OpenVPN-Syntax
Aus OpenVPN Wiki
Inhaltsverzeichnis |
Einleitung
OpenVPN - Befehle können Sie sowohl in der Komandozeile (z.B. : openvpn --secret client.key) als auch in der Konfig-Datei der VPN-Teilnehmer schreiben. In dieser Anleitung wird davon ausgegangen, dass die Befehle in der Komandozeile verwendet werden. Für die Konfig-Dateien sind die Befehle ohne „--„ anzugeben. Beachte: nicht alle Befehle können in der Konfig-Datei verwenden werden!
Allgemein
--help zeigt alle möglichen Befehle an. Ist nur in der Komandozeile zu verwenden.
--config file lädt die Konfig-Datei file. Wenn es der einzige Befehl ist, der mit OpenVPN ausgeführt werden soll, kann „--config“ weggelassen werden. Der Befehl ist nur in der Komandozeile zu verwenden. Unter „file“ kann dann entweder nur der Name der Konfig-Datei stehen, wenn OpenVPN aus dem Verzeichnis gestartet werden soll, wo die Konfig-Datei ist, oder der genaue Pfad zu dieser Datei. Bei der Pfadangabe ist folgendes zu beachten: Der Pfad in den Klammern („“) wird dann verwendet, wenn es in der Pfadangabe ein Leerzeichen, # - Zeichen oder „ ; „ - Zeichen vorkommen. Doppelslash ist unter Windows nicht zu vergessen. z.B. openvpn „c:\\Program Files\\OpenVPN\\mein#Verzeichnis\\server.ovpn“
--mode m gibt an, in welchem mode OpenVPN gestartet werden soll. Wenn es nicht definiert ist, wird dann OpenVPN im „point-to-point mode“ gestartet. Seit der 2.0-Version unterstütz OpenVPN „server“ mode, welches ermöglicht einen multi-clients-server zu konfigurieren.
--local host OpenVPN lauscht an einer bestimmten IP-Adresse. Wenn der Server oder der Client mehrere IP-Adressen haben, ist es sinnvoller zu definieren, an welchen IP-Adressen gelauscht werden soll. Z.B. hat der Server mehrere öffentlichen IP-Adresse, mit denen er über das Internet zu erreichen ist. Ein zweites Beispiel: Ein LapTop kann sowohl über LAN ins Internet gehen als auch über WLAN.
--remote host [port] OpenVPN verbindet den Klienten zum Server host. In der Konfig-Datei von den Klienten können mehrere Server definiert sein. Der Klient wird allerdings nur zu einem Server verbunden. Unter host kann sowohl eine IP-Adresse stehen, als auch ein DNS-Namen. Beispiel: --remote 192.168.0.1 oder --remote openvpn.dyndns.org
Wenn es mehrere Server definiert werden sollen, soll dann der Befehl „--remote-random“ in der Konfig-Datei stehen, der OpenVPN sagt, dass ein Server aus der Liste zufällig ausgewählt werden soll. Beispiel: --remote 192.168.0.1 --remote openvpn.dyndns.org --remote-random
Nach host kann auch der Port definiert sein, über den OpenVPN die IP-Pakete verschicken soll: --remote 192.168.0.1:5000
--remote-random es wird nur zu einem Server aus der Liste zufällig verbunden. (siehe --remote)
--proto p Das Protokol p wird für die Verbindung benutzt. Unter p kann udp, tcp-server oder tcp-client stehen. OpenVPN ist für UDP optimiert. TCP soll nur dann benutzt werden, wenn es aus irgendwelchen administrativen Gründen nicht geht, UDP zu benutzen. Default-Protokol ist UDP: Wenn „--proto“ nicht definiert ist, dann wird udp benutzt. Der folgender Artikel beschreibt manche Probleme, wenn man den IP-Tunnel über TCP benutzt: http://sites.inka.de/sites/bigred/devel/tcp-tcp.html
--connect-retry n Es wird n-Sekunden lang versuch zu verbinden. (Default-Wert= 5 Sekunden)
--http-proxy server port [authfile] [auth-method] OpenVPN wird den Klienten zu dem definierten Server über einen Proxy „server“ verbinden. Wenn Proxy eine Authentifizierung erfordert kann man „login“ und „passwort“ im authfile angeben. auth-method definiert, welche Authentifizierungsmethode verwenden werden soll. Unter auth-method kann nur „none“, „basic“ oder „ntlm“ stehen.
