« предыдущая тема   следующая тема »
Страницы: [1] 2

Автор Тема: OpenVPN и проблемы с маршрутами и уже не только  (Прочитано 5224 раз)

Оффлайн Belua

  • Участник
  • *
  • Сообщений: 102
OpenVPN и проблемы с маршрутами и уже не только
« : 01.10.2011 17:23:56 »
Перевел один из серверов на AltLinux 6.0 Centaurus. Все конфиги перекинул с 4.1. Почти все сервисы, после некоторых плясок, заработали кроме OpenVPN сервера. Сервер запускается, клиенты цепляются, НО, клиенты видят сервер и сеть за ним, а сервер не видит клиентов и, соответственно. и сети за ним. При том, что на старом сервере с Альтом 4.1 таких проблем не наблюдаю. Может кто то увидит мою ошибку свежим взглядом. Оговорюсь заранее, что фаервол, в порядке эксперемента, выключен с обоих сторон, а внешние адреса в конфигах заменены. Форвадинг включен.

ниже конфиги

конфиг VPN-сервера
Код: [Выделить]
#server.conf
port 1194
proto udp                                                                                                                                 
dev tun01                                                                                                                                 
dev-type tun
ca /etc/openvpn/keys/ca.crt                                                                                                               
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key                                                                                           
dh /etc/openvpn/keys/dh1024.pem                                                                                                           

server 10.1.0.0 255.255.0.0
push "route 172.21.0.0 255.255.0.0"                                                                                                       
route "10.1.0.0 255.255.0.0"                                                                                                               
route "192.168.1.0 255.255.255.0"                                                                                                         

#ifconfig-pool 10.1.0.10 10.1.0.30 255.255.0.0
ifconfig-pool-persist /etc/openvpn/ipp.txt                                                                                                 
client-config-dir /etc/openvpn/ccd

tls-server
tls-auth /etc/openvpn/keys/ta.key 0
auth MD5
keepalive 10 60
comp-lzo
user openvpn
group openvpn
persist-key
persist-tun
status /etc/openvpn/openvpn-status.log
log /etc/openvpn/openvpn.log
verb 3

файл из ./ccd для тестового клиента
Код: [Выделить]
ifconfig-push 10.1.0.10 10.1.0.2
iroute 192.168.1.0 255.255.255.0


конфиг OpenVPN на клиенте

Код: [Выделить]
#client.conf

dev tun01
#dev-type tun
proto udp
remote 123.123.123.123
port 1194
resolv-retry infinite
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/openvpn-client.crt
key /etc/openvpn/keys/openvpn-client.key
tls-client
tls-auth /etc/openvpn/keys/ta.key 1
auth MD5
cipher BF-CBC
ns-cert-type server
#script-security 3 system
comp-lzo
persist-key
persist-tun
status /etc/openvpn/openvpn-status.log
log /etc/openvpn/openvpn.log
verb 3
nobind



лог при запуске сервиса на сервере

Код: [Выделить]
старт OpenVPN
Fri Oct 28 09:15:29 2011 OpenVPN 2.1.4 x86_64-alt-linux-gnu [SSL] [LZO2] [EPOLL] built on Nov 30 2010
Fri Oct 28 09:15:29 2011 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Fri Oct 28 09:15:29 2011 Diffie-Hellman initialized with 1024 bit key
Fri Oct 28 09:15:29 2011 Control Channel Authentication: using '/etc/openvpn/keys/ta.key' as a OpenVPN static key file
Fri Oct 28 09:15:29 2011 Outgoing Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Fri Oct 28 09:15:29 2011 Incoming Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Fri Oct 28 09:15:29 2011 TLS-Auth MTU parms [ L:1538 D:162 EF:62 EB:0 ET:0 EL:0 ]
Fri Oct 28 09:15:29 2011 Socket Buffers: R=[124928->131072] S=[124928->131072]
Fri Oct 28 09:15:29 2011 ROUTE default_gateway=123.123.123.124
Fri Oct 28 09:15:29 2011 TUN/TAP device tun01 opened
Fri Oct 28 09:15:29 2011 TUN/TAP TX queue length set to 100
Fri Oct 28 09:15:29 2011 /sbin/ip link set dev tun01 up mtu 1500
Fri Oct 28 09:15:29 2011 /sbin/ip addr add dev tun01 local 10.1.0.1 peer 10.1.0.2
Fri Oct 28 09:15:29 2011 /sbin/ip route add 10.1.0.0/32 via 10.1.0.2
Fri Oct 28 09:15:29 2011 /sbin/ip route add 192.168.1.0/32 via 10.1.0.2
Fri Oct 28 09:15:29 2011 /sbin/ip route add 10.1.0.0/16 via 10.1.0.2
Fri Oct 28 09:15:29 2011 Data Channel MTU parms [ L:1538 D:1450 EF:38 EB:135 ET:0 EL:0 AF:3/1 ]
Fri Oct 28 09:15:29 2011 chroot to '/var/lib/openvpn' and cd to '/' succeeded
Fri Oct 28 09:15:29 2011 GID set to openvpn
Fri Oct 28 09:15:29 2011 UID set to openvpn
Fri Oct 28 09:15:29 2011 UDPv4 link local (bound): [undef]:1194
Fri Oct 28 09:15:29 2011 UDPv4 link remote: [undef]
Fri Oct 28 09:15:29 2011 MULTI: multi_init called, r=256 v=256
Fri Oct 28 09:15:29 2011 IFCONFIG POOL: base=10.1.0.4 size=16382
Fri Oct 28 09:15:29 2011 IFCONFIG POOL LIST
Fri Oct 28 09:15:29 2011 client1,10.1.0.4
Fri Oct 28 09:15:29 2011 Initialization Sequence Completed

