Köszi a felajánlást! Ha még megvan a tudás, meg az idő egy Logout bejegyzést biztos megérne a dolog.

Viszont nekem még nem annyira aktuális, sajnos egy "buta" router van mögötte, amit most inkább átpattintottam "bridge" módba. Jobban szeretem látni, hogy mi történik. Persze tervezem majd bővíteni a hálózatot MT eszközökkel.

Nem tudom viszont, hogy neked ez a fő internet elérésed-e, mint nekem, és van-e valami ötleted arra, hogy egy ilyen dinamikus sebességű internetelérést miképp tartasz kordában. Amit eddig láttam queuekat, mind fix max sebességre dolgoztak.
Viszont roppant zavaró, amikor egy lowlatency igényes szolgáltatást leöl egy sima YT videó.

Tegnap még működött...

Elképzelhető, hogy írok majd egy hsz-t róla (Szerencsére a tudás nem szokott elszállni, amit ilyen több napos szívások árán szerzek meg )

Megmondom őszintén, ez egy muszájhelyzet volt, mert egy ügyfélhez fog kerülni a téma. Náluk Telekom-os ADSL van, ami erősen megfekszik, ha kettőnél több ember van egyszerre a VPN-en. Emiatt jött a döntés, hogy átállunk ideiglenesen LTE-re main vonalon, később pedig jó lesz failover-nek. Egyelőre éles teszt nem történt rajta, de a speedtest átlagosan 35-40/40 le- és feltöltést mutatott, mivel nincs közvetlen rálátásom egyetlen bázisállomásra sem. A jövő hét folyamán kiépítésre kerül az ügyfélnél az éles rendszer, onnantól fogok tudni pontosat mondani

Hupszi, enyém lett a 10k. hsz

[ Szerkesztve ]

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

De legalább ismét kiderült, hogy nem az eszköz a hibás . Ha kicsit is jobban megnézted volna mit írtam, akkor az "arra akar menni a forgalom" kérdést kielemezve azonnal észreveszed ezt a statikus bejegyzést. Az tény, hogy ebből többet tanultál

Már csak az nem jön össze, hogy amikor a gépet közvetlenül rádugtad, akkor miért nem ment, ott nem volt statikus bejegyzés.

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Apró információ a sok szám közepette, nem szúrt szemet elsőnek Sőt, egy szóval sem mondtam, hogy az eszköz lenne a ludas.

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

Igaz, nem mondtad, de azért csak megfordult a fejedben . Az emberek ilyenek, átnézed, jónak tűnik, ilyenkor jön, hogy biztos nem itt a hiba, és jön a firmware upgrade, downgrade, majd upgrade megint, majd rengeteg más ötlet, a végén már az eszköz a hibás.., nem kompatibilis, és hasonló gondolatok. Szóval ne vedd magadra, ha te végig magadban illetve a beállításaidban kerested a hibát, hát respect

És van mikor tényleg nem a miki konfigja a hibás, lásd a fenti openvpn kálváriám, amit nem tudok életre bírni, pedig más routeren is próbáltam már, szerintem a win kliens van elbaxva.., lévén az nem megy sehol sem. (persze lehet a mikrotik certificate generálása az alap probléma)

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Jó ideje dolgozom tikekkel, de sosem tudhat mindent IS az ember, így eddig egyetlen egyszer sem fordult meg a fejemben, hogy hibás volna az eszköz, tudtam, hogy konfigurációs gond lesz

Én is szívtam az opnvpn-nel tik-en, de most már jó, segítsek benne esetleg?

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

Csinálj egy tesztet, mikrotiken generálj certeket, ez nagyon fontos !, majd win10 el kapcsolódj be. Ha megy, akkor majd kérdezek.

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Kérlek szépen két ügyfélnél élesben megy ez a történet

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

Pool létrehozása az OpenVPN szervernek:
/ip pool add name=[OpenVPN szerver neve] ranges=[tartomány]

PPP profil létrehozása:
/ppp profile add name=[Profil neve] local-address=[létrehozott pool neve] remote-address=[létrehozott pool neve]

CA generálása:
/certificate add name=CA common-name=CA key-usage=key-cert-sign,crl-sign days-valid=[érvényesség ideje napban]

CA sign-olása:
/certificate sign CA ca-crl-host=[A mikrotik külső IP-je] name=CA

CA exportálása:
/certificate export-certificate CA

Szerver cert létrehozás:
/certificate add name=Server common-name=Server days-valid=[érvényesség ideje napban]

