Просмотр кода страницы VPN-подключение IP-устройств


=== Введение ===

В данной статье рассматриваются вопросы настройки VPN-подключения следующих IP-устройств:

*[[КУН-IP|КУН-IP]] 
*[[КИО-8(4)L|КИО-8(4)L]] 
*[[КИО-2М|КИО-2М]], [[КИО-2МД|КИО-2МД]],&nbsp;[[КИО-2МS|КИО-2МS]],&nbsp;[[КИО-1М|КИО-1М]] 

Настройка VPN-подключения осуществляется через WEB-интерфейс устройств.

Устройство при этом выполняет роль VPN-клиента и подключается к удаленному VPN-серверу.

В настоящее время поддерживается работа следующих типов протоколов:

*PPPTP 
*PPPoE 
*а также технологии OpenVPN 

{{:TrublesWithVPNUpdate}}

PPTP

==== Настройка ====

В самом простом случае в WEB-интерфейсе устройства достаточно указать

*включить PPTP 
*имя пользователя 
*пароль 
*IP-адрес сервера 
*MTU = 1474 

Будьте аккуратны с опцией Отключить локальный интерфейс - т.к. соединение будет разрешено только через защищенный канал. В противном случае доступ к устройству возможен и через VPN и по "исходному IP-адресу". Данную опцию рекомендуется включать после тестовой проверки VPN-подключения.

==== Диагностика ====

Для диагностики подключения удобно использовать запрос [[КУН-IP8#CGI_.D0.B8.D0.BD.D1.82.D0.B5.D1.80.D1.84.D0.B5.D0.B9.D1.81|log.cgi]]

В открывшемся логе нас интересуют только строки, содержащие ''pptp [xxx]:''.

Корректное подключение может выглядеть, например следующим образом:
<pre>Jan 1 00:00:02 IPCUn daemon.notice pppd[68]: pppd 2.4.7 started by root, uid 0 
Jan 1 00:00:02 IPCUn daemon.info pppd[68]: Using interface ppp0 
Jan 1 00:00:02 IPCUn daemon.notice pppd[68]: Connect: ppp0 <--> /dev/pts/0 
Jan 1 00:00:02 IPCUn daemon.notice pptp[74]: anon log[main:pptp.c:333]: The synchronous pptp option is NOT activated 
Jan 1 00:00:03 IPCUn daemon.notice pptp[97]: anon log[ctrlp_rep:pptp_ctrl.c:258]: Sent control packet type is 1 'Start-Control-Connection-Request' 
Jan 1 00:00:03 IPCUn daemon.notice pptp[97]: anon log[ctrlp_disp:pptp_ctrl.c:758]: Received Start Control Connection Reply 
Jan 1 00:00:03 IPCUn daemon.notice pptp[97]: anon log[ctrlp_disp:pptp_ctrl.c:792]: Client connection established. 
Jan 1 00:00:04 IPCUn daemon.notice pptp[97]: anon log[ctrlp_rep:pptp_ctrl.c:258]: Sent control packet type is 7 'Outgoing-Call-Request' 
Jan 1 00:00:04 IPCUn daemon.notice pptp[97]: anon log[ctrlp_disp:pptp_ctrl.c:877]: Received Outgoing Call Reply. 
Jan 1 00:00:04 IPCUn daemon.notice pptp[97]: anon log[ctrlp_disp:pptp_ctrl.c:916]: Outgoing call established (call ID 0, peer's call ID 17002). 
Jan 1 00:00:06 IPCUn daemon.notice pptp[97]: anon log[ctrlp_disp:pptp_ctrl.c:980]: PPTP_SET_LINK_INFO received from peer_callid 0 
Jan 1 00:00:06 IPCUn daemon.notice pptp[97]: anon log[ctrlp_disp:pptp_ctrl.c:983]: send_accm is 00000000, recv_accm is FFFFFFFF J
Jan 1 00:00:06 IPCUn daemon.warn pptp[97]: anon warn[ctrlp_disp:pptp_ctrl.c:986]: Non-zero Async Control Character Maps are not supported! 
Jan 1 00:00:06 IPCUn daemon.notice pppd[68]: CHAP authentication succeeded 
Jan 1 00:00:10 IPCUn daemon.notice pppd[68]: MPPE 128-bit stateless compression enabled 
Jan 1 00:00:11 IPCUn daemon.notice pppd[68]: local IP address 192.168.7.11   <<-------- 16 строка
Jan 1 00:00:11 IPCUn daemon.notice pppd[68]: remote IP address 192.168.7.10 ... <<-------- 17 строка
</pre>