--http-proxy-retry wird unendlich lang versucht zu dem Proxy zu verbinden.
--http-proxy-timeout n wird n-Sekunden lang versucht zu dem Proxy zu verbinden. (Default-Wert=5 Sekunden)
--socks-proxy server [port] OpenVPN wird den Klienten zu dem definierten Server über einen Socks5 Proxy „server“ über den Port [port] (Default-Wert für den Port= 1080) verbinden.
--socks-proxy-retry wird unendlich lang versucht zu dem Socks5 Proxy zu verbinden.
--resolv-retry n wird n-Sekunden lang versucht zu dem Socks5 Proxy zu verbinden. (Default-Wert=5 Sekunden)
--float erlaubt dem VPN-Partner die IP-Adresse zu ändern
--ipchange cmd ruft das Script cmd auf, wenn sich die IP-Adresse des VPN-Partners geändert hat. Im „server“ mode wird der Befehl nicht benutzt! Anstatt dessen wird --client-connect Script benutzt.
--port port Legt fest, welcher lokale und zu verbindende Port zu benutzen ist. (Momentaner Default-Wert bei IANA = 5000)
--lport port Legt fest, welcher lokale Port zu benutzen ist. (Momentaner Default-Wert bei IANA = 5000)
--rport port Legt fest, welcher zu verbindende Port zu benutzen ist. (Momentaner Default-Wert bei IANA = 5000)
--nobind Die Ports werden dynamisch ausgewählt.
--dev tunX | tapX | null legt fest, welchen Treiber für die virtuelle Netzwerkkarte zu benutzen ist. Man kann entweder TUN-Treiber auf beiden Seiten benutzen oder TAP-Treiber. Zu mischen – TUN-Treiber auf einer Seite und TAP-Treiber auf der andere – führt zu fatal error, da diese Treiber verschiedene Protokolle benutzen: TUN-Treiber benutz „point-to-point“-Protokoll, TAP-Treiber Ethernet-Protokoll. Bei „tunX oder tapX“ kann X für die dynamischen Treiber ausgelassen werden.
--dev-type device-type welchen Typ von TUN/TAP-Treiber benutzen werden soll. device-type kann entweder tap oder tun sein. Der Befehl wird dann verwendet, wenn der Treiber bei „--dev“ nicht mit tap oder tun beginnt.
--tun-ipv6 Unterstützung von IPv6 ist mit OpenVPN natürlich auch möglich. Der Befehl ist mit „--dev tun“ zu verwenden.
--dev-node node definiert noch genauer, welche virtuelle Netzwerkkarte zu verwenden ist. Unter Linux/Unix ist es nicht erforderlich das anzugeben, unter Windows allerdings schon. Unter node steht dann der Name – übrigens freiwählbar – der virtuellen Netzwerkkarte.
--ifconfig l rn legt fest, welche IP-Adresse die VPN-Teilnehmer bekommen sollen. l bedeutet die IP-Adresse des lokalen VPN-Teilnehmers. rn bedeutet für --dev tap die Submaske des Virtuellen Privaten Netzwerkes und für --dev tun die IP-Adresse des zu verbindenden VPN-Teilnehmers.
--ifconfig-noexec der Befehl --ifconfig wird nicht ausgeführt. Anstatt dessen wird ein Script mit einem weiteren Befehl ausgeführt, wo die --ifconfig Parameter definiert werden.
--ifconfig-nowarn OpenVPN ignoriert dann die Fehlermeldung beim Ausführen des Befehls --ifconfig. Siehe dazu den Befehl: --disable-occ Dieser Befehl wird sinnvollerweise dann eingesetzt, wenn z.B. der lokale VPN-Teilnehmer --ifconfig benutzt und der zu verbindende VPN-Teilnehmer nicht.