Szerver cert sign-olása:
/certificate sign Server ca=CA name=Server

Kliens certek létrehozása, sign-olása és exportálása, minden új kliensnél ez a command:
/certificate add name=[Kliens neve] common-name=[Kliens neve megint] days-valid=[érvényesség ideje napban]
/certificate sign [Kliens neve] ca=CA name=[Kliens neve]
/certificate export-certificate export-passphrase=[JELSZÓ!, így jön létre a .key] [Kliens neve]

OpenVPN interfész:
/interface ovpn-server Server set enabled=yes certificate=Server auth=sha1 chiper=aes256 port=[kívánt port] netmask=24 require-client-certificate=yes mode=ip default-profile=[Létrehozott profil neve]

Ezek után legyenek létrehozva a secretek a PPP --> Secrets menüpont alatt és Service-nek állítsuk be az ovpn-t, Profile-nak pedig a létrehozott PPP profilunkat!

Ezek után a Files menüpont alól le tudjuk tölteni a kiexportált fájlokat, amiket bemásolhatunk a windows-os OpenVPN config mappájába.

Ha ez megvan hozzunk létre egy tetszőleges nevű .ovpn fájlt, amiben az alábbi konfigurációt helyezzük el:

OVPN kliens:
client
proto tcp
port [beállított port]
remote [router külső IP címe, vagy a Cloud menüponttal elérhető DDNS cím]
dev tun
nobind
persist-key
route [router belső network-je és maszkja rendesen kiírva,
ez kell ahhoz, hogy a VPN kliens rálásson a belső hálózatra]
tls-client
ca CA.crt
cert [Kliens].crt
key [Kliens].key
verb 3
chiper AES-256-CBC
auth SHA1
pull
auth-user-pass
remote-cert-tls server
auth-nocache

Azt hiszem mindent leírtam Alap felállásban ennek így működnie kell

[ Szerkesztve ]

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

Ezt most lepróbáltad? Mert én 10 éve használom az openvpn-t és sosem volt vele bajom, csak lejárt a certificate (illetve pár hét és lejár) és a most létrehozottal NEM megy.

"két ügyfélnél élesben" ? Ez nagy számnak számít? Mert nálam általában 100 felett van az aktív kliensek száma, igaz csak 5 win kliens volt, amiből kettőt ki tudtam szanálni...

Azért lett volna jó, ha visszaolvasol picit, mert linux kliensekről megy, mikrotik klienssel megy, csak a win10 -el nem megy, legrissebb és az egyel ezelőtti community oldalról leszedhető tizeshez való openvpn és frissen generált certificate-ekkel, több routeren lepróválva...

A leirásodból még kimaradt, hogy az aláirt kulcsokat az openssl-el jelszótalanítsd, így nem fog kérni az openvpn kliens se jelszót, de végül a legfrissebb openvpn már meg is tudná talán jegyezni a jelszót hozzá..., egyébként mehetne a kisokosba.
Kár, hogy nem működik nálam most. Valami változott..

[ Szerkesztve ]

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Nem próbáltam le, ez egy saját magam által készített leírásból lett "olvashatóvá" téve. Az elmúlt két hétben sok ügyfélnél kezdtük el bevezetni az OpenVPN-t a home office miatt. Egytől egyig Windows-os klienssel és a mai napig így működik hibátlanul mindenkinél. A key jelszófeloldását teljesen feleslegesnek tartom. Azért key. Egyébként a Windows-os OpenVPN kliens meg tudja jegyezni a felhasználónév + jelszó párost és a key jelszavát is, így ezt csak egyetlen egyszer kell beírni neki.

Általában 10-50 klienses kiszolgálásokról van szó, szóval stabilnak mondanám a működést. Személy szerint minden kliensnek szoktam beállítani pool tartományon kívüli fix remote IP-t, így könnyebben tűzfalazható mondjuk egy-egy kliens.

Mint írtam, 1-2 hete csináltam ugyan ezzel a technikával elég sok kliensnek VPN-t több ügyfélnél (értsd több különböző mikrotik routeren) is. Mindenhol szépen működik. Nem tudom Nálad mi lehet a gond Mit mond az OpenVPN kliens, mi van a logban?

Szerk:
Megpróbálhatod az OpenVPNServiceInteractive folyamatot újraindítani a task manager-be. Előfordulhat, hogy beragad, főleg ilyen cert váltásnál.