Где,

*в 16 строке указан IP-адрес, полученный устройством 
*в 17 - IP-адрес VPN-сервера, к которому было осуществлено подключение 

И далее периодически в логе могут возникать сообщения
<pre> 
Jan 1 00:01:03 IPCUn daemon.notice pptp[97]: anon log[logecho:pptp_ctrl.c:696]: Echo Request received. 
Jan 1 00:01:03 IPCUn daemon.notice pptp[97]: anon log[ctrlp_rep:pptp_ctrl.c:258]: Sent control packet type is 6 'Echo-Reply' 
Jan 1 00:02:03 IPCUn daemon.notice pptp[97]: anon log[logecho:pptp_ctrl.c:696]: Echo Request received. 
Jan 1 00:02:03 IPCUn daemon.notice pptp[97]: anon log[ctrlp_rep:pptp_ctrl.c:258]: Sent control packet type is 6 'Echo-Reply ... 
</pre>

В случае проблем с подключением, будет отображена та или иная ошибка

Например:
<pre> 
May 23 14:33:16 unost pppd[165]: Using interface ppp0 
May 23 14:33:16 unost pppd[165]: Connect: ppp0 <--> /dev/pts/0 
May 23 14:33:16 unost pptp[303]: anon log[main:pptp.c:333]: The synchronous pptp option is NOT activated 
May 23 14:33:16 unost pptp[309]: anon log[ctrlp_rep:pptp_ctrl.c:258]: Sent control packet type is 1 'Start-Control-Connection-Request' 
May 23 14:33:16 unost pptp[309]: anon log[ctrlp_disp:pptp_ctrl.c:758]: Received Start Control Connection Reply 
May 23 14:33:16 unost pptp[309]: anon log[ctrlp_disp:pptp_ctrl.c:792]: Client connection established. 
May 23 14:33:17 unost pptp[309]: anon log[ctrlp_rep:pptp_ctrl.c:258]: Sent control packet type is 7 'Outgoing-Call-Request' 
May 23 14:33:17 unost pptp[309]: anon log[ctrlp_disp:pptp_ctrl.c:877]: Received Outgoing Call Reply. 
May 23 14:33:17 unost pptp[309]: anon log[ctrlp_disp:pptp_ctrl.c:916]: Outgoing call established (call ID 0, peer's call ID 0). 
May 23 14:33:11 unost pptp[220]: anon log[ctrlp_disp:pptp_ctrl.c:952]: Call disconnect notification received (call id 0) 
May 23 14:33:11 unost pptp[220]: anon log[ctrlp_error:pptp_ctrl.c:206]: Result code is 1 'Lost Carrier'. Error code is 0, Cause code is 0 
May 23 14:33:11 unost pptp[220]: anon log[call_callback:pptp_callmgr.c:84]: Closing connection (call state) 
May 23 14:33:11 unost pppd[165]: Modem hangup May 23 14:33:11 unost pppd[165]: Connection terminated. ... 
</pre>

Для диагностики проблем подключений по PPTP для новый концентраторов [[КУН-IP8|КУН-IP8]], [[КУН-IP4|КУН-IP4]] (для [[КУН-IPM|КУН-IPM]] данный способ не работает) удобно поступать следующим образом:

#отключить опцию PPTP 
#включить доступ по SHH в меню Контроль доступа 
#перезагрузить устройство 
#подключиться по SHH с помощью, например Putty 

Далее в консоли набрать
<pre><nowiki> $ pppd call pptp debug nodetach </nowiki></pre>

И наблюдать более подробный лог, например:
<pre> 
using channel 1 Using interface ppp0 Connect: ppp0 <--> /dev/pts/1 sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] sent [LCP ConfReq id=0x1 <asyncmap 0x0> <magic 0xe38a189e> <pcomp> <accomp>] Script pptp 185.41.42.22 --nolaunchpppd finished (pid 543), status = 0x0 Modem hangup Connection terminated. </pre>

- ошибка, приведенная в примере, связана с отсутствием прохождения GRE-пакетов на маршрутизаторе, за которым установлен КУН-IP.