--route network/IP [netmask] [gateway] [metric] Legt eine Route in ein anderes Netzwerk. Z.B. der VPN-Server soll dann über den VPN-Klienten ins Netzwerk hinter dem VPN-Klienten zugreifen. Siehe dazu: Routing. Optional: netmask die Submaske des anderes Netzwerkes. Default-Wert=255.255.255.255 gateway über welche IP-Adresse soll in dieses Netzwerk gehen. Default-Wert = entweder von --route-gateway oder vom zweiten Parameter des Befehls --ifconfig, wenn --dev tun benutzt wird. metric wie viele Rechner es dazu notwendig sind um in dieses Netzwerk zu kommen.
Beispiel: --route 192.168.1.0 255.255.255.0
--route-gateway gw Spezifiziert den Default-Gateway für den Befehl --route Beispiel: --route-gateway 10.8.0.2 (wobei 10.8.0.2 die virtuelle IP-Adresse des Klienten zum Beispiel)
--route-delay [n] [w] OpenVPN wartet n-Sekunden lang nach dem Tunnelaufbau, bevor eine Route angesetzt wird. Unter Windows gibt es noch eine Option [w] : OpenVPN wartet w-Sekunden lang auf den TUN/TAP-Device, bevor eine Route angesetzt wird.
--route-up cmd ein Script cmd wird ausgeführt, nachdem eine Route angelegt wurde.
--route-noexec OpenVPN setzt keine Route automatisch an. Anstatt dessen wird das Script von --route-up benutzt.
--redirect-gateway (Experementell!!!) OpenVPN legt den gesamten IP-Trafik auf den VPN-Server.
--link-mtu n legt die Größe der UDP-Pakete fest, die zwischen den VPN-Teilnehmern verschickt werden sollen. Benutzen Sie den Befehl nur dann, wenn Sie wirklich wissen, was Sie machen.
--tun-mtu n legt den MTU-Wert fest. Default-Wert = 1500
--tun-mtu-extra n teilt dem VPN-Teilnehmer mit, um wie viel Bytes mehr als der MTU-Wert der lokale VPN-Teilnehmer zurückschicken kann.
--mtu-test um den momentaten MTU-Wert zu erfahren. Wird nur in der Komandozeile verwendet. --fragment max Aktiviert interne Datagram – Fragmentierung, so dass keine UDP-Datagrams verschickt werden, die größer sind als max-Bytes. Der Befehl wird nur mit UDP benutzt!
--mssfix max teilt dem VPN-Partner mit, dass er seine UDP-Pakete auf max beschränken muss. Der Befehl wird nur mit UDP benutzt. Es ist sehr sinnvoll diesen Befehl im Zusammenhang mit dem Befehl --fragment max zu verwenden. Wenn max bei --mssfix nicht angegeben wird, wird als Default-Wert von --fragment max genommen.
Beispiel:--tun-mtu 1500 --fragment 1300 --mssfix
--sndbuf size legt die Größe des Versandpuffers fest. Default-Wert = 65536 bytes
--rcvbuf size legt die Größe des Empfangspuffers fest. Default-Wert = 65536 bytes
--txqueuelen n (Nur unter Linux) legt die Länge der TX-Schlange auf dem TUN/TAP-Device fest. Default-Wert = 100
--shaper n legt die Grenze der Up-Bandbreite auf dem Port fest. n – Bytes per sekonds
--inactive n Falls OpenVPN-Tunnel n-Sekunden lang nicht benutzt wird, wird die OpenVPN-Verbindung geschlossen.
--ping n Falls der OpenVPN-Tunnel n-Sekunden lang nicht benutzt wird, wird ein ping an den VPN-Partner gesendet.
--ping-exit n Falls innerhalb von n Sekunden kein Ping oder Datenpaket vom VPN-Partner emfpangen wurde, wird OpenVPN beendet.
