Mikrotik OpenVPN Server με Android Client

[minas]

Για το server validation. Το θεωρώ μεγάλη τρύπα να μη το έχει.

Μα αυτό ρωτάω. Επιβεβαίωσες ότι το κάνει το Synology, γιατί όπως είπα σε έκδοση 5 του DSM που είχα δοκιμάσει, το πακέτο OpenVPN που είχε διαθέσιμο δεν έκανε από μόνο του, χωρίς να το "πειράξεις".

[xhaos]

Θα το κοιτάξω το απόγευμα.

[jkarabas]

Μου βγάζει στο log του Mikrotik το παρακάτω:



Το έψαξα αλλά δεν βρήκα κάτι. Παρόλα αυτά δουλεύει κανονικά η υπηρεσία.
Γνωρίζει κανείς κάτι?

[deniSun]

Μου βγάζει στο log του Mikrotik το παρακάτω:



Το έψαξα αλλά δεν βρήκα κάτι. Παρόλα αυτά δουλεύει κανονικά η υπηρεσία.
Γνωρίζει κανείς κάτι?

https://forum.mikrotik.com/viewtopic.php?t=100449

[jkarabas]

https://forum.mikrotik.com/viewtopic.php?t=100449

Το είχα διαβάσει αυτό deni αλλά δεν κατάφερα κάτι. Ίσως το πρόβλημα να εστιάζεται στον client του android.

[Nikiforos]

Μου βγάζει στο log του Mikrotik το παρακάτω:



Το έψαξα αλλά δεν βρήκα κάτι. Παρόλα αυτά δουλεύει κανονικά η υπηρεσία.
Γνωρίζει κανείς κάτι?

καλημερα, χρονια πολλα και καλη χρονια!
μου εχει τυχει και εμενα μερικες φορες δεν υπαρχει κανενα προβλημα, για καποιο λογο καποια πακετα γινονται διπλα και καποιο το ριχνει, δεν εχω δει ομως καπου προβλημα και δεν ξερω και γιατι γινεται.

[jkarabas]

Παρατήρησα ότι όταν συνδέομαι με ovpn από το κινητό και τσεκάρω internet Και πρόσβαση στο LAN και σύνδεση με το voip μου τηλέφωνο όλα μια χαρά.
Μετά από 2-3 ημέρες, όταν ξανασυνδέομαι και μου δίνει κανονικά το Mikrotik την Ip (pool) του ovpn στο κινητό μου, χάνω την πρόσβαση από το κινητό μου στο LAN και στο internet και αναγκάζομαι να κάνω επανεκκίνηση το mikrotik
και τότε ξαναδουλεύουν όλα μια χαρά πάλι.
Σαν εφαρμογή στο κινητό μου για το voip έχω το zoiper.

Στο ΝΑΤ έχω την παρακάτω δήλωση:

 ;;; Access LAN for Ovpn & internet
      chain=srcnat action=masquerade src-address=mysubnetovpn/29 log=no log-prefix=""

Είναι σωστή η παραπάνω δήλωση;

[Nikiforos]

καλησπέρα, εγω ποσο καιρο τα δουλευω και στο 109 και σε ενα 951 αυτο της κινητης και δεν εχω κανενα απολυτως προβλημα.
Δεν μπορω να καταλαβω γιατι σου συμβαινει αυτο πολυ περιεργο μου φαινεται!
και εγω το zoiper δουλευω σε ολες τις android συσκευες μου.

Αυτος ο κανονας στο NAT στο subnet τι εχεις βαλει? αυτο που εχεις δηλωσει για το openvpn ετσι? σωστα? πχ εμενα ειναι 10.ΧΧΧ.ΧΧΧ.248/29
ναι σωστη την εχεις αν ειναι σωστο το subnet, αλλα και να ηταν λαθος δεν θα δουλευε, δεν πιστευω οτι εχει καποια σχεση αυτο με το προβλημα σου και γενικα κανονας στο ΝΑΤ.

add action=masquerade chain=srcnat comment="openvpn awmn apo internet" src-address=10.X.XXX.248/29

[jkarabas]

Ναι έτσι τον έχω ακριβώς τον κανόνα, μήπως τελικά έχει να κάνει με το firewall που έχω στήσει. Πάντως επιτρέπω το NAT να περνάει απο το firewall. Τι να πω θα το παρακολουθήσω και βλέπουμε.

