Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Не вижу подсеть клиента OpenVPN

    Russian
    open vpn vpn openvpn keenetic pfsense
    3
    33
    4.7k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      mrDick
      last edited by mrDick

      Всем привет!

      Имеется два офиса.

      1. Головной офис с pfSense, на котором настроена основная локальная сеть.
      2. Дочерний офис, в котором стоит Keenetic Extra.

      На pfSense настроен сервер OpenVPN. На Keenetic`е настроен клиент, соответственно.
      Локальная сеть pfSense 192.168.10.0
      Локальная сеть Keenetic 192.168.11.0

      С хостов, которые подключены к Keenetic (client) видна локальная сеть pfSense (server) и все сетевые ресурсы локальной сети головного офиса.
      С хостов головного не видно локальную сеть Keenetic`а.

      Прикрепляю конфиги:

      pfSense (Server)

      dev ovpns2
      verb 1
      dev-type tun
      dev-node /dev/tun2
      writepid /var/run/openvpn_server2.pid
      #user nobody
      #group nobody
      script-security 3
      daemon
      keepalive 10 60
      ping-timer-rem
      persist-tun
      persist-key
      proto udp4
      auth SHA256
      up /usr/local/sbin/ovpn-linkup
      down /usr/local/sbin/ovpn-linkdown
      client-connect /usr/local/sbin/openvpn.attributes.sh
      client-disconnect /usr/local/sbin/openvpn.attributes.sh
      local внешний_ip
      tls-server
      server 170.1.2.0 255.255.255.0
      client-config-dir /var/etc/openvpn/server2/csc
      verify-client-cert none
      username-as-common-name
      plugin /usr/local/lib/openvpn/plugins/openvpn-plugin-auth-script.so /usr/local/sbin/ovpn_auth_verify_async user xXxxXXxxxXxxXxxxXxxxxXxXxXXX false server2 1195
      lport 1195
      management /var/etc/openvpn/server2/sock unix
      push "route 192.168.10.0 255.255.255.0"
      push "dhcp-option DOMAIN mydomain.local"
      push "dhcp-option DNS 192.168.10.10"
      push "dhcp-option DNS 8.8.8.8"
      client-to-client
      duplicate-cn
      capath /var/etc/openvpn/server2/ca
      cert /var/etc/openvpn/server2/cert
      key /var/etc/openvpn/server2/key
      dh /etc/dh-parameters.1024
      tls-auth /var/etc/openvpn/server2/tls-auth 0
      ncp-disable
      cipher AES-256-CBC
      allow-compression no
      persist-remote-ip
      float
      topology subnet

      Keenetic (client)

      dev tun_client
      persist-tun
      persist-key
      ncp-disable
      cipher AES-256-CBC
      auth SHA256
      tls-client
      client
      verb 4
      resolv-retry infinite
      remote dns_имя 1195 udp4
      nobind
      remote-cert-tls server
      explicit-exit-notify
      <ca>
      </ca>
      key-direction 1
      <tls-auth>
      </tls-auth>

      <auth-user-pass>
      username
      password
      </auth-user-pass>

      Надеюсь всё понятно объяснил и дал достаточно информации!
      В данном направлении новичок. Хотелось бы получить помощь.

      P PTZ-MP 2 Replies Last reply Reply Quote 0
      • P
        pigbrother @mrDick
        last edited by pigbrother

        @mrdick
        Решал похожую задачу.

        Вы хотите получить site-to-site, но, IMHO,
        Но, судя по наличию <auth-user-pass>
        username
        password
        </auth-user-pass>
        Сервер поднят в режиме Remote Access?
        Если так, придется в Advanced Configuration сервера добавить
        route 192.168.11.0 255.255.255.0
        и для клиента Кинетик прописать в Client Specific Overrides IPv4 Remote Networks (iroute)
        192.168.11.0/24

        Кинетик также подкладывает свинью для соединений site-to-site. Решал ее так:
        https://forum.netgate.com/topic/160258/openvpn-keenetic-%D0%BD%D0%B5-%D0%B2%D0%B8%D0%B4%D0%BD%D0%BE-%D1%81%D0%B5%D1%82%D1%8C-%D0%B7%D0%B0-%D0%BA%D0%BB%D0%B8%D0%B5%D0%BD%D1%82%D0%BE%D0%BC/32

        1 Reply Last reply Reply Quote 0
        • M
          mrDick
          last edited by mrDick

          @pigbrother
          Да, сервер поднят в режиме "Удалённый Доступ (Аутентификация пользователя)"

          В настройках сервера в "Особые параметры" добавил route 192.168.11.0 255.255.255.0
          В "Специфические Настройки Клиента" создал правило "Удаленная IPv4 Сеть(ти)" 192.168.11.0/24

          Действия через CLI на кинетеке сделал:
          no ip nat Home
          ip static Home CdcEthernet0
          system configuration save

          Про SRC не понял, что и куда нужно прописывать(

          Пинга до сих пор нет...