Для остановки нажать Ctrl+z

Далее можно по необходимости (в зависимости от отображаемой ошибки) можно поменять параметры, например: логин/пароль в WEB-интерфейсе, нажать сохранить, и не перегружая устройства повторить ввод команды pppd call ...

Анализ возможных ошибок и их причины см. в статье:

#PPTP Client Diagnosis HOWTO [http://pptpclient.sourceforge.net/howto-diagnosis.phtml http://pptpclient.sourceforge.net/howto-diagnosis.phtml] 

=== PPPoE ===

==== Настройка ====

В самом простом случае в WEB-интерфейсе устройства достаточно указать

*включить PPPoE 
*имя пользователя 
*пароль 
*IP-адрес сервера 
*MTU = 1492 

==== Диагностика ====

Практического тестирование работы PPPoE подключений на объектах нашими специалистами на данный момент не проводилось.

&nbsp;

&nbsp;


=== Настройка OpenVPN 2.3.16 (устаревшая версия) ===

'''Внимание! '''Замечание от 2021 года.<br/> Данная версия OpenVPN&nbsp; является&nbsp; устаревшей. В настоящее время следует устанавливать версию 2.5.х (см. описание ниже)<br/> Руководство оставлено в качестве общей информации о настройке.<br/> &nbsp;

 Проверено с концентраторами [[КУН-IP8|КУН-IP8]], [[КУН-IP4|КУН-IP4]] и контроллером [[КИО-2М|КИО-2М]], [[КИО-8(4)L|КИО-8(4)L]]. 

==== Установка ====

Для начала нужно скачать программу [https://openvpn.net/ OpenVPN] версии 2.3.16-I001. Инструкция проверена '''только на данной версии'''.

 В случае проблем с поиском на основном сайте загрузить указанную версию можно также с [http://www.tekon.ru/software/openvpn-install-2.3.16-I001-i686.exe нашего сайта] 

Установочный файл запускаем от имени администратора. При установке ставим галочки на всех компонентах.

[[File:Openvpn1.JPG|center|450px|Openvpn1.JPG]]

Далее указываем папку установки программы (рекомендуется оставить по умолчанию).

[[File:Openvpn2.JPG|center|450px|Openvpn2.JPG]]

Нажимаем „install”. После программа установится, не потребовав перезагрузки.

Далее приступаем к подготовке OpenVPN-сервера для его настройки.

==== Настройка ====

Прежде всего нужно зайти в папку C:\OpenVPN:

*создать папку с названием ssl , 
*создать папку с названием tmp, 
*создать текстовый файл verify.txt, следующего содержания 
<pre><nowiki>@echo off </nowiki>
<nowiki>exit 0 </nowiki></pre>

Переименовать verify.txt в verify.bat

Далее переходим в папку C:\OpenVPN\easyrsa и переименовываем файл vars.bat.sample в vars.bat

Запускаем командную строку с правами администратора и вводим команду

 cd c:\OpenVPN\easy-rsa 

и нажимаем enter.

Далее вводим команду

 vars.bat 

и нажимаем enter [[File:Openvpn5.JPG|center|450px|Openvpn5.JPG]]

Далее запускаем

 clean-all.bat

[[File:Openvpn6.JPG|center|450px|Openvpn6.JPG]]

Запускаем

 build-ca.bat 

Во всех параметрах нажимаем enter, не вводя никаких значений. [[File:Openvpn3.JPG|center|450px|Openvpn3.JPG]]

Далее запускаем

 build-dh.bat

[[File:Openvpn4.JPG|center|450px|Openvpn4.JPG]]

Далее запускаем команду

 build-key-server.bat vpn

, где vpn – это примитивное название нашего OpenVPN сервера.

