gelöst Problem mit Bird und OpenVPN - Socket error SO PRIORITY Operation not permitted

Mitglied: JonasEberhard

JonasEberhard (Level 1) - Jetzt verbinden

13.03.2018 um 14:44 Uhr, 794 Aufrufe, 5 Kommentare

Hallo liebe Community,

da ich neu bin, hoffe ich dass der Beitrag in diese Kategorie passt.

Ich bin derzeit dabei zwei Bird Routern, die mit OpenVPN verbunden sind, OSPF beizubringen. An sich ist die ospf Konfiguration von bird absolut nichts kompliziertes und läuft, so weit ich das beurteilen kann, auch.
Auf meinem ersten Route alles kein Problem, auf dem zweiten allerdings schon.

Auf den Routern läuft folgende Software:
Router 1:
Ubuntu 17.10
bird 1.6.3
Openvpn 2.4.3

Router 2:
Ubuntu 16.04 LTS
bird 1.6.3
Openvpn 2.4.5

Auf beiden Routern existriert eine annähernd gleiche bird Konfiguration. Diese unterscheiden sich nur durch Router ID, IPs und Interface Namen. Ospf läuft auf dem ersten Router ohne Probleme, mit tcpdump sehe ich auch an beiden Enden des VPN tunnels die ospf Pakete von Router 1.

Auf dem zweiten Router bekomme ich allerdings nach dem $ birdc configure im log folgende Fehlermeldung:
Ich habe schon an Rechteprobleme gedacht. Bird läuft im User bird, openvpn ist ein daemon und wird in der Config nach nobody und nogroup verschoben. Wenn ich beide Programme als root laufen lasse ändert sich leider nichts an dem Problem.

Wenn ich ospf auf dem zweiten Router auf das lookback oder mein public Interface verlege, bekomme ich keine Fehlermeldung, das ist ja aber nun keine Lösung.

Hat dieses Problem hier schon mal jemand gehabt? Oder weiß wie ich es beheben kann?
Mitglied: aqui
13.03.2018, aktualisiert um 15:15 Uhr
hoffe ich dass der Beitrag in diese Kategorie passt.
Das passt schon
Ich habe das bis dato nur auf physischen Interfaces bzw. VLAN Interfaces konfiguriert aber noch nie auf virtuellen wie sie ja OpenVPN hat.
Hätte jetzt erstmal vermutet das es am Multicasting liegt was OSPF für die Neigbor Discovery nutzt aber wenn du die OSPF Frames mit tcpdump dort sehen kannst, dann kann es das ja nicht sein. Eine Seite sendet dann ja richtig. Eine Adjacency wird aber niemals zustandekommen wenn nur eine Seite was sendet...klar.
Auch die Tatsache das es auf der einen Maschine rennt auf der anderen aber nicht, zeigt ja das es generell vermutlich geht.
Möglich das es an der VPN Struktur liegt, denn das ist ja ein Point to Point Netzwerk. Dagegen spricht aber das eine Seite ja fehlerlos damit umgehen kann. Hast du das Interface als P2P Interface konfiguriert ?
Ein Loopback Interface zu benutzen ist in OSPF immer best Practise, denn dort kannst du /32 Hostrouten nutzen, hast eine eindeutige Router ID und der Prozess stirbt nicht solange das Loopback nicht stirbt. Es ist also nicht abhängig von irgendwelchen Link Status einzelner physischer Interfaces.
Die Fehlermeldung deutet aber eher darauf hin das irgendwas mit der OSPF Interface Konfig nicht stimmt.
So müsste es m.E. aussehen bei P2P:
Dann sollte Bird sowas zeigen:
Bitte warten ..
Mitglied: JonasEberhard
13.03.2018 um 18:11 Uhr
Hallo aqui,

danke für deine Antwort.
Ein Kollege hat mich vorhin (vielleicht) schon ein wenig weiter gebracht. Ich hab vergessen zu erwähnen dass es sich bei den beiden Routern um vServer handelt.
Mein Kollege meinte dass es bei OpenVZ immer wieder Probleme mit virtuellen Interfaces von VPNs gibt. Und siehe da, der zweite Router auf dem es nicht geht, ist auf Virtuozzo gehostet, also OpenVZ. Das könnte zumindest mal eine Erklärung sein. Der erste Router auf dem es geht ist LXC.

Nun ist die Frage ob es mit anderen VPN Typen geht? Hat hier jemand Erfahrung?
Ich habe vorhin mal auf die Schnelle PeerVPN getestet, da es so schön einfach ist, allerdings wollte sich mein Client einfach nicht mit dem Server verbinden. Vielleicht noch tinc oder pptp ausprobieren.

Hier meine Config für ospf:
Bitte warten ..
Mitglied: aqui
13.03.2018 um 18:37 Uhr
Ich hab vergessen zu erwähnen dass es sich bei den beiden Routern um vServer handelt.
Das spielt (vermutlich) keine Rolle denn den Anwendungen an sich ist es egal ob sie auf realem Blech laufen oder virtuell. Merken sie ja nicht Aber wie gesagt...an sich. Wenn die Basis nicht stimmt dann scheitert das da, keine Frage.
bei OpenVZ immer wieder Probleme mit virtuellen Interfaces von VPNs gibt
Das wäre natürlich eine Erklärung. Also wenn da nicht wirklich alles "virtuell" ist. Ggf. hilft es den emulierten Adapter zu wechseln, das ist bei VirtualBox und Co. manchmal auch der Schlüssel zum Erfolg.
Nun ist die Frage ob es mit anderen VPN Typen geht?
Im Bird Umfeld auf virtuellen Hosts mit Punkt zu Punkt Links wird sehr häufig tinc benutzt weil das sehr viel weniger Overhead hat als OVPN.
Vielleicht ist das mal einen Versuch wert ?!
https://www.tinc-vpn.org
https://www.heise.de/ct/artikel/Dezentrales-VPN-mit-Tinc-785436.html
https://openvz.org/VPN_via_the_TUN/TAP_device
Bitte warten ..
Mitglied: JonasEberhard
13.03.2018 um 22:26 Uhr
tinc ist jetzt aufgesetzt und funktioniert.
Allerdings bekomme ich immernoch den gleichen Fehler.