попытка подключения клиента


Fri Oct 28 12:03:23 2011 MULTI: multi_create_instance called
Fri Oct 28 12:03:23 2011 78.159.227.22:53413 Re-using SSL/TLS context
Fri Oct 28 12:03:23 2011 78.159.227.22:53413 LZO compression initialized
Fri Oct 28 12:03:23 2011 78.159.227.22:53413 Control Channel MTU parms [ L:1538 D:162 EF:62 EB:0 ET:0 EL:0 ]
Fri Oct 28 12:03:23 2011 78.159.227.22:53413 Data Channel MTU parms [ L:1538 D:1450 EF:38 EB:135 ET:0 EL:0 AF:3/1 ]
Fri Oct 28 12:03:23 2011 78.159.227.22:53413 Local Options hash (VER=V4): '1056bce3'
Fri Oct 28 12:03:23 2011 78.159.227.22:53413 Expected Remote Options hash (VER=V4): '03fa487d'
Fri Oct 28 12:03:23 2011 78.159.227.22:53413 TLS: Initial packet from 111.111.111.111:53413, sid=a09470da 68d0725d
Fri Oct 28 12:03:24 2011 78.159.227.22:53413 VERIFY OK: depth=1, /C=RU/ST=sity/L=sity/O=CompanyLtd/CN=company.ru/emailAddress=info@company.ru
Fri Oct 28 12:03:24 2011 78.159.227.22:53413 VERIFY OK: depth=0, /C=RU/ST=sity/O=CompanyLtd/CN=client1/emailAddress=info@company.ru
Fri Oct 28 12:03:24 2011 78.159.227.22:53413 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Oct 28 12:03:24 2011 78.159.227.22:53413 Data Channel Encrypt: Using 128 bit message hash 'MD5' for HMAC authentication
Fri Oct 28 12:03:24 2011 78.159.227.22:53413 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Oct 28 12:03:24 2011 78.159.227.22:53413 Data Channel Decrypt: Using 128 bit message hash 'MD5' for HMAC authentication
Fri Oct 28 12:03:24 2011 78.159.227.22:53413 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Fri Oct 28 12:03:24 2011 78.159.227.22:53413 [client1] Peer Connection Initiated with 111.111.111.111:53413
Fri Oct 28 12:03:24 2011 MULTI: new connection by client 'client1' will cause previous active sessions by this client to be dropped.  Remember to use the --duplicate-cn option if you want multiple clients using the same certificate or username to concurrently connect.
Fri Oct 28 12:03:24 2011 MULTI: Learn: 10.1.0.6 -> client1/111.111.111.111:53413
Fri Oct 28 12:03:24 2011 MULTI: primary virtual IP for client1/111.111.111.111: 10.1.0.6