Это же название нужно будет ввести в параметр "common name" и нажать enter, в остальных полях нажимать enter без ввода каких либо значений, а на два последних вопроса ответить yes. [[File:Openvpn7.JPG|center|450px|Openvpn7.JPG]]

После выполненных команд в папке C:\OpenVPN\easy-rsa должна появится папка keys с созданными нами ключами сервера. [[File:Openvpn8.JPG|center|450px|Openvpn8.JPG]]

Теперь приступаем к созданию клиентских ключей. Запускаем команду

 buildkey.bat client1

, где client1 — это логин нашего первого клиента. Параметр "common name" так же указываем, как client1. На последние два вопроса отвечаем так же yes [[File:Openvpn9.JPG|center|450px|Openvpn9.JPG]]

Аналогично добавляем client2, client3 и т.д.

Приступаем к конфигурации сервера OpenVPN. Заходим в папку key, копируем от туда файлы

*dh1024.pem, 
*ca.crt, 
*vpn.crt, 
*vpn.key 

в папку ssl.

Далее переходим в папку cofig и создаем там текстовый файл vpn.txt

Открываем этот файл и копируем в него следующий текст
<nowiki>_</nowiki>
<pre><nowiki>port 1194 
proto udp 
dev tun 
dh C:\\OpenVPN\\ssl\\dh1024.pem 
ca C:\\OpenVPN\\ssl\\ca.crt 
cert C:\\OpenVPN\\ssl\\vpn.crt 
key C:\\OpenVPN\\ssl\\vpn.key 
server 10.0.0.0 255.255.255.0 
ifconfig-pool-persist C:\\OpenVPN\\ipp.txt 
client-to-client keepalive 10 120 
persist-key 
persist-tun 
status C:\\OpenVPN\\log\\openvpn-status.log 
log C:\\OpenVPN\\log\\openvpn.log 
verb 3 
mssfix 1350 
auth-user-pass-verify C:\\OpenVPN\\verify.bat via-file 
client-cert-not-required 
username-as-common-name t
mp-dir C:\\OpenVPN\\tmp 
script-security 2 </nowiki></pre>

Сохраняем и переименовываем его в vpn.ovpn

Замечаение: в некоторых конфигурациях следует указывать строчку&nbsp;
<pre>auth-user-pass-verify C:\\OpenVPN\\verify.bat '''via-env '''</pre>

вместо '''via-file'''

Далее нам нужно, что бы сервер присваивал клиентам фиксированные ip-адреса, а не динамические, т.к. программа Scada не умеет работать по DHCP.

Пускай наша сеть будет 10.0.0.1-10.0.0.255.

Для совместимости с Windows, OpenVPN сервер работает по следующему принципу: сервер устанавливает соединение точка-точа с подключенным к нему клиентом и выделяет для этого пару адресов из подсети с префиксом /30, первый адрес он присваивает себе, а второй— клиенту.

Исходя из этого, имеем следующий список возможных пар клиентских адресов сети 10.0.0.0:
<pre><nowiki>[ 5, 6] [ 9, 10] [ 13, 14] [ 17, 18] [ 21, 22] [ 25, 26] [ 29, 30] [ 33, 34] [ 37, 38] [ 41, 42] [ 45, 46] [ 49, 50] [ 53, 54] [ 57, 58] [ 61, 62] [ 65, 66] [ 69, 70] [ 73, 74] [ 77, 78] [ 81, 82] [ 85, 86] [ 89, 90] [ 93, 94] [ 97, 98] [101,102] [105,106] [109,110] [113,114] [117,118] [121,122] [125,126] [129,130] [133,134] [137,138] [141,142] [145,146] [149,150] [153,154] [157,158] [161,162] [165,166] [169,170] [173,174] [177,178] [181,182] [185,186] [189,190] [193,194] [197,198] [201,202] [205,206] [209,210] [213,214] [217,218] [221,222] [225,226] [229,230] [233,234] [237,238] [241,242] [245,246] [249,250] [253,254]</nowiki></pre>

, где 5 и 6 — пара сети 10.0.0.4/30, которая может быть выделена, например: для подключения первого клиента — client1.

