OpenVPN туннель между филиалами

stranger61 · Apr 5, 2012, 7:19 AM

При трассеровке удаленного сервра: с офисного PF заворачивает в сеть провайдера

При трассировке удаленного сервера с локального компа офиса 1-й узел это офисный PF а 2-й, это удаленный LAN PF сервера филала, т.е. всё нормально! ???

Т.Е трассировка до узла 192.168.10.1(LAN PF филиала) с PF офиса:
Traceroute output:
1 193.214.221.83.static.donpac.ru (83.221.214.193) 28.563 ms 28.990 ms 28.767 ms
2 238.214.221.83.static.donpac.ru (83.221.214.238) 27.676 ms 28.407 ms 28.559 ms

трассировка до узла 192.168.10.1 с локального компа офиса:
1 <1 мс <1 мс <1 мс pfsense [192.168.1.1]
2 79 ms 79 ms 79 ms apfsense [192.168.10.1]

Трассировка завершена.

Трассировка к удаленному компу с локального компа
Трассировка маршрута к 192.168.10.254 с максимальным числом прыжков 30

1 <1 мс <1 мс <1 мс pfsense [192.168.1.1]
2 * * * Превышен интервал ожидания для запроса.

gr0mW · Apr 5, 2012, 8:40 AM

А настройки Tunnel Network и Remote network и Advanced Options сервера и клиента можно?

stranger61 · Apr 5, 2012, 10:29 AM

Не удалось сюда прекрепить, поэтому выкладываю на сайт:
Http://www.medrostov.ru/temp/IpSec.doc

gr0mW · Apr 5, 2012, 12:27 PM

Извиняюсь я спрашивал о настройках openVPN. А правило на Wan apfsense есть? И посмотрите маски.

stranger61 · Apr 5, 2012, 1:04 PM

OpenVpn я снес поднял IpSec, сейчас опять настрою OpenVPN.

stranger61 · Apr 5, 2012, 2:02 PM

Выложил настройки серваеров филиала и офиса. Там-же написал комментарии.
И, вот теперь подробнее, какое правило должно быть на Wan apfsens ( это филиал) ???
www.medrostov.ru/temp/OpenVPN.doc
Правила в NAT у меня идентичные (только поправка на сети) на обоих концах.
ROSTELEKOM 192.168.1.0/24 * * 500 * * YES Auto created rule for ISAKMP - LOCAL to ROSTELEKOM
ROSTELEKOM 192.168.1.0/24 * * * * * NO Auto created rule for LOCAL to ROSTELEKOM
ROSTELEKOM 127.0.0.0/8 * * * * 1024:65535 NO Auto created rule for localhost to ROSTELEKOM

Если имелось в виду открыть в файерволе порт для подключения удаленного сервера (в моем случае 1196) то конечно открыл - иначе туннель не поднимется :)

gr0mW · Apr 5, 2012, 2:24 PM

пост http://forum.pfsense.org/index.php/topic,47213.0.html
посмотрите инструкцию http://dl.dropbox.com/u/31243894/openvpn_pfsense.doc

gr0mW · Apr 5, 2012, 2:42 PM

Попробуйте в Advanced configuration сервера прописать route 192.168.10.0 255.255.255.0; push "route 192.168.1.0 255.255.255.0"

stranger61 · Apr 5, 2012, 3:33 PM

Настраивал и согласно этой инструкции и согласно поста и не раз (за 3 недели то).

Перенастроил согласно инструкции, вывалил маршрут к удаленной сетке в Advansed установил галку Inter-client communication

Получил следующую конфигурацию в /var/etc/openvpn/server1.conf в офисе:

dev ovpns1
dev-type tun
dev-node /dev/tun1
writepid /var/run/openvpn_server1.pid
#user nobody
#group nobody
script-security 3
daemon
keepalive 10 60
ping-timer-rem
persist-tun
persist-key
proto udp
cipher AES-128-CBC
up /usr/local/sbin/ovpn-linkup
down /usr/local/sbin/ovpn-linkdown
local 109.165.56.208
tls-server
server 10.0.0.0 255.255.255.0
client-config-dir /var/etc/openvpn-csc
lport 1196
management /var/etc/openvpn/server1.sock unix
push "route 192.168.1.0 255.255.255.0"
client-to-client
ca /var/etc/openvpn/server1.ca
cert /var/etc/openvpn/server1.cert
key /var/etc/openvpn/server1.key
dh /etc/dh-parameters.1024
route 192.168.10.0 255.255.255.0

и
конфигурацию в /var/etc/openvpn/client1.conf в филиале:
dev ovpnc1
dev-type tun
dev-node /dev/tun1
writepid /var/run/openvpn_client1.pid
#user nobody
#group nobody
script-security 3
daemon
keepalive 10 60
ping-timer-rem
persist-tun
persist-key
proto udp
cipher AES-128-CBC
up /usr/local/sbin/ovpn-linkup
down /usr/local/sbin/ovpn-linkdown
local 192.168.2.2
tls-client
client
lport 0
management /var/etc/openvpn/client1.sock unix
remote *****.mine.nu 1196
ifconfig 10.0.0.2 10.0.0.1
route 192.168.1.0 255.255.255.0
ca /var/etc/openvpn/client1.ca
cert /var/etc/openvpn/client1.cert
key /var/etc/openvpn/client1.key

В итоге:

Из филиала удаленные машины как не откликались так и не откликаются
с PF офиса нет ответа ни от удаленного PF ни от удаленной машины
с PF филиала есть ответ от машин офиса.

