Facendo varie prove ho notato che se all'user gli do anche "WebCfg - OpenVPN: Servers" riesco ad accedere la menù di OpenVpn, e visualizzo anche la pagina per l'export, ma così facendo l'user ha anche il permesso di modificare il server vpn o addirittura cancellarlo.
Questo non è fattibbile.
Quindi penso ci sia qualcosa da modificare nei file di configurazione della gui, ho visto che questi file sono in```
/usr/local/www

Ho risolto utilizzando questo
https://forum.pfsense.org/index.php?topic=109751.0

e questo
https://forum.pfsense.org/index.php?topic=109253.msg608562#msg608562

Ciao,
co pfsense è quasi impossibile visto che da quando skype è di microsoft utilizza migliaia di nomi a dominio differenti.
Io per il controllo della navigazione utilizzo nxfilter e così lo blocco senz problemi
Ciao Fabio

@christian.arminio:

Ciao,

in realtà potresti usare un solo server per tutte le persone/dispositivi che devi connettere ai tuoi sistemi…
Quando qualcuno di questi deve essere disconnesso puoi tranquillamente revocare i certificati assegnati .

Io non uso molto OVPN su pfsense, ma in generale funziona così :
crei un server con i suoi certificati e le sue impostazioni (IP Port TCP/UDP CCD ecc.. )
poi per ogni persona/dispositivo crei un certificato e durante questa operazione assegni tutte le informazioni (Nome Cognome Email Validità del certificato ecc.. ) che appunto ti servono per gestire in futuro quel dispositivo/persona .

Ti consiglierei di leggere un po' come funziona il progetto openvpn :

https://community.openvpn.net/openvpn/wiki/HOWTO

Perché visto che già sei riuscito a configurare il server e alcuni client, sono sicuro che troverai molte risposte a te necessarie .

Scrivi ancora se hai dubbi o problemi che a limite creiamo una macchina di prova ci lavoriamo insieme e facciamo un export di tutto .

Ciao

Grazie mille per i consigli, servono sempre e sono utili per confronto e ragionamento.
Io però con la configurazione in REMOTE ACCESS SSL/TLS ho la possibilità di inserire solo il certificato server, e non gli user, che se non erro sono da inserire qualora la tipologia di connessione e autenticazione è in REMOTE ACCESS USER AUTH.
Correggetemi se dico eresie.
A meno che , seguendo la guida
http://www.pfsenseitaly.com/2012/08/configurare-openvpn-server-su-pfsense.html
si possa inserire anzichè il certificato del server, quello dell'utente…
Forse faccio confusione, abbiate pazienza. Grazie in anticipo

@bbassotti:

hai impostate nelle advanced options il gateway su cui devono essere instradati?

Ciao,
si nelle options ho impostato il GW sulla WAN1,
ma mi sono accorto che gli indirizzi FQDN non erano risolti tutti, (verificato nella TABLES) e perciò ho cambiato l'alias mettendo la network del sito per intero e modificanto anche la regola impostando la sorce la NETWORK LAN.

Ora sembrerebbe essere migliorata la situazione.

Magari potremmo scrivere noi un tool che usi connessioni vpn e poi ssh per inviare schedule e comandi multipli a tutte le piattaforme pfsense connesse e chiaramente fare monitoring .

Tipo air controlo di UBNT .

Saluti

@cecio:

Sembrano tutte soluzioni molto professionali.
Da profano sembra interessante https://www.miniserver.it/firewall/apu-3-nic-wifi-gsm/apu2-firewall-entry-level-3-nic-4gb.html anche perchè ha già il suo case ma dice che è necessaio un cavo nullmodem che non saprei come usare e non mi sembra abbia una uscita video per l'installazione di pfsense.
Il vantaggio che si avrebbe rispetto a usare un vecchio PC è il minore ingombro e consumo.
Hai consigli?
Grazie mille

Il prodotto arriva pronto all'uso già con pfSense preinstallato, e l'azienda (http://www.atlanteinformatica.com/) fornisce un ottimo servizio di assistenza e supporto tecnico.
Il cavo null-modem non è indispensabile, ma è necessario in caso di problemi quindi ti consiglio di procurartelo (anche non da loro, è standard).
L'uscita video non ti serve, basta la seriale con cui (tramite il cavo null-modem) ti colleghi via console e ci fai tutto, reinstallazione compresa (tramite chiavetta USB).

Ciao!

Ho capito il trucco: occorre soltanto configurare l'interfaccia Modem_access in questo modo:

Grazie

Ciao

@delfi5:

Ma di quanti client dietro pfSense parliamo?

In pfSense, nella configurazione dell'interfaccia WAN hai settato una maschera di rete non valida per un indirizzo privato di classe A, a meno che non sia voluto.

A parer mio, se ci sono tutti questi problemi col modem/router fornito dal provider fai una prova di questo: collega direttamente al modem un po' di PC e verifica come va la rete/navigazione creando una seconda LAN.

Ho corretto la maschera di rete a 255.0.0.0 sia al router che al pfSense .

Ho provato ad eliminare fisicamente il firewall hardware ed a sostituirlo con il router del provider e tutto funziona BENE in quanto la LAN vede un solo NAT.

Grazie

Ciao

@damiano68 se leggi lo ha scritto e fatto. ;-)

Il che rende tutto un po' strano.

Da un PC nella lista (oppure inserisci il tuo) fai dei tracert verso un IP in internet per capire quali salti fai e quale WAN viene utilizzata. Poi disabilità la regola che descritto nel 1° post ed effettua altri tracert. Mi viene da pensare una mal configurazione dei gateway ('System' > 'Routing').

E' chiaro che si parla di SIM dati con un certo volume di traffico (fra upload e download) da non superare.
Sarebbe una cosa molto interessante, ma confesso di non aver trovato ancora nulla.

Ciao Fabio, c'è una regola su porta DNs53 che rende pfsense query dns
Ciao

Per quanto rigurda le VLAN inanzi tutto de avere uno switch VLAN-Aware cioè che supporti lo standard 802.1q.
Sul pfsense puoi creare delle interfacce virtuali e gestirle come se fossero fisiche.

pensavo anche ad una soluzione di vaucher tramite sms, mi pare che zeroshell lo faccia assieme a zerotruth ma non vorrei cambiare sistema.
Voi cosa consigliereste sempre restando con pfsense? bella anche la soluzione di fabio, sarebbe da vedere se il pacchetto viene aggiornato per la nuova versione di pfsense.

Una volta che attivo il voucher, es 8 ore, ne navigo solo 4 e 4 il giorno dopo mi da sessione scaduta. E' possibile attivare il tempo per solo le ore effettive di navigazione?

grazie

Valerio

Esatto,
ciao Fabio

Salve,
anche io ho lo stesso problema o meglio se inserisco l'ip pubblico riesco da un client remoto ad accedere al server.
Se invece dalla rete lan provo ad accedere al server non funziona.
Se tolgo l'ip pubblico accedo dalla rete interna ma non da remoto.
Cosa potrebbe essere?