--ping-restart n Falls innerhalb von n Sekunden kein Ping oder Datenpaket vom VPN-Partner empfangen wurde, wird der OpenVPN-Tunnel neu gestartet.
--keepalive n m ist eine Abkürzung für “--ping n --ping-restart m”
--ping-timer-rem der Befehl --ping-exit bzw. --ping-restart wird nur dann ausgeführt, wenn wir eine remote-Adresse haben.
--persist-tun TUN/TAP-Device wird nicht geschlossen und neugestartet, wenn der Befehl --ping-restart ausgeführt werden soll.
--persist-key die Key-Dateien werden nicht neu gelesen, wenn der Befehl --ping-restart ausgeführt werden soll.
--persist-local-ip die virtuelle IP-Adresse des lokalen VPN-Teilnehmers wird beibehalten, wenn der Befehl --ping-restart ausgeführt werden soll.
--persist-remote-ip die virtuelle IP-Adresse des zu verbindenden VPN-Teilnehmers wird beibehalten, wenn der Befehl --ping-restart ausgeführt werden soll.
--mlock überprüft, ob die Keys und Tunnel-Daten nicht ins SWAP kopiert werden.
--up cmd ruft ein Script cmd aus, nachdem TAP/TUN-Device gestartet wurde.
--up-delay verschiebt das Öffnen von TAP/TUN-Device und das Ausführen des --up Scripts, bis TCP/UDP –Verbindung mit dem VPN-Partner besteht.
--down cmd ruft ein Script cmd aus, nachdem TAP/TUN-Device geschlossen wurde.
--down-pre das --down Script wird kurz vor dem Schließen von TAP/TUN-Device ausgeführt.
--disable-occ Deaktiviert alle Fehlermeldungen. Sinnvoller Einsatz: Wenn eine ältere Version zu einer neueren Version verbunden werden soll.
--user user Ändert die User – ID von OpenVPN-Prozessen zu user
--group group Ändert die Gruppe – ID von OpenVPN-Prozessen zu group
--cd dir ändert das momentane Verzeichnis zu dir. Einsatz: Wenn OpenVPN in --demand mode gestartet werden soll und sie alle Konfig-Dateien und Zertifikate in einem Verzeichnis aufbewahren möchten.
--chroot dir OpenVPN chrootet ins Verzeichnis dir, nachdem der VPN-Tunnel aufgebaut wurde.
--log file Log-Information wird in die Datei file geschrieben. Die Datei wird jedes Mal neu überschrieben.
--log-append file Log-Information wird in die Datei file geschrieben. Die Datei wird nicht jedes Mal neu überschrieben.
--verb n legt den Level der Anzeige der Log-Informationen fest.
0 – Keine Log-Informationen werden angezeigt, außer der Fatal Errors Höchster Level 11. Default-Wert=1
--status file [n] legt den Status der Verbindung jede n-Sekunde in die Datei file ab.
--status-version [n] damit kann man die Versions-Nummer von file anzeigen lassen. Default-Wert=1 n kann entweder 1 oder 2 sein.
--mute n legt die Anzahl der Log-Informationen aus der gleichen Kategorie.
--comp-lzo anonciert LZO-Komprimierung.
Server Mode
--server network netmask gibt an, dass der Host als VPN-Server verwendet werden soll. network gibt an, welche IP-Adresse das virtuelle private Netzwerk haben soll. Der Server nimmt selbst die IP-Adresse …1 und vergibt via DHCP die IP-Adresse an die Klienten. netmask gibt an, welche Netzmaske das virtuelle private Netzwerk haben soll. z.B. --server 10.0.0.0 255.255.255.0
z.B., --server 10.8.0.0 255.255.255.0 kann folgendermaßen implementiert werden:
mode server tls-server
if dev tun:
ifconfig 10.8.0.1 10.8.0.2
ifconfig-pool 10.8.0.4 10.8.0.251
route 10.8.0.0 255.255.255.0
if client-to-client:
push "route 10.8.0.0 255.255.255.0"
else
push "route 10.8.0.1"
if dev tap: ifconfig 10.8.0.1 255.255.255.0 ifconfig-pool 10.8.0.2 10.8.0.254 255.255.255.0 push "route-gateway 10.8.0.1"
--server-bridge gateway netmask pool-start-IP pool-end-IP Wenn die die virtuelle Netzwerkkarte (TAP/TUN-Device) mit der reellen Netzwerkkarte überbrücken, dann ist der Befehl zu verwenden und nicht der “--server”.