Лог подключения клиента

Код: [Выделить]
Fri Oct 28 12:06:38 2011 OpenVPN 2.0.8 i586-alt-linux-gnu [SSL] [LZO] [EPOLL] built on Jun  5 2009
Fri Oct 28 12:06:38 2011 Control Channel Authentication: using '/etc/openvpn/keys/ta.key' as a OpenVPN static key file
Fri Oct 28 12:06:38 2011 Outgoing Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Fri Oct 28 12:06:38 2011 Incoming Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Fri Oct 28 12:06:38 2011 LZO compression initialized
Fri Oct 28 12:06:38 2011 Control Channel MTU parms [ L:1538 D:162 EF:62 EB:0 ET:0 EL:0 ]
Fri Oct 28 12:06:38 2011 TUN/TAP device tun01 opened
Fri Oct 28 12:06:38 2011 Data Channel MTU parms [ L:1538 D:1450 EF:38 EB:135 ET:0 EL:0 AF:3/1 ]
Fri Oct 28 12:06:38 2011 Local Options hash (VER=V4): '03fa487d'
Fri Oct 28 12:06:38 2011 Expected Remote Options hash (VER=V4): '1056bce3'
Fri Oct 28 12:06:38 2011 chroot to '/var/lib/openvpn' and cd to '/' succeeded
Fri Oct 28 12:06:38 2011 GID set to openvpn
Fri Oct 28 12:06:38 2011 UID set to openvpn
Fri Oct 28 12:06:38 2011 UDPv4 link local: [undef]
Fri Oct 28 12:06:38 2011 UDPv4 link remote: 123.123.123.123:1194
Fri Oct 28 12:06:38 2011 TLS: Initial packet from 123.123.123.123:1194, sid=e056ce84 85797b64
Fri Oct 28 12:06:39 2011 VERIFY OK: depth=1, /C=RU/ST=sity_region/L=sity/O=companyLtd/CN=company.ru/emailAddress=info@company.ru
Fri Oct 28 12:06:39 2011 VERIFY OK: nsCertType=SERVER
Fri Oct 28 12:06:39 2011 VERIFY OK: depth=0, /C=RU/ST=sity_region/O=companyLtd/CN=server/emailAddress=info@company.ru
Fri Oct 28 12:06:40 2011 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Oct 28 12:06:40 2011 Data Channel Encrypt: Using 128 bit message hash 'MD5' for HMAC authentication
Fri Oct 28 12:06:40 2011 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Oct 28 12:06:40 2011 Data Channel Decrypt: Using 128 bit message hash 'MD5' for HMAC authentication
Fri Oct 28 12:06:40 2011 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Fri Oct 28 12:06:40 2011 [server] Peer Connection Initiated with 123.123.123.123:1194
Fri Oct 28 12:06:41 2011 Initialization Sequence Completed


ip a на сервере

Код: [Выделить]
ip a on server
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether b4:99:ba:a9:08:0c brd ff:ff:ff:ff:ff:ff
    inet 172.21.21.21/16 brd 172.21.255.255 scope global eth0
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether b4:99:ba:a9:08:0d brd ff:ff:ff:ff:ff:ff
    inet 123.123.123.123/29 brd 123.123.123.124 scope global eth1
23: tun01: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 100
    link/none
    inet 10.1.0.1 peer 10.1.0.2/32 scope global tun01

ip a на клиенте

Код: [Выделить]
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 1000
    link/ether 00:17:31:4b:4f:60 brd ff:ff:ff:ff:ff:ff
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 1000
    link/ether 00:19:cb:54:9e:8f brd ff:ff:ff:ff:ff:ff
4: breth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UNKNOWN
    link/ether 00:17:31:4b:4f:60 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.2/24 scope global breth0
5: breth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UNKNOWN
    link/ether 00:19:cb:54:9e:8f brd ff:ff:ff:ff:ff:ff
    inet 222.222.222.222/20 scope global breth1
7: venet0: <BROADCAST,POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1500 qdisc noqueue state UNKNOWN
    link/void
20: tun01: <POINTOPOINT,MULTICAST,NOARP> mtu 1500 qdisc noop state DOWN qlen 100
    link/[65534]



« Последнее редактирование: 28.10.2011 11:22:05 от Belua »
Записан
Вот случилось где-то что-то Ой-ой-ой-ой-ой! Кто-то с кем-то сделал что-то, ай-яй-яй-яй-яй!

Оффлайн varalt

  • Участник
  • *
  • Сообщений: 996
Re: OpenVPN и проблемы с маршрутами
« Ответ #1 : 01.10.2011 18:38:52 »
Интересно, какая ОС стоит на клиентах?
Скорее всего, тут проблема в настройке VPN-сервера.
Ведь Кентавр уже переделали изнутри, так что некоторые правила уже не действуют.
Записан

Оффлайн Belua

  • Участник
  • *
  • Сообщений: 102
Re: OpenVPN и проблемы с маршрутами
« Ответ #2 : 01.10.2011 18:44:26 »
Цитата: fotons от 01.10.2011 18:38:52
Интересно, какая ОС стоит на клиентах?
это на одном из клиентов
Код: [Выделить]
bash-3.1# cat /proc/version
Linux version 2.6.18-ovz-smp-alt23 (builder@people.armor.altlinux.org) (gcc version 4.1.2 20070626 (ALT Linux, build 4.1.2-alt1)) #1 SMP Mon Feb 25 01:56:25 MSK 2008

но в основном стоят Alt Linux 5.1 Server


Цитировать
Скорее всего, тут проблема в настройке VPN-сервера.
Ведь Кентавр уже переделали изнутри, так что некоторые правила уже не действуют.