Маршруты прилагаю!
1-й скрин маршрутф офиса, второй маршруты филиала.

stranger61 · Apr 5, 2012, 3:36 PM

@gr0mW:

Попробуйте в Advanced configuration сервера прописать route 192.168.10.0 255.255.255.0; push "route 192.168.1.0 255.255.255.0"

В Advansed в данном случае это прописывать нет необходимости, как видно из конф файлов они добавляются при заполнении соответсвующих полей. Таким образом мы либо заполняем поля в вебморде, либо пишем маршруты ручками в Advansed!!!!!

gr0mW · Apr 5, 2012, 7:13 PM

У меня при практически ваших настройках все прекрасно работает. А local на клиенте 192.168.2.2 это что? У меня в /var/etc/openvpn/client1.conf local –-- внешний IP (остальное совпадает, кроме шифрования).

stranger61 · Apr 6, 2012, 4:07 AM

На клиенте local 192.168.2.2 - это статика от ADSL маршрутизатора.. я об этом выше упоминал. т.е. в филиале у меня сначала стоит DSL маршрутизатор (Зухель 660 кажись)

Интернет–----(dsl link PPPoE)Зухель6600(LAN Link 192.168.2.1)---(192.168.2.2 WAN)PFSENSE(192.168.10.1 LanLink) -----Локальная сеть филиала/

Вот такая интересная вещь получается: Запустил Packet Capture на WAN интерфейсе на стороне филиала, у себя пингую машину в удаленной сети, получил следующее:

08:04:16.865875 IP 109.165.56.208 > 83.221.214.195: ICMP echo request, id 10434, seq 16919, length 44
08:04:16.896754 IP 83.221.214.195 > 109.165.56.208: ICMP echo reply, id 10434, seq 16919, length 44
08:04:17.870320 IP 109.165.56.208 > 83.221.214.195: ICMP echo request, id 10434, seq 17175, length 44
08:04:17.899273 IP 83.221.214.195 > 109.165.56.208: ICMP echo reply, id 10434, seq 17175, length 44
08:04:18.875059 IP 109.165.56.208 > 83.221.214.195: ICMP echo request, id 10434, seq 17431, length 44
08:04:18.905571 IP 83.221.214.195 > 109.165.56.208: ICMP echo reply, id 10434, seq 17431, length 44

где 109.165.56.208 - IP интернет соединения в офисе, а 83.221.214.195 шлюз для интернет подключения филиала!!!!!!!!

т.Е. получается что при пинге из офиса у меня пакеты проходят по тунелю до удаленного сервера и там заворачиваются на WAN интерфейс, а должны на LAN!!!!!!!!!!!!!!!!!!!

gr0mW · Apr 6, 2012, 6:37 AM

А вариант Зухель в бридж возможен или нет?

stranger61 · Apr 6, 2012, 7:16 AM

Попытаться можно - но надо ехать в другой город.. там нет местных админов! :( С другой стороны должно работать и так! Но почему-то не работает! :(

Сейчас буду думать почему пакеты заворачиваются не на LAN интерфейс, а на WAN! Скорее вс его тут затык, как я и предполагал!. Можешь скинуть скрин правил NAT которые у тебя стоят на одном конце и на другом! Пока по скринам, если всё одинаково будет, то буду смотреть конф файл! :(

gr0mW · Apr 6, 2012, 9:28 AM

Правило Firewall: NAT: Outbound для openVPN в филиале случайно не стоит? Попробуйте его удалить. У меня не натится openVPN. Только правила на интерфейсах.

stranger61 · Apr 6, 2012, 12:36 PM

Не помогает! По идее на филиальном PF вообще не нужен NAT ибо этим занимается ADSL модем.

Но я тут игрался с NAT правилами и у меня в какой-то момент всё заработало.. что сделал не знаю… сейчас уже 2 часа пытаюсь повторить эту ситуацию и не получается :))))))

stranger61 · Apr 7, 2012, 9:29 AM

В общем получилось после добавления опеределенных правил NAT Outbond. Как только разберусь почему сразу выложу сюда!

Единственно что сейчас при попытке выйти по RDP на удаленный сервак - канал рвется… буду разбираться почему!

dr.gopher · Apr 7, 2012, 10:41 AM

Вам выше писали - поставить Адсл модемы (2шт) в режим моста.

Можно попробовать потрфорвардинг с АДСЛ модемов на PfSense

stranger61 · Apr 7, 2012, 10:44 AM

В общем как сделать туннель между серверами тут и без меня очень много написано, но вот если один из серверов стоит за NAT (в моем случае это ADSL модем) локальной сетки этого сервера не видно. Мне помогло следующее:
Я добавил в правила NAT Outbound следующее:
Interface Source Source Port Destination Destination Port NAT Address NAT Port Static Port
OpenVPN any * 192.168.10.0/24 * * * NO
LAN 192.168.1.0/24 * * * * * NO

Удаленные компы пингуются без проблем! Но теперь появилась другая проблема - при хотя-бы попытке выйти в RDP на удаленный сервер - канал OpenVPN падает и в логах ничего не пишется!

Может кто сталкивался с падением канала при начале обмена трафиком между сетями .. подскажите плз!

stranger61 · Apr 7, 2012, 10:46 AM

@dr.gopher:

Вам выше писали - поставить Адсл модемы (2шт) в режим моста.

Можно попробовать потрфорвардинг с АДСЛ модемов на PfSense

У меня нет сейчас возможности управлять ADSL модемом - всё это стоит в другом городе, ехать туда у меня сейчас нет возможности, Найти специалиста который бы в другом городе могбы перепрограммировать ADSL модем и перенастроить сервер - нет возможности! :(

На самом деле на модеме достаточно IP PF сервера добавить в DMZ если я всё правильно понимаю!