z.B. --server-bridge 10.0.0.1 255.255.255.0 10.0.0.2 10.0.0.100
z.B. server-bridge 10.8.0.4 255.255.255.0 10.8.0.128 10.8.0.254 kann folgendermaßen implementiert werden:
mode server tls-server
ifconfig-pool 10.8.0.128 10.8.0.254 255.255.255.0 push "route-gateway 10.8.0.4"
--push “option” Mit dem Befehl können sie vom Server aus den Klienten sagen (pushen), welche Befehle der Klient in seiner Konfig zu verwenden hat. Beachte: Nicht alle Befehle lassen sich pushen!
Hier ist die Liste von den Anweisungen, die an die Klient gepusht werden können: --route, --route-gateway, --route-delay, --redirect-gateway, --ip-win32, --dhcp-option, --inactive, --ping, --ping-exit, --ping-restart, --setenv, --persist-key, --persist-tun, --echo
--push-reset mit dem Befehl kann der Befehl “--push” ignoriert warden. Anstatt dessen können dann die push-Anweisungen mit --client-config-dir definiert werden.
--ifconfig-pool start-IP end-IP [netmask] gibt den IP-Pool an, aus dem die IP-Adresse an die Klienten vergeben werden sollen.
--ifconfig-pool-persist file [seconds] das Ziel dieses Befehls ist, möglichst feste IP-Adressen an die Klienten zu vergeben. file ist eine Text-Datei formatiert wie: <Common-Name><IP-Adresse> [seconds] Nach wie viel Sekunden das file verändert werden kann nach dem Start des Programms. Muss nicht immer definiert sein.
--ifconfig-pool-linear modifiziert den Befehl --ifconfig-pool, um den Klienten mit dem TUN-Device eine individuelle IP-Adresse zu vergeben. Der Befehl funktioniert nicht mit Windows-Klienten!!!
--ifconfig-push local remote-netmask pusht die --ifconfig Anweisung an die Klienten. Es ist genau so, wie in der Klient-Konfig zu schreiben: --ifconfig local netmask
--iroute network [netmask] legt eine interne Route zu dem bestimmten Klienten. Ein Beispiel: OVPN-Server hat zwei OVPN-Klienten. Und ein Klient muss in das Netzwerk hinter dem anderen Klienten. Sie können dann vom Server aus die Route an den ersten Klienten ins Netzwerk hinter dem zweiten Klienten pushen: --push „route …“ client-to-client, oder einfach den Befehl --iroute verwenden.
--client-to-client die Klienten “sehen“ dann nicht nur den OVPN-Server, sondern auch andere Klienten. Die Klienten können sich miteinander kommunizieren.
--duplicate-cn Der OVPN-Server erlaubt damit den Klienten, den gleichen Common Name in den Zertifikaten zu verwenden.
--client-connect script führt script basierend auf <Common Name><IP-Adresse> aus, wenn sich die Klienten zu dem Server verbinden.
--client-disconnect script führt script basierend auf <Common Name><IP-Adresse> aus, wenn die Klienten von dem Server getrennt werden.
--client-config-dir dir spezifiziert das Verzeichnis, wo die spezifische Konfiguration von den Klienten liegt. (Basierend wiederum auf <Common Name><IP-Adressen>). Dient hauptsächlich dazu möglichst feste IP-Adresse an Klienten zu vergeben.
--ccd-exclusive teilt mit, dass der zu verbindende Klient ein --client-config-dir file hat.
--tmp-dir dir legt das Temporäre Verzeichnis fest. Das Verzeichnis wird vom --client-connect script verwendet.
--max-clients n legt die maximale Anzahl von den Klienten fest.