[Nikiforos]

Ναι έτσι τον έχω ακριβώς τον κανόνα, μήπως τελικά έχει να κάνει με το firewall που έχω στήσει. Πάντως επιτρέπω το NAT να περνάει απο το firewall. Τι να πω θα το παρακολουθήσω και βλέπουμε.

πρεπει να ποσταρεις καλυτερα με export τους κανονες απο το firewall-rules που εχουν σχεση με το openvpn, ισως κατι απο εκει.
απο ΝΑΤ σιγουρα δεν ειναι.

[jkarabas]

ip firewall filter

Spoiler:

add action=accept chain=input comment="Accept input established, related connections" connection-state=\
established,related
add action=drop chain=input comment="______Drop input invalid connections" connection-state=invalid
add action=accept chain=forward comment="Accept PF All DstNat" connection-nat-state=dstnat \
connection-state=new in-interface=all-ppp
add action=accept chain=forward comment="Allow forward forward established, related connections" \
connection-state=established,related
add action=drop chain=forward comment="______Drop forward invalid connections" connection-state=invalid
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input \
comment="Add port scanners to list" in-interface=all-ppp protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input \
comment="______NMAP FIN Stealth scan" protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input \
comment="______SYN/FIN scan" protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input \
comment="______SYN/RST scan" protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input \
comment="______FIN/PSH/URG scan" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input \
comment="______ALL/ALL scan" protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input \
comment="______NMAP NULL scan" protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list=wb_stage1 address-list-timeout=1m chain=input comment=\
"WinBox brute forcers the first stage" connection-state=new dst-port=8291 protocol=tcp \
src-address-list=!wb_stage1
add action=drop chain=input comment="______Drop port scanners from list" src-address-list="port scanners"
add action=add-src-to-address-list address-list=wb_blacklist address-list-timeout=1w3d chain=input \
comment="WinBox brute forcers blacklisting" connection-state=new dst-port=8291 protocol=tcp \
src-address-list=wb_stage3
add action=add-src-to-address-list address-list=wb_stage3 address-list-timeout=1m chain=input comment=\
"WinBox brute forcers the third stage" connection-state=new dst-port=8291 protocol=tcp \
src-address-list=wb_stage2
add action=add-src-to-address-list address-list=wb_stage2 address-list-timeout=1m chain=input comment=\
"WinBox brute forcers the second stage" connection-state=new dst-port=8291 protocol=tcp \
src-address-list=wb_stage1
add action=accept chain=input comment="Login WinBox with right pass" dst-port=8291 protocol=tcp \
src-address-list=!wb_blacklist
add action=accept chain=input comment="Allow OVPN" dst-port=1722 in-interface=all-ppp protocol=tcp
add action=accept chain=input comment="Allow mikro winbox android" dst-port=8728 in-interface=all-ppp \
protocol=tcp
# giannis-mobile-ovpn not ready
add action=accept chain=forward comment="Allow internet-LAN from mobile Ovpn" in-interface=\
giannis-mobile-ovpn
add action=accept chain=input comment="Allow all input from LAN" in-interface=!all-ppp
add action=accept chain=forward comment="Allow all forward from LAN" in-interface=!all-ppp
add action=drop chain=input comment="Drop input everything else"
add action=drop chain=forward comment="Drop forward everything else"

Αυτό είναι όλο το firewall που έχω. Σε περίπτωση που η σύνδεση συναντήσει τον κανόνα με το static όνομα giannis-mobile-ovpn από το ppp τότε αυτό ενεργοποιείται.

[Nikiforos]

καλημέρα, σωστα τα βλεπω αλλα εκτος τα forward εχεις και για input παρομοιους κανονες?
Εγω ειχα θεμα χωρις τους input, όπως εχεις το forward θελει και input.
κατι μου εκοβε και δεν δουλευε αναλογα καποιες συνθήκες χωρις αυτους.
Αυτα παρακατω ειναι απο το 109.
Αν μπορεις οταν κανεις export βαζε μονο οτι ειναι σχετικο για να διαβαζονται ποιο ευκολα.
Οι υπογραμμισμενοι κανονες δεν ειμαι σιγουρος απολυτα αν εχουν σχεση με το openvpn.

add action=accept chain=input comment=OpenVPN dst-port=1134 port="" protocol=tcp
add action=accept chain=input comment="Allow Broadcast-Multicast" dst-address-type=broadcast,multicast in-interface=all-ppp
add action=accept chain=input comment="Allow all input from LAN" in-interface=!all-ppp
add action=accept chain=forward comment="Allow all forward from LAN" in-interface=!all-ppp
add action=accept chain=forward comment="from openvpn" in-interface=all-ppp src-address=10.X.X.248/29
add action=accept chain=input comment="from openvpn" in-interface=all-ppp src-address=10.X.X.248/29

[SpiritCrusher]

Είχα και εγω το ίδιο ακριβώς πρόβλημα με τη μόνη διαφορά εμένα εκανε τελείως drop και δε μπορούσα να συνδεθώ καθόλου.

