Ich versuche, einen VPN-Server in einer AWS-Umgebung einzurichten. Ich habe den Server mit derselben Konfiguration eingerichtet, die ich auf einem funktionierenden Digital Ocean-Host verwende (mit Ausnahme eines anderen Server-IP-Bereichs und Ports), und ich kann von einem Client aus eine Verbindung herstellen, auf dem Tunnelblick ausgeführt wird.
Wenn ich mich jedoch mit dem AWS VPN-Server verbinde, erhalte ich keine IP-Adresse auf meinem Client-tunX-Gerät und es werden keine Routen aktualisiert. Wenn ich mich mit dem DigitalOcean-Server verbinde, erhalte ich eine IP-Adresse innerhalb des Server-IP-Bereichs aus meiner OpenVPN-Server.conf.
Mein NACL auf meinem VPC in AWS lässt den gesamten eingehenden und ausgehenden Datenverkehr zu.
Es gibt nur eine Sicherheitsgruppe, die mit der EC2-Instanz verknüpft ist und den gesamten Datenverkehr mit dem Protokoll „Alle“, dem Portbereich „Alle“ und dem Ziel „0.0.0.0/0“ zulässt.
Die Quell-/Zielprüfung ist auf der Instanz deaktiviert, aber mit Aktivierung ist das gleiche Verhalten aufgetreten.
Das Subnetz, mit dem meine EC2-Instanz verknüpft ist, verfügt über eine Route zu einem gültigen Internet-Gateway und kann auf das Internet zugreifen
Meine AWS /etc/openvpn/server.conf sieht wie folgt aus:
port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/ip-foo.crt
key /etc/openvpn/easy-rsa/keys/ip-foo.key
user nobody
group nogroup
dh /etc/openvpn/easy-rsa/keys/dh2048.pem
server 10.8.20.0 255.255.255.0
ifconfig-pool-persist ipp.txt
keepalive 10 120
comp-lzo
push "route 172.100.0.0 255.255.0.0"
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
persist-key
persist-tun
status openvpn-status.log
verb 3
Meine DigitalOcean server.conf ist
port 443
proto udp
dev tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/foo.crt
key /etc/openvpn/easy-rsa/keys/foo.key
user nobody
group nogroup
dh /etc/openvpn/easy-rsa/keys/dh2048.pem
server 10.8.4.0 255.255.255.0
ifconfig-pool-persist 443ipp.txt
keepalive 10 120
comp-lzo
push "redirect-gateway def1"
push "dhcp-option DNS 8.8.8.8"
persist-key
persist-tun
verb 3
Ein Beispiel für ein Client-Protokoll finden Sie unterhttps://pastebin.com/tYwAKFwn
Beim Verbinden mit dem AWS-Server sehe ich Folgendes in der Ausgabe von journalctl -f
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 TLS: Initial packet from [AF_INET]my.public.ip:56720, sid=f565fbbe 3fc25003
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 VERIFY OK: depth=1, C=GB, ST=Your Province, L=Your City, O=Your Organisation, OU=Your organisational unit, CN=Your Organisation CA, name=EasyRSA, emailAddress=Organisation CA e-mail
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 VERIFY OK: depth=0, C=GB, ST=Your Province, L=Your City, O=Your Organisation, OU=Your organisational unit, CN=vpnclient, name=EasyRSA, emailAddress=Organisation CA e-mail
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 WARNING: 'link-mtu' is used inconsistently, local='link-mtu 1542', remote='link-mtu 1558'
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 WARNING: 'cipher' is used inconsistently, local='cipher BF-CBC', remote='cipher AES-256-CBC'
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 WARNING: 'keysize' is used inconsistently, local='keysize 128', remote='keysize 256'
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 WARNING: this cipher's block size is less than 128 bit (64 bit). Consider using a --cipher with a larger block size.
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 WARNING: this cipher's block size is less than 128 bit (64 bit). Consider using a --cipher with a larger block size.
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 Control Channel: TLSv1.2, cipher TLSv1/SSLv3 DHE-RSA-AES256-GCM-SHA384, 2048 bit RSA
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: my.public.ip:56720 [vpnclient] Peer Connection Initiated with [AF_INET]my.public.ip:56720
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: vpnclient/my.public.ip:56720 MULTI_sva: pool returned IPv4=10.8.20.6, IPv6=(Not enabled)
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: vpnclient/my.public.ip:56720 MULTI: Learn: 10.8.20.6 -> vpnclient/my.public.ip:56720
Feb 23 10:01:11 ip-172-100-54-88 ovpn-server[1872]: vpnclient/my.public.ip:56720 MULTI: primary virtual IP for vpnclient/my.public.ip:56720: 10.8.20.6
Die Ausgabe von ifconfig tun0 auf dem AWS-Server lautet
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:10.8.20.1 P-t-P:10.8.20.2 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
aber ich bekomme nie eine IP auf dem Tun-Gerät und kann 10.8.20.1 nicht anpingen
Ich wäre für alle Hinweise sehr dankbar!
Antwort1
im Moment habe ich keine Zeit, Ihre Sachen durchzugehen, aber ich habe ein funktionierendes Setup für OpenVPN.
Hier sind einige Dinge, die hilfreich sein könnten:
Meine Server- und Client-Konfigurationenserver.conf und client.ovpn
Versuchen Sie, dies zu verwenden, um Ihre AWS-Instanz automatisch zu konfigurieren: Nyr OpenVPN-Installationsprogramm
Versuchen Sie auch, eine statische IP-Adresse zu verwenden, anstatt nur die zufällig generierte