Es scheint wohl demnach nicht explizit an OpenVPN zu liegen.

Hast du zufällig auch ein Beispiel wie ich ospf über das loopback Interface laufen lasse? Wie route ich dann den ospf Traffic auf mein entsprechendes vpn Interface?
Bitte warten ..
Mitglied: aqui
14.03.2018 um 18:35 Uhr
Interessant ist das hier:
http://www.blissfulidiot.com/2013/10/using-bird-to-route-over-openvpn-t ...
Speziell die Aussage: "but the remote tunnel address would be unreachable. I solved this by adding a stubnet x.x.x.x/31 directive to the OSPF configuration at one of the endpoints. At the time this worked fine."
Das geht so ein bischen einher mit deiner Fehlermeldung das Bird da ja auch irgendwie von einem Stub Interface ausgeht.
Ggf. solltest du das auch mal in deinem Setup explizit definieren entsprechend mit deiner Maske.
Ansonsten mal nach bird ospf vpn googeln es gibt ne Menge Beispielkonfigs dazu speziell auch von den Freifunkern.
https://wiki.freifunk-stuttgart.net/technik:gateways:routing
usw.
Bitte warten ..
Heiß diskutierte Inhalte
Windows Server
Hyper-V Server vs Datacenter?
holliknolliFrageWindows Server26 Kommentare

Hallo, hat jemand Erfahrung mit dem - kostenlosen - Hyper-V-Server? Ich meine, warum teure Lizenzen für Datacenter zahlen, wenn ...

LAN, WAN, Wireless
Spanning Tree Probleme
gelöst predator66FrageLAN, WAN, Wireless12 Kommentare

Hallo, wir haben hier eigenartige Spanningtree Probleme, die wir zur Zeit nicht gelöst bekommen: New Root Port MAC ist ...

Exchange Server
Zustellbestätigung deaktivieren
defiant01FrageExchange Server10 Kommentare

Hallo, ich stehe vor der Aufgabe bei einem Postfach die Zustellbestätigung für eingehende Mails zu deaktivieren. Der User geht ...

Notebook & Zubehör
Business Support HP, Dell, Lenovo etc
fuzzyLogicFrageNotebook & Zubehör10 Kommentare

Moin, ich arbeite derzeit fast ausschließlich mit HP und frage mich wie es auf Support Baustelle bei anderen Herstellern ...

E-Mail
Ticketsystem mit mailflow
CraftdorFrageE-Mail8 Kommentare

Hallo, Ich bin auf der Suche nach einem Ticketsystem das am besten Freeware ist und einfach nur eine Ankommende ...

Netzwerkgrundlagen
PfSense Virtuele IP mit NAT auf eine IP im VLAN90 zum VLAN30
OIOOIOOIOIIOOOIIOIIOIOOOFrageNetzwerkgrundlagen8 Kommentare

Guten Tag, ich stehe hier mit einer neuen Herausforderung. Hab ein Internetradio, welches jedoch nur mit eine App gesteuert ...

Ähnliche Inhalte
Windows 10

Dism Error 87 - Could not set UI Language

gelöst andre1988FrageWindows 102 Kommentare

Hallo Admins, wir bekommen unsere Windows Versionen aus einem Bundesvertrag. Es sind z.b. Windows 10 (1709) Education Versionen. Leider ...

Linux Netzwerk

Error: airmon-ng did not find any wireless interfaces

gelöst Chichox3FrageLinux Netzwerk7 Kommentare

Hallo liebe User ich versuche über VMware (Kali Linux) den command wifite laufen zu lassen, erhalte aber folgende Meldung ...

Windows Server

Windows Server 2016 error Message "Online - Windows PowerShell not installed"

wolf2006FrageWindows Server3 Kommentare

Dear Community, I have a the following problem with our Windows Server 2016 Standard: In the Server Manager under ...

Windows XP

PA CNC Socket connect

Nobody88FrageWindows XP5 Kommentare

Hallo! Habe ein Problem bei einer Cnc Brennschneidanlage von Oerlikon. Nach einen Anlagen Neustart kam dieser Fahler. Was bedeutet ...

Server-Hardware

HP ProLiant DL380 G7, POST Error: 1785-Drive Array not Configured

114801FrageServer-Hardware10 Kommentare

Vorab: die Nutzung des "Blechs ist privat" ;-) Ich habe heute das Mainboard DL380 G6 mit dem G7 getauscht, ...

Linux

Php redis an Socket binden?

gelöst altmetallerFrageLinux2 Kommentare

Hallo, kann ich via php5 auch redis-Server über Socket ansprechen? In den Beispielen, die ich bis jetzt gefunden habe, ...

Berechtigungs- und IdentitätsmanagementBerechtigungs- und IdentitätsmanagementWebdienste und -serverWebdienste und -serverDatenbankenDatenbankenMonitoring & SupportMonitoring & SupportHybrid CloudHybrid CloudSmall Business ITSmall Business IT