[ Szerkesztve ]

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

Hagyjuk, nem kezdeném elölről leírni, ha érdekel, olvass vissza kicsit. A mikrotik által generált certet nem eszi meg a win kliens. (most!, mert évek óta használom és nem volt ilyen gondom vele) A baj, hogy 70 szervert állítottam át az elmúlt napokban, párat kiszanáltam, akik már nem is ügyfeleim, de még mindig becsatlakozott a szerverük, amit még én tartottam karban) nem akarom újra kezdeni. Buta, sőt ostoba módon a végére hagytam a win klienseket, illetve nem próbáltam ki win10-el ill. 2016 szerverrel. Mivel régen ez ment mint az álom, illetve win7 alatt talán le is teszteltem a cert létrehozása után, eszembe nem volt, hogy gond lesz. Inkább kiirtom a windowsokat , ez hosszabb távon többszörösen is megtérül.
(ja és androidról is hasít, persze nincs mit csodálkozni, az se ms..)

De kíváncsi volnék, hogy egy legújabb stable ROS-on frissen generált certel is megy e nálad.
Ha lesz időd és kedved akkor próbáld ki, ha nem lesz a régi működő cuccok nem érdekelnek. Nekem is mennek a régiek.

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Én beröffenteném az SSTP-t a Win klienseknek...nem sokat vesztesz és biztosan menni fog.

update: tegnap még éjjel az itthoni teszt routerrel sikerült összehozni, és van egy sejtésem, hogy mi a hiba, mi a különbség.., ma ha lesz időm akkor még kipróbálom, aztán majd megírom, ha megvan a megoldás.

kovidinka: nem jó az sstp több okból sem, az egyik, hogy egy win2016 szerver előtt sosem ülnek, és akkor is kellene a kapcsolat, mikor nincs beloginolva senki. Sztem ez nem megy sstp-vel, de ha igen, akkor most nagyot tévedtem!

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Na hát én pont most fogok egy új certet készíteni egy friss ROS-en azzal a módszerrel, amit leírtam, Windows10-es klienssel. Szólok a végeredményről

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

És ahogy mondtam is, tökéletesen működik elsőre

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

Az egyetlen különbség, hogy a nem működő certek key usage köre bővebb. Csinálnál nekem egy képernyőmentést arról az ablakról, hogy néz ki a server llletve a kliens cert usage ?

Erre gondlokok:

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Persze, itt is van egy példa:

Szerver:

Kliens:

Annyit hozzátennék, hogy én mindig, minden Tik-en long term firmware-t használok, nem a sima stable-t. Ha ez esetleg segítség Jelenleg így a 6.45.8-nál járok

[ Szerkesztve ]

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

Nem tudom, ez is pont olyan "bő" mint amit én generáltam. Ha most a teszt routeren teljesen 0-ról előlről kezdem, akkor 2x egymás után is elsőre jó.
Azonban, ha a teszt routerre beimportálom a CA certemet (a kulccsal), akkor onnan kezdve már az azzal generált server és client certificatekkel nem megy.

(A CA certemet decemberben generáltam, kezdem azt hinni, hogy azzal van valami gond, azt nem tudom melyik router OS verzióval generáltam. )

Mon Mar 30 13:05:53 2020 us=611823 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed
Mon Mar 30 13:05:53 2020 us=611823 TLS_ERROR: BIO read tls_read_plaintext error
Mon Mar 30 13:05:53 2020 us=611823 TLS Error: TLS object -> incoming plaintext read error
Mon Mar 30 13:05:53 2020 us=611823 TLS Error: TLS handshake failed
Mon Mar 30 13:05:53 2020 us=611823 Fatal TLS error (check_tls_errors_co), restarting

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Huha, szép kis error log. Az már kapásból látszik, hogy nem tudja verify-olni a certet, feltehetően a kliensét.

Milyen titkosítás van beállítva? chiper van konfigolva a .ovpn konfigban?

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

ugyanaz a konfig, ugyanazon a routeren, egy frissen generált ca és certekkel bekonnektál a routerbe, a beimportalt CA certel és frissen generált server és kliens certekkel ezt a hibát dobja.

Minden ugyanaz. Én feladtam egyelőre, mert ezt csak a CA újragenerálása oldja meg, amit viszont nem akarok 3, illetve azóta már csak 1 db win kliens miatt. (persze a jövőbe nem látok, de ahol csak win szerver van (se mikrotik router, se egy linux szerver, oda nem vállalok semmit )

Ez tuti nem konfigurációs hiba ! Arra gondoltam, hogy privát kulcs exportálása után esetleg az openssl jelszótlanítása során ment el valami, de elmentettem az eredeti kiexportált kulcsot, szerencsére egy fájlba mellé tettem az exportáló jelszót. De ha így importálom, generálok certeket, stb, akkor is ugyanez.

Én feladtam egyelőre, majd ha már nem tudok mit kezdeni az unalomtól, akkor előlről kezdem az egészet és első lépés a win tesztelése lesz Zárjuk le a témát, mert már unalmas kezd lenni.