Для фиксирования IP-адреса за определенным клиентом, создаем в папке C:\OpenVPN текстовый ipp.txt

В этом файле мы пишем:

 <логин клиента>,<ip-адрес-сети>. 

Т.е. для нашего первого клиента запись будет выглядеть так

 client1,10.0.0.4 

Такая запись, с логином и соответствующим ему адресом, должна быть для каждого клиента, зарегистрированном в OpenVPN-сервере.

Пример файла ipp.txt
<pre>client1,10.0.0.4 
client2,10.0.0.8 
client3,10.0.0.12 
client4,10.0.0.16 
client5,10.0.0.20 
client6,10.0.0.24 
client7,10.0.0.28 
client8,10.0.0.32 
client9,10.0.0.36 
client10,10.0.0.40</pre>

Конфигурационные файлы сервера готовы, теперь приступаем к запуску OpenVPN-сервера.

==== Запуск OpenVPN сервера ====

Для это нужно зайти в свойства ярлыка OpenVPN GUI и в параметре «объект» дописать --connect “vpn.ovpn” [[File:Openvpn10.JPG|center|450px|Openvpn10.JPG]]

Нажимаем применить и запускаем ярлык с правами администратора. После этого в трее появляется значок OpenVPN GUI. Через несколько секунд он становиться зелёного цвета, это означает, что сервер запущен.

=== Настройка OpenVPN версии 2.5.3. ===
<pre>Данная версия сервера подходит для КИО-L с прошивкой 6.68 и выше, КИО-2MS/КУН-IP8(4) c 5.66 и выше, КИО-2м/КУН-IPM c 3.76 и выше.</pre>

При подключении устройств с новыми прошивками&nbsp;&nbsp;к openvpn серверу верси 2.3.х могут возникнуть проблемы.<br/> В таком случае рекомендуем настроить openvpn 2.5.3.

Скачиваем установочный файл с официального сайта -&nbsp;[https://openvpn.net/community-downloads/ https://openvpn.net/community-downloads/].

[[File:OpenVPNdownload.png|center|800x450px|OpenVPNdownload.png]]

&nbsp;

Скачиваем утилиту esearsa 3.0.8 -&nbsp;[https://github.com/OpenVPN/easy-rsa/releases https://github.com/OpenVPN/easy-rsa/releases].[[File:EasyRSA3.0.png|center|800x450px|EasyRSA3.0.png]]

&nbsp;

Распаковывем архив куда-нибудь. И заходим в каталог&nbsp;EasyRSA-3.0.8.

&nbsp;

Заускаем батник&nbsp;EasyRSA-Start.bat.

[[File:EasyRSAstart.png|center|800x450px|EasyRSAstart.png]]

&nbsp;

Откроится консольное окно. [[File:Easyrsa-utilit.png|center|800x450px|Easyrsa-utilit.png]]

&nbsp;

Создаем СА сертифтикат:

&nbsp;
<pre>./easyrsa init-pki

./easyrsa build-ca</pre>

Создаем пару ключей для севера:
<pre>./easyrsa gen-req server</pre>

Нужно ещё подписать req-файл сервера для корректного типа:
<pre>./easyrsa sign-req server server</pre>

После чего появится файл server.crt в папке&nbsp;\pki\issued.

Создаём ключ Диффи-Хельмана:
<pre>./easyrsa gen-dh</pre>

Содаём папку С:\ssl и копируем в неё из пакпки pki наши ключи ca.crt, dh.pem, server.key и server.crt.

