Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Маршрутизация OVPN

    Scheduled Pinned Locked Moved Russian
    23 Posts 3 Posters 9.0k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • D
      dimonw
      last edited by

      @alexandrnew:

      1 являются шлюзом для кого?  у них кто шлюзом является?
      2 туннель построен между 192.168.5.1 и 5.2 ?
      3 если на них не можете прописать маршруты - что это за железки, если не секрет? свитчи? может портмаппинг на них?

      1 и 3 : да извиняюсь , картина не полная .. поправил.. к SIEMENS и CISCO доступ не имею.
      2 : ну выделена вся подсеть но используются только первые 2 IP, OVPN построен на SHARED-KEY

      1 Reply Last reply Reply Quote 0
      • A
        alexandrnew
        last edited by

        если у cisco  шлюз пфсенс1, а у сименса - что то другое, то девайсы друг -друга не увидят, без прописывания на сименсе маршрута,
        я бы сделал с помощью нат на пфсенсе2, т.е. все запросы к сименсу шли бы от ипа пфсенса2, в обратную сторону - пришлось бы промапить порты, по другому - врядли..

        1 Reply Last reply Reply Quote 0
        • D
          dimonw
          last edited by

          @alexandrnew:

          если у cisco  шлюз пфсенс1, а у сименса - что то другое, то девайсы друг -друга не увидят, без прописывания на сименсе маршрута,
          я бы сделал с помощью нат на пфсенсе2, т.е. все запросы к сименсу шли бы от ипа пфсенса2, в обратную сторону - пришлось бы промапить порты, по другому - врядли..

          угу .. спасибо .тогда вопрос номер 2 как сделать что бы PF-2 увидел cisco ? прописывать ему на eth-lan еще один IP из 192.168.10.0/24 подсети?

          1 Reply Last reply Reply Quote 0
          • A
            alexandrnew
            last edited by

            зачем?
            в опенвпн надо прописать маршруты, при настройке local\remote network прописывали?
            буквально недавно пробегала тема в русской ветке
            з.ы. сразу не замети - с учетом того что у вас оба девайса имеют локальную сеть одинаковую -192.168.10.100 и 192.168.10.101  - то в принципе есть вариант настройки туннеля что бы девайсы видели друг друга, но для этого:
            надо что бы пфсенсы имели сетевую в локальной сети (192.168.10.х) и надо четко понимать чем грозит такое обеднение.
            т.е. если вы не админ обоих сетей - лучше не рисковать :)

            1 Reply Last reply Reply Quote 0
            • D
              dimonw
              last edited by

              @alexandrnew:

              зачем?
              в опенвпн надо прописать маршруты, при настройке local\remote network прописывали?
              буквально недавно пробегала тема в русской ветке
              з.ы. сразу не замети - с учетом того что у вас оба девайса имеют локальную сеть одинаковую -192.168.10.100 и 192.168.10.101  - то в принципе есть вариант настройки туннеля что бы девайсы видели друг друга, но для этого:
              надо что бы пфсенсы имели сетевую в локальной сети (192.168.10.х) и надо четко понимать чем грозит такое обеднение.
              т.е. если вы не админ обоих сетей - лучше не рисковать :)

              ну так не вопрос дописать еще один IP на eth-lan можно```
              ifconfig de0 inet 192.168.10.1 netmask 255.255.255.0 alias (где de0 интерфейст LAN)

              а в  local\remote network прописаны внутренние сети 192.168.xxx.xxx . или можно через кустомы в настройках OVPN еще добавить сети ?
              
              > с учетом того что у вас оба девайса имеют локальную сеть одинаковую -192.168.10.100 и 192.168.10.101  - то в принципе есть вариант настройки туннеля что бы девайсы видели друг друга
              
              можно по подробнее про случай
              
              > т.е. если вы не админ обоих сетей - лучше не рисковать :)
              
              хм, а чем грозит как кроме безопасности? . если только этим то меня устроит , так как в дальнейших планах брать у провайдера прямую нитку на оптике между 2мя точками. и уже тогда всё разруливать в одной подсети . на данный момент пока что не могу бриджевать OVPN c LAN . в обоих сетях на PF DHCP-server. и боюсь каши. между ними
              1 Reply Last reply Reply Quote 0
              • A
                alexandrnew
                last edited by

                читать разницу между tap\tun
                по бриджеванию - http://doc.pfsense.org/index.php/OpenVPN_Bridging
                не должно быть пересечений ипов, так как при tap и бриджевании - у вас будет как бы физический кабель между локальными интерфейсами пфсенсов.

                1 Reply Last reply Reply Quote 0
                • D
                  dimonw
                  last edited by

                  @alexandrnew:

                  читать разницу между tap\tun
                  по бриджеванию - http://doc.pfsense.org/index.php/OpenVPN_Bridging
                  не должно быть пересечений ипов, так как при tap и бриджевании - у вас будет как бы физический кабель между локальными интерфейсами пфсенсов.

                  да я в курсе .. я так и хочу длать . но только когда провайдер предоставит прямую нитку между 2-мя точками . на данный момент точки между собой пока связаны только по OVPN в режиме tun

                  1 Reply Last reply Reply Quote 0
                  • D
                    dvserg
                    last edited by

                    По сколько физических интерфейсов на pfSense ? По три ?

                    SquidGuardDoc EN  RU Tutorial
                    Localization ru_PFSense

                    1 Reply Last reply Reply Quote 0
                    • D
                      dimonw
                      last edited by

                      @dvserg:

                      По сколько физических интерфейсов на pfSense ? По три ?