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Részemről lezárhatjuk, nekem teljesen mindegy, csak segíteni szerettem volna

vapebook.hu - őszinte ecigi tesztek, vaperektől vapereknek

Ha csak bizonyos forgalomra szeretnék FastTrak-ot használni, azt hogyan tehetem meg?

A fasttrack szabály elé rakd be amit szeretnél. Ami viszont egyszer fasttrack lett, az az is marad, az utána már kikerül mindent.

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Félre olvastam..., font porditva

Szóval a fasttrack szabály szerkeszthető, sőt lehet másolni és mindnek más szűrést állíthatsz be.

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Szóval! Mondjuk az eredeti "FastTrack" szabályt lemásolom (persze utána Disable), és megadom benne a protokollt és ha kell, akkor a hozzá tartozó portot is?
Pl UDP 53
Gondolom a "Established" és a "Related" a szükséges a szabályban továbbra is?

[ Szerkesztve ]

Szerintem igen, de nem próbáltam le... , de azt gondolom, hogy igen!

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Hát akkor majd pudding próbája lesz 😁

Milyen virusirtó van a gépen? Avast, nod32 ilyesmi, aminek van tűzfala is, az simán tud ilyet

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Eset Security. Kikapcsoltam, de semmi javulás. Kértem tőle egy alapértelmezett beállítást, de nem lett jobb :-(
Másik gépen szintén ugyan ez az Eset, és ott nincs gond. Legalább 10 éve használok Eset-et, de eddig nem volt ilyen jellegű problémám velük. Legfeljebb felhívom a Support-jukat

Névszerverfüggő lehet. Hol regelted a domént? Az ő névszerverüket használod? Én a Forpsi-nál vagyok, ott a fő domént is be lehet lőni emlékeim szerint cname-re.

üdv, adika4444

Nem náluk vagyok de fő domaint én sem tudom beállítani cname-re, lehet ha úgy kérem akkor úgy regisztrálják és működik, de én magamnak nem tudom át/be-állítani.

Tegnap kicsit meglepődtem, a digi nat-olt hálózatában mindenki elér mindenkit.., illetve pontosítok, két veszprémi ügyfelem simán elérné egymást, a 100-as ip címeken. (persze semmi közük egymáshoz, csak én próbáltam ki)

[ Szerkesztve ]

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Sziasztok!

Abban kérném a segítségeteket hogy VPN (l2tp/ipsec) kapcsolaton keresztül el lehessen érni a céges gépeket név alapján, IP alapon működik csak. Mennyire bonyolult ennek a beállítása?
Előre is köszönöm.

3dfx, gone but never forgotten...

ird be a host fájlba a becsatlakozó gépen, Ha site2site akkor a kliens router dns static bejegyzéséhez (és persze a hostok dns-t is onnan kapjanak)

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

Az admin felületre be kell lépni, és ott beállítani a gyökér doménre. Kiválasztod, hogy cname, utána nem írsz semmit a domén előtti részhez, csak a célnál adod meg, hova irányítson. Így mennie kéne, legalább is régen még ment mert egyszer elbénáztam a wildcardos részt, hogy minden beállítatlan aldomén mutasson a főre.
(#10038) bacus
Ez régóta így van sajnos...

üdv, adika4444

Lehet csiszoltak a felületen, de a root domain előtti mező nem lehet üres. Mindegy, ezzel együtt tudok élni.

Hap ac2 router + cap ac ap-t használok. Ha hozzákapcsolok egy újabb cap ac-t és wap ac-t, akkor van rá lehetőség, hogy automatikusan átvegye a beállításokat és összeálljanak egy 3-as ap rendszerbe? Van a neten erről valami jó kis összefoglaló, hogy kell beállítani őket? Mindenhol csak egy ap-s beállítás van.

Egyszerűen engedélyezed a CAP módot az új AP-n és megadod, melyik interface-en keresse a capsman-t és kb. ennyi elég. Azt majd nem árt beállítani, hogy melyik AP melyik csatornán lógjon.

[link]

Sziasztok!
hAPac2 esetében usb disk-et használok a log fájlok mentésére, viszont szeretném ha ez a meghajtó lenne az alapértelmezett, ez megoldható e?

3dfx, gone but never forgotten...

lejárt a szerkesztési időm...

az is megoldás lenne ha pl:ez az rsc automatikusan az usbdisk nevezetű helyre töltődne le.
/tool fetch url="http://joshaven.com/spamhaus.rsc" mode=http;
:log info "Downloaded spamhaus.rsc from Joshaven.com";

3dfx, gone but never forgotten...