Το έλυσα αλλάζοντας

PPP > Interface > OVPN Server (button)
                > Μode : IP αντί για ethernet που γράφει ο DeniSun.

[Nikiforos]

Είχα και εγω το ίδιο ακριβώς πρόβλημα με τη μόνη διαφορά εμένα εκανε τελείως drop και δε μπορούσα να συνδεθώ καθόλου.

Το έλυσα αλλάζοντας

PPP > Interface > OVPN Server (button)
                > Μode : IP αντί για ethernet που γράφει ο Nikiforos.

Εγω εχω ip εκει περα....αυτο που λες το λεει ο οδηγος στο 1ο ποστ #1 που ειναι του DeniSun και οχι δικο μου! https://www.adslgr.com/forum/threads...Android-Client
και ποτε σε mikrotik δεν ειχα αυτο το mode, σε linux μονο (ΟPENWRT) και εκει δεν το λενε ετσι αλλα TAP (ETHERNET) και TUN (IP). http://www.openwrt.gr/viewtopic.php?f=17&t=297&start=10
https://forum.mikrotik.com/viewtopic.php?t=123236
και δεν ειχες το ιδιο προβλημα αφου εκανε drop αλλο το ενα και αλλο το αλλο!

anyway οποιος εχει προβλημα να δειξει το αρχειο του κινητου μηπως ειναι δηλωμενο λαθος το mode interface, γιατι το android σαν linux που ειναι θελει Tap και Τυn ενω στο mikrotik λεει ip και ethernet.
Aν στο αρχειο ειναι δηλωμενο το αντιθετο θελει αλλαγη στον server δλδ στο mikrotik ή διορθωμα στο αρχειο.
Αν ειναι λαθος επειδη το εχω παθει αρκετες φορες τοτε ΔΕΝ συνδεεται ουτε με σφαιρες.

TAP ειναι ETHERNET MODE στο Mikrotik
ΤUN ειναι IP MODE στο Mikrotik

[SpiritCrusher]

Εγω εχω ip εκει περα....αυτο που λες το λεει ο οδηγος στο 1ο ποστ #1 που ειναι του DeniSun και οχι δικο μου! https://www.adslgr.com/forum/threads...Android-Client
και ποτε σε mikrotik δεν ειχα αυτο το mode, σε linux μονο (ΟPENWRT) και εκει δεν το λενε ετσι αλλα TAP (ETHERNET) και TUN (IP). http://www.openwrt.gr/viewtopic.php?f=17&t=297&start=10
https://forum.mikrotik.com/viewtopic.php?t=123236
και δεν ειχες το ιδιο προβλημα αφου εκανε drop αλλο το ενα και αλλο το αλλο!

anyway οποιος εχει προβλημα να δειξει το αρχειο του κινητου μηπως ειναι δηλωμενο λαθος το mode interface, γιατι το android σαν linux που ειναι θελει Tap και Τυn ενω στο mikrotik λεει ip και ethernet.
Aν στο αρχειο ειναι δηλωμενο το αντιθετο θελει αλλαγη στον server δλδ στο mikrotik ή διορθωμα στο αρχειο.
Αν ειναι λαθος επειδη το εχω παθει αρκετες φορες τοτε ΔΕΝ συνδεεται ουτε με σφαιρες.

TAP ειναι ETHERNET MODE στο Mikrotik
ΤUN ειναι IP MODE στο Mikrotik

Συγγνωμη εκ παραδρομής το ονομα σου . Επειδή γράφεις συχνά στο νήμα για καποιο λόγο μου είχε μείνει στο μυαλό πως ειναι δικος σου ο οδηγός .

Οσον αφορά το πρόβλημα μου έβγαζε ακριβώς το ίδιο μήνυμα με duplicate packets κτλ.

Δεν έχω εκταταμένη γνωση στο RouterOS, μόλις προχθές αγόρασα ενα για πειραματισμό και εκμαθηση.