--max-routes-per-client n legt die maximale Anzahlt der Routen auf den Klienten fest. (Default-Wert: 256)
--connect-freq n sec erlaubt n Verbindungen pro sec - Sekunde.
--learn-address cmd ruft das Script cmd aus, um die virtuelle IP-Adresse der Klienten zu bestätigen.
--auth-user-pass-verify script method erfordert von den Klienten sich mit username/password zu authentifizieren. Es wird script ausgeführt, um die Authentifizierung zu bestätigen. Unter method kann entweder "via-env" (Der Klient gibt username/password an) oder "via-file" (Der Klient hat username/password im file gespeichert. Der Name des files wird im script definiert) stehen.
--client-cert-not-required Authentifizierung wird ohne Zertifikate durchgeführt. Der Klient braucht nur username/password anzugeben. (Die Methode ist nicht allzu sicher!)
--username-as-common-name für --auth-user-pass-verify wird der username als Common Name verwendet.
Client Mode
--client teilt dem Host mit, dass der Host ein Klient ist. Der Befehl kann folgendermaßen implementiert: pull tls-client
--pull erlaubt dem Server Anweisungen in die Klient-Konfig zu pushen.
--auth-user-pass [up] teilt dem Klient mit, dass er username/password braucht um sich bei dem Server zu authentifizieren. [up] ist ein file, wo username/password gespeichert sind. Die Server-Konfig muss dann --auth-user-pass-verify enthalten.
--auth-retry type teilt dem OpenVPN, wie es zu reagieren hat, wenn der Klient falsche Authentifizierungsdaten angibt. Unter type kann folgendes stehen: none die Verbindung des Klienten wird mit einem fatal error beendet. nointeract die Verbindung des Klienten wird ohne Authentifizierung durchgeführt. interact Authentifizierung wird noch mal durchgeführt.
--explicit-exit-notify [n] der Server schickt eine Nachricht, wenn der Tunnel neu gestartet wurde oder wenn die Verbindung zu dem Klient getrennt wurde.
Verschlüsselungsoptionen Allgemein
--secret file [direction] ein Pre-Shared Schlüssel (symmetrische Verschlüsselungsmethode) wird verwendet. file ist der Schlüssel bzw. der Pfad zu dem Schlüssel.
--auth alg Die IP-Pakete werden mit HMAC authentifiziert. Mehr Infos über HMAC unter: http://www.cs.ucsd.edu/users/mihir/papers/hmac.html
--cipher alg entschlüsselt die IP-Pakete mit cipher - Algorithmus alg. Mehr Infos für cipher unter: http://www.counterpane.com/blowfish.html
--keysize n legt die Größe des Schlüssels in bits fest.
--no-replay deaktiviert OpenVPN’s Schutz gegen attacks. Verwenden Sie die Option nur dann, wenn sie genau wissen, was Sie tun.
--no-iv deaktiviert IV (cipher initialization vector).Verwenden Sie die Option nur dann, wenn sie genau wissen, was Sie tun.
--test-crypto dient zum Testen der Verschlüsselung. Typischer Einsatz: openvpn --test-crypto --secret key oder openvpn --test-crypto --secret key --verb 9
TLS Verschlüsselungsoptionen:
--tls-server teilt dem Host mit, dass er TLS-Server ist. Mehr zu dem Thema TLS-Server bzw. TLS-Client unter: www.openssl.org
--tls-client teilt dem Host mit, dass er TLS-Client ist. Mehr zu dem Thema TLS-Server bzw. TLS-Client unter: www.openssl.org
--ca file gibt den Pfad zu dem Certificate Authority (ca) – File an. Mit OpenSSL wird ca-File folgendermaßen erstellt: openssl req -nodes -new -x509 -keyout tmp-ca.key -out tmp-ca.crt
--dh file gibt den Pfad zu dem dh-File an. Die dh-Datei enthält die Diffie Hellman Parameter (erforderlich nur für --tls-server). Die dh-Datei wird mit OpenSSL folgendermaßen erstellt: openssl dhparam -out dh1024.pem 1024
--cert file gibt den Pfad zu dem Zertifikat-File an. Die Datei kann mit OpenSSL folgendermaßen erstellt werden: openssl req -nodes -new -keyout mycert.key -out mycert.csr
--key file gibt den Pfad zu dem privaten Schlüssel an.
