvpn server που έδειξα πριν. Ο καθε πελάτης έχει αυτό το rb σαν gw γι'αυτό δείχνει την δικιά του ιντερνετική ip και γι'αυτό δεν χρειάζομαι push routes. Επίσης μέσα από winbox έχω τικ add default route στο ovpn server window.

Το 109 είναι ρουτερμποντ όχι ip! Είναι το ιντερνέτ ρούτερ μου .

Που βρίσκεται αυτή η επιλογή (add default route στο ovpn server window)?
Σορρυ δεν το κατάλαβα για το 109.

- - - Updated - - -

Πάντως με το PPTP πρωτόκολλο όταν συνδέομαι παίρνει την IP κανονικά του ΜΤ.

[Nikiforos]

https://mikrotik.com/product/CRS109-8G-1S-2HnD-IN

αυτο ειναι το 109 που εχω για ιντερνετ ρουτερ και τρεχει και τον OVPN server που ανεφερα πριν και εδειξα και τις ρυθμισεις του.
Aυτο στο σπιτι στην Αθηνα γιατι στο εξοχικο εχω 2 951 https://mikrotik.com/product/RB951G-2HnD εσωτερικα, το ενα ειναι awmn router (gigabit εκδοση) και εχει ovpn client για να παιρνει ιντερνετ απο το 109 μεσω AWMN και ρουταρει 2 εξωτερικα RBs (ενα 911 και ενα 411) με ασυρματες ζευξεις, και το 2ο 951 (το απλο 100αρι) εχει στικ κινητης 4G και τρεχει εναν ovpn server και εναν ovpn client.
Ο σερβερ δινει ips απο το subnet εκει στο 109 στην Αθηνα, ειναι για να περναω μεσω ιντερνετ ΑΝ πεσει το AWMN.
Aλλα μονιμα περναω VOIP για μεγιστη αξιοπιστια.
Ο client το ιδιο αλλα απο την αναποδη πλευρα.
Ο σερβερ χρειαστηκε γιατι αλλιως το voip πηγαινε μεσω κινητης και ιντερνετ και ερχοταν απο το AWMN!!!
ενω ετσι στο 109 εβαλα μια ρουτα και του λεω οταν πας να δεις το pap2 στο αλλο σημειο θα πας μεσω του OVPN αυτου και παει παντα μεσω ιντερνετ και κινητη τελικα εκει.

Το add default route ειναι στους client.
Αν δεν ειναι mikrotik τοτε ισχυει αυτο στο αρχειο conf που εδειξα πριν redirect default gateway πως το λεγε.
Στους client στο mikrotik η επιλογη δεν ειναι μονο στον client του OVPN απο τα PPP αλλα υπαρχει και για ΚΑΘΕ αλλο ειδος VPN.

Σχετικα με την κινητη εχω θεμα εδω αν θες να δεις : https://www.adslgr.com/forum/threads...erboard/page12

Κατι με τις ρυθμισεις εχει να κανει αυτο που λες, εμενα παντως παντα παιρνει την ip απο το ιντερνετ που τρεχει ο ovpn server.