А проблема то в чём?
« Последнее редактирование: 01.10.2011 18:46:39 от Belua »
Записан
Вот случилось где-то что-то Ой-ой-ой-ой-ой! Кто-то с кем-то сделал что-то, ай-яй-яй-яй-яй!

Оффлайн varalt

  • Участник
  • *
  • Сообщений: 996
Re: OpenVPN и проблемы с маршрутами
« Ответ #3 : 02.10.2011 05:52:19 »
Проблема в совместимости, скорее всего.

здесь
« Последнее редактирование: 02.10.2011 08:38:10 от ruslandh »
Записан

Оффлайн Belua

  • Участник
  • *
  • Сообщений: 102
Re: OpenVPN и проблемы с маршрутами
« Ответ #4 : 02.10.2011 10:37:17 »
то есть предлагаете всё пересоздать с помощью ЦУ и всех переподключить с новыми ключами и новыми настройками. Чем старые то не подходят, созданные руками. И потом, у меня нет GUI на серверах, максимум, что могу себе позволить, это SSH ну или прокинуть "веб-морду" на 8080
« Последнее редактирование: 02.10.2011 11:05:31 от Belua »
Записан
Вот случилось где-то что-то Ой-ой-ой-ой-ой! Кто-то с кем-то сделал что-то, ай-яй-яй-яй-яй!

Оффлайн varalt

  • Участник
  • *
  • Сообщений: 996
Re: OpenVPN и проблемы с маршрутами
« Ответ #5 : 02.10.2011 17:28:25 »
Цитата: Belua от 02.10.2011 10:37:17
то есть предлагаете всё пересоздать с помощью ЦУ и всех переподключить с новыми ключами и новыми настройками. Чем старые то не подходят, созданные руками. И потом, у меня нет GUI на серверах, максимум, что могу себе позволить, это SSH ну или прокинуть "веб-морду" на 8080
Вы упомянули про ключи. А Вы со старого VPN-сервера их перенесли или только конфиги?
Записан

Оффлайн Belua

  • Участник
  • *
  • Сообщений: 102
Re: OpenVPN и проблемы с маршрутами
« Ответ #6 : 03.10.2011 06:19:22 »
и ключи и конфиги
Записан
Вот случилось где-то что-то Ой-ой-ой-ой-ой! Кто-то с кем-то сделал что-то, ай-яй-яй-яй-яй!

Оффлайн Belua

  • Участник
  • *
  • Сообщений: 102
Re: OpenVPN и проблемы с маршрутами
« Ответ #7 : 03.10.2011 12:00:30 »
попробовал на этот сервер поставить 5-ку и дистрибутив не видит диски
сервер этот HP ProLiant DL120 G7 с контроллером B110i  :o
пошел плодить темы  =)
Записан
Вот случилось где-то что-то Ой-ой-ой-ой-ой! Кто-то с кем-то сделал что-то, ай-яй-яй-яй-яй!

Оффлайн freeak

  • Участник
  • *
  • Сообщений: 14
Re: OpenVPN и проблемы с маршрутами и уже не только
« Ответ #8 : 05.10.2011 17:58:50 »
Цитата: Belua от 01.10.2011 17:23:56
Перевел один из серверов на AltLinux 6.0 Centaurus. Все конфиги перекинул с 4.1. Почти все сервисы, после некоторых плясок, заработали кроме OpenVPN сервера. Сервер запускается, клиенты цепляются, НО, клиенты видят сервер и сеть за ним, а сервер не видит клиентов и, соответственно. и сети за ним. При том, что на старом сервере с Альтом 4.1 таких проблем не наблюдаю. Может кто то увидит мою ошибку свежим взглядом. Оговорюсь заранее, что фаервол, в порядке эксперемента, выключен с обоих сторон, а внешние адреса в конфигах заменены. Форвадинг включен.

Почти аналогичная ситуация: http://forum.altlinux.org/index.php/topic,12037.0.html

Почти - немного другие ОС. сервер - был Ковчег обновлен до Кентавра, клиент Platform6 Server Light
Аналогичная - видна сеть сервера но абсолютно глуха сеть клиентская

Как мне кажется проблема несовместимости исключена т.к. у меня то с на обоих концах 6 платформа...