--pkcs12 file gibt den Pfad zu dem PKCS #12 file an. Diese Datei enthält das Zertifikat, den privaten Schlüssel und ca-Datei. Der Befehl wird anstatt von --ca, --cert, --key verwendet.
Information über SSL-Bibliotheken
--show-ciphers (Nur Komandozeile). Zeigt alle ciphers-Algorithmen an, die mit der Option “cipher” zu verwenden sind.
--show-digests (Nur Komandozeile). Zeigt alle Methoden an, die mit der Option “--auth” zu verwenden sind.
--show-tls (Nur Komandozeile). Zeigt alle TLS-ciphers Algorithmen an.
--show-engines (Nur Komandozeile). Zeigt alle vorhandenen Verschlüsselungsbeschleuniger an, die von OpenSSL unterstützt werden.
Windowsspezifische Optionen
--ip-win32 method Wenn die Option “--ifconfig“ auf Windows verwendet wird, so wird die IP-Adresse und Submaske dem TAP-Adapter nach der „method“-Methode zugewiesen.
Folgende Methoden sind möglich:
manual die IP-Adresse und Submaske werden dem TAP-Adapter nicht automatisch zugewiesen. Anstatt dessen wird der User in der Konsole aufgefordert, dies manuell zu machen.
dynamic (Default-Wert) die IP-Adresse und Submaske werden dem TAP-Adapter automatisch zugewiesen.
netsh die IP-Adresse und Submaske werden dem TAP-Adapter automatisch anhand des Windows-Befehls „netsh“ zugewiesen. Die Methode funktioniert nur auf Windows XP, aber nicht auf Windows 2000!
ipapi die IP-Adresse und Submaske werden dem TAP-Adapter automatisch anhand von API zugewiesen.
--route-method m legt die Methode fest, mit der eine Route angesetzt werden soll.
Folgende Methoden sind möglich:
ipapi (Default-Methode) – die Route wird anhand von API angesetzt.
exe – die Route wird anhand des Shells-Befehls “route.exe” angesetzt.
--dhcp-option type [parm] legt die TCP/IP-Eigenschaften vom TAP-Adapter fest. Die Option ist nur mit der Option „--ip-win32 dynamic“ zu verwenden. Die Option ist sehr hilfsreich, wenn ein Samba-Server via VPN eingerichtet werden soll.
Folgende Möglichkeiten stehen zur Verfügung:
DOMAIN name legt den Verbindungsspezifischen DNS-Suffix fest.
DNS addr legt die Adresse vom bevorzugten Domain Name Server fest.
WINS addr legt die Adresse vom bevorzugten WINS-Server fest.
NBDD addr legt die Adresse vom bevorzugten NBDD-Server fest.
NTP addr legt die Adresse vom bevorzugten NTP-Server fest.
NBT type legt den “NetBIOS over TCP/IP“-Knotentypen fest. Folgende Möglichkeiten: 1 = b-node (broadcasts), 2 = p-node (point-to-point Namenabfragen zu dem WINS-Server), 4 = m-node (broadcast, danach Namenabfragen zu dem Server), and 8 = h-node (Namenabfragen zu dem Server, danach broadcast).
NBS scope-id legt den “NetBIOS over TCP/IP“-Bereich fest.
DISABLE-NBT deaktiviert NetBIOS over TCP/IP.
--tap-sleep n fordert OpenVPN für n-Sekunden “einzuschlafen”, sofort nachdem der Status vom TAP-Adapter auf “verbunden” gesetzt wurde.
--show-adapters (nur in der Komandozeile). Zeigt die vorhandenen TAP-Adapter auf dem System an.
Weitere Anweisungen finden Sie auf http://openvpn.net/man.html