          P 1 Reply Last reply Reply Quote 0
          • P
            pigbrother @mrDick
            last edited by pigbrother

            @mrdick said in Не вижу подсеть клиента OpenVPN:

            Действия через CLI на кинетеке сделал:
            no ip nat Home
            ip static Home CdcEthernet0
            system configuration save

            Интернет при этом есть?

            @mrdick said in Не вижу подсеть клиента OpenVPN:

            Про SRC не понял, что и куда нужно прописывать(

            Межсетевой экран->ваш OVPN интерфейс
            Получится что-то вида
            Разрешить-- IP--192.168.10.0/24-- Любой

            Маршрут в сеть 192.168.10.0/24 в "маршрутизации" в Кинетике виден"?
            "Получать маршруты от удаленной стороны" в настройках клиента должно быть включено, "Использовать для выхода в интернет" выключено.

            Ну и на клиентах за Кинетиком отключить для теста брандмауэр.

            Да, забыл. Если на pFsense поднят мультиван, то может потребоваться неочевидное правило на LAN:
            IPv4 * LAN net * 192.168.11.0/24 * * none

            M 1 Reply Last reply Reply Quote 0
            • M
              mrDick @pigbrother
              last edited by

              @pigbrother

              @pigbrother said in Не вижу подсеть клиента OpenVPN:

              Интернет при этом есть?

              Нет. Интернет пропал. Только сейчас заметил.

              @pigbrother said in Не вижу подсеть клиента OpenVPN:

              Разрешить-- IP--192.168.10.0/24-- Любой

              Добавил

              @pigbrother said in Не вижу подсеть клиента OpenVPN:

              Маршрут в сеть 192.168.10.0/24 в "маршрутизации" в Кинетике виден"?

              Есть:
              Адрес назначения 8.8.8.8/32 - Шлюз 0.0.0.0
              Адрес назначения 170.1.2.0/24 - Шлюз 0.0.0.0
              Адрес назначения 192.168.10.0/24 - Шлюз 170.1.2.1
              Адрес назначения 192.168.10.10/32 - Шлюз 0.0.0.0

              @pigbrother said in Не вижу подсеть клиента OpenVPN:

              Ну и на клиентах за Кинетиком отключить для теста брандмауэр.

              Основная идея достучаться хотя бы до кинетика через 192.168.11.1

              @pigbrother said in Не вижу подсеть клиента OpenVPN:

              Да, забыл. Если на pFsense поднят мультиван, то может потребоваться неочевидное правило на LAN:
              IPv4 * LAN net * 192.168.11.0/24 * * none

              Добавил правило где
              Источник LAN net
              Назначение 192.168.11.0/24
              Очередь Нет

              P 1 Reply Last reply Reply Quote 0
              • P
                pigbrother @mrDick
                last edited by pigbrother

                @mrdick said in Не вижу подсеть клиента OpenVPN:

                Нет. Интернет пропал. Только сейчас заметил.

                А туннель поднимается?

                @mrdick said in Не вижу подсеть клиента OpenVPN:

                Адрес назначения 8.8.8.8/32 - Шлюз 0.0.0.0
                Адрес назначения 170.1.2.0/24 - Шлюз 0.0.0.0
                Адрес назначения 192.168.10.0/24 - Шлюз 170.1.2.1
                Адрес назначения 192.168.10.10/32 - Шлюз 0.0.0.0

                Это статические маршруты заданные вручную?

                если так
                Адрес назначения 192.168.10.10/32 - Шлюз 0.0.0.0
                неверный.

                И вообще для OVPN не нужно в Кинетике задавать маршрут. Он должен появляться автоматически, если установлено "Получать маршруты от удаленной стороны"

                M 2 Replies Last reply Reply Quote 0
                • M
                  mrDick @pigbrother
                  last edited by

                  @pigbrother said in Не вижу подсеть клиента OpenVPN:

                  @mrdick said in Не вижу подсеть клиента OpenVPN:

                  Нет. Интернет пропал. Только сейчас заметил.

                  А туннель поднимается?

                  Ага. Но из локальной сети pfsense пинга так и нет.