Похоже Кентавр стремненький получился - без рога...

Бьюсь уже почти неделю....
Записан

Оффлайн varalt

  • Участник
  • *
  • Сообщений: 996
Re: OpenVPN и проблемы с маршрутами и уже не только
« Ответ #9 : 06.10.2011 14:02:34 »
В смысле, "абсолютно глуха сеть клиентская"?
Поподробнее написать можете?
Записан

Оффлайн freeak

  • Участник
  • *
  • Сообщений: 14
Re: OpenVPN и проблемы с маршрутами и уже не только
« Ответ #10 : 09.10.2011 12:10:30 »
Цитата: fotons от 06.10.2011 14:02:34
В смысле, "абсолютно глуха сеть клиентская"?
Поподробнее написать можете?

Ну я имею ввиду, что со стороны VPN сервера не видно сети VPN клиента. в пред. посте ссылка на тему, там описано... пока анные советы еще не пробовал - руки не доходят
Записан

Оффлайн Belua

  • Участник
  • *
  • Сообщений: 102
Re: OpenVPN и проблемы с маршрутами и уже не только
« Ответ #11 : 27.10.2011 11:21:26 »
Цитата: freeak от 05.10.2011 17:58:50

Почти аналогичная ситуация: http://forum.altlinux.org/index.php/topic,12037.0.html

Почти - немного другие ОС. сервер - был Ковчег обновлен до Кентавра, клиент Platform6 Server Light

Похоже Кентавр стремненький получился - без рога...

Бьюсь уже почти неделю....

Platform6 Server Light я тоже ставил, результат тот же. Проблема та же.

Записан
Вот случилось где-то что-то Ой-ой-ой-ой-ой! Кто-то с кем-то сделал что-то, ай-яй-яй-яй-яй!

Оффлайн speccyfan

  • Участник
  • *
  • Сообщений: 522
  • CCNA
    • speccyfan (Примеры различных конфигураций сетевых сервисов)
Re: OpenVPN и проблемы с маршрутами и уже не только
« Ответ #12 : 27.10.2011 19:02:02 »
На 6-й платформе и как раз на server-light  у меня все работает. Почему бы вам не взглянуть в лог файл? И кстати на клиенте тоже. Помнится мне при переползании на 6-ю платформу пришлось добавить в конфиг клиента параметр script-security 3 system, ибо без нее не поднимались маршруты. И еще я не вижу у вас настроек ccd, хотя пут к ним все же прописан (client-config-dir /etc/openvpn/ccd), может  вы забыли что openvpn работает в chroot и путь к ним на самом деле будет /var/lib/openvpn/etc/openvpn/ccd/clientname ?
Записан
With best regards, Yury Konovalov aka 2:453/53

Оффлайн Belua

  • Участник
  • *
  • Сообщений: 102
Re: OpenVPN и проблемы с маршрутами и уже не только
« Ответ #13 : 28.10.2011 11:18:07 »
Немного поменял шапку, добавил больше информации, может поможет.

Цитировать
добавить в конфиг клиента параметр script-security 3 system, ибо без нее не поднимались маршруты
на клиенте это сделать не удасться, потому что openvpn-2.0.9. Версию поднять не удаётся, придется разруливать зависимости.

Цитировать
может  вы забыли что openvpn работает в chroot и путь к ним на самом деле будет /var/lib/openvpn/etc/openvpn/ccd/clientname
не забыл, с этим всё нормально. Но тут есть одна странность, судя по логам сервера выдаётся совсем не тот, что написан в ccd (ipp.txt очищаю).

« Последнее редактирование: 28.10.2011 11:19:38 от Belua »
Записан
Вот случилось где-то что-то Ой-ой-ой-ой-ой! Кто-то с кем-то сделал что-то, ай-яй-яй-яй-яй!

Оффлайн speccyfan

  • Участник
  • *
  • Сообщений: 522
  • CCNA
    • speccyfan (Примеры различных конфигураций сетевых сервисов)
Re: OpenVPN и проблемы с маршрутами и уже не только
« Ответ #14 : 28.10.2011 12:42:05 »
 Меня настораживает вот это:
Цитировать
new connection by client 'client1' will cause previous active sessions by this client to be dropped.  Remember to use the --duplicate-cn option if you want multiple clients using the same certificate or username to concurrently connect
Как будто у вас один сертификат на всех клиентов, это все же не правильно.
Записан
With best regards, Yury Konovalov aka 2:453/53
Страницы: [1] 2
« предыдущая тема   следующая тема »