OpenVPN e client in DMZ

tinex

Salve a tutti,
sono da poco iscritto al forum e volevo , come tanti altri, sottoporvi un problema con pfsense:

-Installazione di pfsense con 3 schede : WAN-LAN-DMZ e i servizi attivi sono squid proxy, openvpn , OpenNTPD. Per le specifiche di rete vedi immagine allegata.
Quando mi collego con openvpn , tutto funziona molto bene, riesco a pingare i client in lan tranquillamente, ma se tento di accedere al client che si trova in DMZ non riesco a raggiungerlo,
nemmeno impostando una regola ad hoc sulla LAN. Mi chiedo se ciò sia normale anche se sulle impostazioni di openvpn (vedi immagine allegata) alle voce "Local Network" ho impostato quello della lan 192.168.1.0/24.,
che tramite delle regole ad hoc accedde al client dmz.
Spero di essermi spiegato. (non sono una cima a spiegare ;D)
Grazie

TRINITY_openvpn.gif_thumb

bruno.piras

I client della kan pingano la dmz? Hai provato con le regole di routing?

tinex

Si dai client della LAN riesco a pingare il client in dmz. Per le configurazioni che ho impostato su NAT-WAN-LAN-DMZ- vi lascio degli screenshot..
ma non penso sia questo il problema e vi spiego perchè. Leggendo la documentazione di openvpn ed in particolare il file di configurazione lato server di openvpn , ho controllato le
impostazioni (vedi immagine configurazione openvpn) di push route che sono impostate. Effettivamente se voglio poter accedere anche alla network 192.168.5.0/24 cioè quella della DMZ
dovrei aggiungere la direttiva push "route 192.168.5.0 255.255.255.0" ma da interfaccia grafica non è possibile aggiungere una seconda route quindi dovrei aggiungerlo al file di configurazione in /var/etc/openvpn_server0.conf. Io ho provato a fare la modifica e per renderla effettiva (non sapendo il comando per restartare il servizio openvpn) ho riavviato pfsense.
Risultato: la modifica che ho fatto è sparita , come se il file di configurazione fosse stato riscritto !?! ???

Ora chiedo ai più esperti se è possibile fare questa modifica sul file di configurazione in maniera corretta senza che questa venga sovrascritta oppure esiste un workaround ?!?
Grazie mille

dal sito http://www.linuxguide.it/docs.php?Networking:VPN:OpenVPN

La direttiva push route abilita i clients a raggiungere la rete dichiarata

Supponiamo di voler permettere ai clients vpn di comunicare con le reti

192.168.10.0/24 e 172.16.10.0/24

push "route 192.168.10.0 255.255.255.0"
push "route 172.16.10.0 255.255.255.0"

pfsense_nat.GIF_thumb

pfsense_wan_rule.GIF_thumb

pfsense_lan_rule.GIF_thumb

pfsense_dmz_rule.GIF_thumb

pfsense_openvpn_config.GIF_thumb

tinex

Ho trovato qualche cosa che forse può risolvere il problema, ma non ne sono sicuro per questo chiedo a voi :

nelle opzioni di openvpn c'è la voce "Custom Option", magari aggiungendo li la voce```
push "route 192.168.5.0 255.255.255.0"


Grazie Ancora

![pfsense_openvpn_custom_opt.GIF](/public/_imported_attachments_/1/pfsense_openvpn_custom_opt.GIF)
![pfsense_openvpn_custom_opt.GIF_thumb](/public/_imported_attachments_/1/pfsense_openvpn_custom_opt.GIF_thumb)

bruno.piras

Dovrebbe funzionare, ma mi sembra strano che se vai a fare la configurazione in command line non te la salvi. Potresti prova il comando rehash, naturalmente se accedi in ssh usi VI per modificare il file a mano e aggiungere tutto quello che vuoi giusto?

Comunque le custom options sono fatte proprio per quello quindi prova. guai non ne combini di certo. Una curiosita' ma usi la vpn anche per i palmari aziendali?

tinex

Perfetto funziona alla grande, con il comando aggiuntivo sulle custom option , anche dopo un riavvio di pfsense.

push "route 192.168.5.0 255.255.255.0"

Non ho provato a fare il rehash da ssh e quindi non so se la modifica al file di configurazione di openvpn , dopo riavvio, venga mantenuta.

Grazie bruno.piras e a tutti gli altri per il supporto, e no non uso palmari aziendali per questa implementazione di pfsense