                      физических  LAN u WAN

                      1 Reply Last reply Reply Quote 0
                      • D
                        dvserg
                        last edited by

                        @dimonw:

                        @dvserg:

                        По сколько физических интерфейсов на pfSense ? По три ?

                        физических  LAN u WAN

                        Я бы предложил более правильную с точки зрения топологии схему
                        [CISCO]<–>[WAN PFSense1 LAN]<–>LAN subnet
                        [OPT1-1] <–openvpn--> [OPT2-1]

                        [SIEMENS]<–>[WAN PFSense2 LAN]<–>LAN subnet

                        • PFSense включаются между основным маршрутизатором и локалкой
                        • LAN и WAN интерфейсы бриждуются
                        • Между собой PFSense соединены по 3-им OPT1 интерфейсам
                        • Трафик LAN - WAN разрешен любой, но перед этим стоят правила PoliceRouting для заворачивания локального трафика для удаленной подсети на OPT(OPENVPN) интерфейс.

                        SquidGuardDoc EN  RU Tutorial
                        Localization ru_PFSense

                        1 Reply Last reply Reply Quote 0
                        • D
                          dimonw
                          last edited by

                          • PFSense включаются между основным маршрутизатором и локалкой

                          да как бы PF и являются основными роутаками в 2х разных филиалах

                          1 Reply Last reply Reply Quote 0
                          • D
                            dvserg
                            last edited by

                            @dimonw:

                            • PFSense включаются между основным маршрутизатором и локалкой

                            да как бы PF и являются основными роутаками в 2х разных филиалах

                            Тогда схема не очень понятно нарисована, по крайней мере мне. Где локалка, где инет, как трафик должен ходить..

                            SquidGuardDoc EN  RU Tutorial
                            Localization ru_PFSense

                            1 Reply Last reply Reply Quote 0
                            • A
                              alexandrnew
                              last edited by

                              про бридж опенвпн, может автору поможет :) http://xgu.ru/wiki/OpenVPN_Bridge

                              1 Reply Last reply Reply Quote 0
                              • D
                                dimonw
                                last edited by

                                @alexandrnew:

                                про бридж опенвпн, может автору поможет :) http://xgu.ru/wiki/OpenVPN_Bridge

                                ну я же написал что БРИДЖ на данном этапе мне не подходит. на данный момент это 2 сети  в которых стоят DHCP server-PF. соответственно если их бриджануть то начнется кашa.  DHCP-relay не подходи. по тому что если связь оборвется между офисами DHCP соответственно встанет.

                                накидал более подробную картину .. может так будет понятнее?

                                собственно задача в том что бы CISCO B SIEMENS смогли видеть друг друга

                                1 Reply Last reply Reply Quote 0
                                • A
                                  alexandrnew
                                  last edited by

                                  у дхцп можно разделить диапазонами, привязать статику под маки и тд..
                                  в вашем случае - уже написал - только нат, поять таки надо убирать автоматическое правило ната и делать нат правила на пфсенсе2 вручную

                                  1 Reply Last reply Reply Quote 0
                                  • D
                                    dimonw
                                    last edited by

                                    @alexandrnew:

                                    у дхцп можно разделить диапазонами, привязать статику под маки и тд..

                                    предоставленными средствами управление DHCP я не смогу указать определнным MAC адресам разные ШЛЮЗЫ.

                                    1 Reply Last reply Reply Quote 0
                                    • D
                                      dvserg
                                      last edited by

                                      То есть у Вас за Сиеменсом и Циско одинаковые подсети ЛАН ?
                                      Не думаю, что получится сделать такую маршрутизацию простыми средствами (кроме объединения сетей бриджем).
                                      Нужно в одной из сетей сменить диапазон, чтобы не перекрывался.

                                      SquidGuardDoc EN  RU Tutorial
                                      Localization ru_PFSense

                                      1 Reply Last reply Reply Quote 0
                                      • D
                                        dimonw
                                        last edited by

                                        @dvserg:

                                        Нужно в одной из сетей сменить диапазон, чтобы не перекрывался.

                                        ну даже если я сменю и укажу общий диапазон и сделаю БРИДЖ . как я буду указывать что клиентам из сети 1 получать шлюз ПФ1 а в сети 2 шлюз ПФ2 ?

                                        1 Reply Last reply Reply Quote 0
                                        • A
                                          alexandrnew
                                          last edited by

                                          @dvserg:

                                          То есть у Вас за Сиеменсом и Циско одинаковые подсети ЛАН ?
                                          Не думаю, что получится сделать такую маршрутизацию простыми средствами (кроме объединения сетей бриджем).
                                          Нужно в одной из сетей сменить диапазон, чтобы не перекрывался.

                                          даже в таком случае - у него у сименса другой шлюз, не пфсенс, и пропсать маршрут на сименсе он не может…

                                          1 Reply Last reply Reply Quote 0
                                          • D
                                            dvserg
                                            last edited by

                                            @dimonw:

                                            @dvserg:

                                            Нужно в одной из сетей сменить диапазон, чтобы не перекрывался.

                                            ну даже если я сменю и укажу общий диапазон и сделаю БРИДЖ . как я буду указывать что клиентам из сети 1 получать шлюз ПФ1 а в сети 2 шлюз ПФ2 ?

                                            А что за железки сименс и циско? Зачем они нужны ДО PFSEnse ?

                                            SquidGuardDoc EN  RU Tutorial
                                            Localization ru_PFSense

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.