Создаём в там же текстовый файл ipp.txt.&nbsp;

Создаём там же батник&nbsp;verify.txt:
<pre>@echo off 
exit 0</pre>

Создаём конфигурационный текстовый файл для сервера ovpnsrv.ovpn и копируем в него текст:
<pre>port 1194 
proto udp4 
dev tun 
topology subnet
dh C:\\ssl\\dh.pem 
ca C:\\ssl\\ca.crt 
cert C:\\ssl\\server.crt 
key C:\\ssl\\server.key 
server 10.8.0.0 255.255.255.0 
ifconfig-pool-persist C:\\ssl\\ipp.txt
keepalive 10 120
keysize 128
client-to-client
data-ciphers-fallback AES-256-CBC
persist-key
persist-tun
verify-client-cert none
auth-user-pass-verify C:\\ssl\\verify.bat via-file
username-as-common-name
script-security 2
verb 3</pre>

Запускаем c рабочего стола OpenVPN GUI, в трее появится иконка:[[File:Снимок экрана (3).png|center|800x450px|Снимок экрана (3).png]]Нажимаем на неё правой кнопкой мыши и нажимаем "Импортировать конфигурацию". И выбираем файл конфигурации ovpnsrv.ovpn.

После чего нажимаем "Подключиться". Дальше&nbsp;openvpn спросит пароль ключа сервера. Тот пароль при котором создавалась его пара ключей.

После сервер должен запуститься и иконка станет зелёной.

=== Настройка концентраторов и/или контроллеров ===

Далее приступаем к настройке клиентов, в нашем случае это [[КУН-IP8|КУН-IP8]] ([[КУН-IP4|КУН-IP4]]) или [[КИО-8(4)L|КИО-8(4)L]].

Заходим в web-конфигуратор и переходим на страничку Конфигурация сети — OpenVPV.

Нас интересуют следующие поля:

*IP адрес сервера - это ,собственно, IP-адрес интерфейса Пульта ПК 
*порт сервера - оставляем по умолчанию 1194 
*имя пользователя - логин клиента(client1) 
*пароль - пароль сервером проверяться не будет, но функции «пустого пароля» нет, по этому вводим любые значения, например 123, и подтверждаем 
*подтверждение пароля - вводим тот же пароль 
*CA сертификат - файл ca.crt. Открываем его блокнотом или иным текстовым редактором и копируем его содержимое в поле CA сертификат 

[[File:Openvpn11.JPG|center|450px|Openvpn11.JPG]]

Сохраняем изменения и перезагружаем устройство.

=== Просмотр лога соединений OpenVPN-сервера ===

В логах сервера можно посмотреть статистику подключения, в трее нужно кликнуть на значок OpenVPN GUI 2 раза левым кликом.

В логе видим, что с client1 установлено соединение через пару адресов 10.0.0.6, 10.0.0.5. Теперь устройство доступно по нашей vpn сети по адресу 10.0.0.6. [[File:Openvpn12.JPG|center|450px|Openvpn12.JPG]]

Для нормальной работы OpenVPN-сервера в настройках брандмауэра Windows должны присутствовать исключения для OpenVPN Deamon и OpenVPN GUI.

Для автоматического запуска OpenVPN-сервера удобнее использовать службу OpenVPNService, которую необходимо настроить.

Заходим в меню Пуск - панель управления — Администрирование — Службы, выбираем OpenVPNService, открываем свойства и меняем тип запуска с «вручную» на «автоматически», при этом программа OpenVPN GUI работать не будет, так как одновременно не могут работать и служба и OpenVPN GUI.

Для просмотра состояния подключения OpenVPN-сервера в этом случае следует открыть текстовый файл openvpn.log ,находящийся в C:\OpenVPN\log.

=== Дополнительно ===

Для надёжности в настройках OpenVPN IP-устройств рекомендуется ставить галочку - Отключить локальный интерфейс: (Входящие соединения будут разрешены только по VPN!). После этого устройство будет доступно только по сети VPN.<br/> Однако нужно иметь ввиду, что, если по какой-нибудь причине OpenVPN-сервер выйдет из строя и его настройки будут утеряны, то придётся вручную сбрасывать на заводские настройки каждое устройство vpn сети.


[[Category:Концентратор-IP]] [[Category:Контроллеры]]