                  P 2 Replies Last reply Reply Quote 0
                  • P
                    pigbrother @mrDick
                    last edited by

                    @mrdick Дополнил пост выше.

                    1 Reply Last reply Reply Quote 0
                    • M
                      mrDick @pigbrother
                      last edited by

                      @pigbrother said in Не вижу подсеть клиента OpenVPN:

                      Это статические маршруты заданные вручную?

                      Нет. Поднимаются автоматически при включении туннеля.
                      Статических маршрутов нет вообще.

                      1 Reply Last reply Reply Quote 0
                      • M
                        mrDick
                        last edited by

                        Пинг из локальной сети pfsense идёт до ip который openvpn выдаёт кинетику.
                        В моём случае 170.1.2.2.

                        P 1 Reply Last reply Reply Quote 0
                        • P
                          pigbrother @mrDick
                          last edited by

                          @mrdick said in Не вижу подсеть клиента OpenVPN:

                          Ага

                          Вероятно
                          ip static Home CdcEthernet0
                          где-то ошибка

                          КинетиОС какой версии?

                          M 1 Reply Last reply Reply Quote 0
                          • M
                            mrDick @pigbrother
                            last edited by

                            @pigbrother said in Не вижу подсеть клиента OpenVPN:

                            ip static Home CdcEthernet0
                            где-то ошибка

                            Это интерфейс USB модема, подключенного к кинетику.

                            @pigbrother said in Не вижу подсеть клиента OpenVPN:

                            КинетиОС какой версии?

                            3.7.4

                            1 Reply Last reply Reply Quote 0
                            • P
                              pigbrother @mrDick
                              last edited by pigbrother

                              @mrdick said in Не вижу подсеть клиента OpenVPN:

                              170.1.2.2.

                              Это же не "серый" адрес!
                              диапазон: 170.1.0.0 - 170.1.255.255
                              принадлежит
                              Columbia Health Care

                              И уходит в интернет:
                              Адрес назначения 170.1.2.0/24 - Шлюз 0.0.0.0

                              M 1 Reply Last reply Reply Quote 0
                              • M
                                mrDick @pigbrother
                                last edited by

                                @pigbrother said in Не вижу подсеть клиента OpenVPN:

                                @mrdick said in Не вижу подсеть клиента OpenVPN:

                                170.1.2.2.

                                Это же не "серый" адрес!
                                диапазон: 170.1.0.0 - 170.1.255.255
                                принадлежит
                                Columbia Health Care

                                Это IPv4 Сеть Туннеля

                                P 1 Reply Last reply Reply Quote 0
                                • P
                                  pigbrother @mrDick
                                  last edited by pigbrother

                                  @mrdick said in Не вижу подсеть клиента OpenVPN:

                                  Это IPv4 Сеть Туннеля

                                  И она не должна использовать"белые адреса"

                                  M 1 Reply Last reply Reply Quote 0
                                  • M
                                    mrDick @pigbrother
                                    last edited by

                                    @pigbrother said in Не вижу подсеть клиента OpenVPN:

                                    И она не должна использовать"белые адреса"

                                    Поменял на 10.0.8.0/24
                                    Пинга так и нет(

                                    1 Reply Last reply Reply Quote 0
                                    • M
                                      mrDick
                                      last edited by

                                      В маршрутизации на кинетике всё по старому

                                      P 1 Reply Last reply Reply Quote 0
                                      • P
                                        pigbrother @mrDick
                                        last edited by

                                        @mrdick said in Не вижу подсеть клиента OpenVPN:

                                        Это интерфейс USB модема, подключенного к кинетику.

                                        Это я вижу. Непонятно, почему
                                        ip static Home CdcEthernet0
                                        не дает доступа в интернет.

                                        @mrdick Я поделился всем, чем мог. У меня на 2-х площадках такое работает.

                                        Можно, конечно, перевести\создать сервер "правильно" - Peer to Peer, но дело, имхо, не в этом.

                                        P.S. покажите что в Client Specific Overrides

                                        M 1 Reply Last reply Reply Quote 0
                                        • M
                                          mrDick @pigbrother
                                          last edited by

                                          @pigbrother said in Не вижу подсеть клиента OpenVPN:

                                          P.S. покажите что в Client Specific Overrides

                                          1_1.png
                                          1_2.png
                                          1_3.png

                                          P 1 Reply Last reply Reply Quote 0
                                          • P
                                            pigbrother @mrDick
                                            last edited by

                                            @mrdick В Common Name и выборе сервера не ошиблись?

                                            M 1 Reply Last reply Reply Quote 1
                                            • First post
                                              Last post