Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN туннель между филиалами

    Scheduled Pinned Locked Moved Russian
    38 Posts 7 Posters 15.7k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • G
      gr0mW
      last edited by

      пост http://forum.pfsense.org/index.php/topic,47213.0.html
      посмотрите инструкцию http://dl.dropbox.com/u/31243894/openvpn_pfsense.doc

      1 Reply Last reply Reply Quote 0
      • G
        gr0mW
        last edited by

        Попробуйте в Advanced configuration сервера прописать route 192.168.10.0 255.255.255.0; push "route 192.168.1.0 255.255.255.0"

        1 Reply Last reply Reply Quote 0
        • S
          stranger61
          last edited by

          Настраивал и согласно этой инструкции и согласно поста и не раз (за 3 недели то).

          Перенастроил согласно инструкции, вывалил маршрут к удаленной сетке  в Advansed установил галку Inter-client communication

          Получил следующую конфигурацию в /var/etc/openvpn/server1.conf в офисе:

          dev ovpns1
          dev-type tun
          dev-node /dev/tun1
          writepid /var/run/openvpn_server1.pid
          #user nobody
          #group nobody
          script-security 3
          daemon
          keepalive 10 60
          ping-timer-rem
          persist-tun
          persist-key
          proto udp
          cipher AES-128-CBC
          up /usr/local/sbin/ovpn-linkup
          down /usr/local/sbin/ovpn-linkdown
          local 109.165.56.208
          tls-server
          server 10.0.0.0 255.255.255.0
          client-config-dir /var/etc/openvpn-csc
          lport 1196
          management /var/etc/openvpn/server1.sock unix
          push "route 192.168.1.0 255.255.255.0"
          client-to-client
          ca /var/etc/openvpn/server1.ca
          cert /var/etc/openvpn/server1.cert
          key /var/etc/openvpn/server1.key
          dh /etc/dh-parameters.1024
          route 192.168.10.0 255.255.255.0

          и
          конфигурацию в /var/etc/openvpn/client1.conf  в филиале:
          dev ovpnc1
          dev-type tun
          dev-node /dev/tun1
          writepid /var/run/openvpn_client1.pid
          #user nobody
          #group nobody
          script-security 3
          daemon
          keepalive 10 60
          ping-timer-rem
          persist-tun
          persist-key
          proto udp
          cipher AES-128-CBC
          up /usr/local/sbin/ovpn-linkup
          down /usr/local/sbin/ovpn-linkdown
          local 192.168.2.2
          tls-client
          client
          lport 0
          management /var/etc/openvpn/client1.sock unix
          remote *****.mine.nu 1196
          ifconfig 10.0.0.2 10.0.0.1
          route 192.168.1.0 255.255.255.0
          ca /var/etc/openvpn/client1.ca
          cert /var/etc/openvpn/client1.cert
          key /var/etc/openvpn/client1.key

          В итоге:

          • Из филиала удаленные машины как не откликались так и не откликаются
          • с PF офиса нет ответа ни от удаленного PF ни от удаленной машины
          • с PF филиала есть ответ от машин офиса.

          Маршруты прилагаю!
          1-й скрин маршрутф офиса, второй маршруты филиала.

          oroutes.jpg
          oroutes.jpg_thumb
          froutes.jpg
          froutes.jpg_thumb

          Ride to live, live to ride!

          1 Reply Last reply Reply Quote 0
          • S
            stranger61
            last edited by

            @gr0mW:

            Попробуйте в Advanced configuration сервера прописать route 192.168.10.0 255.255.255.0; push "route 192.168.1.0 255.255.255.0"

            В Advansed в данном случае это прописывать нет необходимости, как видно из конф файлов они добавляются при заполнении соответсвующих полей. Таким образом мы либо заполняем поля в вебморде, либо пишем маршруты ручками в Advansed!!!!!

            Ride to live, live to ride!

            1 Reply Last reply Reply Quote 0
            • G
              gr0mW
              last edited by

              У меня при практически ваших настройках все прекрасно работает.  А local на клиенте 192.168.2.2 это что? У меня в  /var/etc/openvpn/client1.conf  local –-- внешний IP (остальное совпадает, кроме шифрования).

              1 Reply Last reply Reply Quote 0
              • S
                stranger61
                last edited by

                На клиенте local 192.168.2.2 - это статика от ADSL маршрутизатора.. я об этом выше упоминал. т.е. в филиале у меня сначала стоит DSL маршрутизатор (Зухель 660 кажись)

                Интернет–----(dsl link PPPoE)Зухель6600(LAN Link 192.168.2.1)---(192.168.2.2 WAN)PFSENSE(192.168.10.1 LanLink) -----Локальная сеть филиала/

                Вот такая интересная вещь получается: Запустил Packet Capture на WAN интерфейсе на стороне филиала, у себя пингую машину в удаленной сети, получил следующее:

                08:04:16.865875 IP 109.165.56.208 > 83.221.214.195: ICMP echo request, id 10434, seq 16919, length 44
                08:04:16.896754 IP 83.221.214.195 > 109.165.56.208: ICMP echo reply, id 10434, seq 16919, length 44
                08:04:17.870320 IP 109.165.56.208 > 83.221.214.195: ICMP echo request, id 10434, seq 17175, length 44
                08:04:17.899273 IP 83.221.214.195 > 109.165.56.208: ICMP echo reply, id 10434, seq 17175, length 44
                08:04:18.875059 IP 109.165.56.208 > 83.221.214.195: ICMP echo request, id 10434, seq 17431, length 44
                08:04:18.905571 IP 83.221.214.195 > 109.165.56.208: ICMP echo reply, id 10434, seq 17431, length 44

                где 109.165.56.208 - IP интернет соединения в офисе, а 83.221.214.195 шлюз для интернет подключения филиала!!!!!!!!

                т.Е. получается что при пинге из офиса у меня пакеты проходят по тунелю до удаленного сервера и там заворачиваются на WAN интерфейс, а должны на LAN!!!!!!!!!!!!!!!!!!!

                Ride to live, live to ride!

                1 Reply Last reply Reply Quote 0
                • G
                  gr0mW
                  last edited by

                  А вариант Зухель в бридж возможен или нет?

                  1 Reply Last reply Reply Quote 0
                  • S
                    stranger61
                    last edited by

                    Попытаться можно - но надо ехать в другой город.. там нет местных админов! :(  С другой стороны должно работать и так! Но почему-то не работает! :(

                    Сейчас буду думать почему пакеты заворачиваются не на LAN интерфейс, а на WAN! Скорее вс его тут затык, как я и предполагал!. Можешь скинуть скрин правил NAT которые у тебя стоят на одном конце и на другом!  Пока по скринам, если всё одинаково будет, то буду смотреть конф файл! :(

                    Ride to live, live to ride!

                    1 Reply Last reply Reply Quote 0
                    • G
                      gr0mW
                      last edited by

                      Правило Firewall: NAT: Outbound для openVPN в филиале случайно не стоит? Попробуйте его удалить. У меня не натится openVPN. Только правила на интерфейсах.

                      1 Reply Last reply Reply Quote 0
                      • S
                        stranger61
                        last edited by

                        Не помогает! По идее на филиальном PF вообще не нужен NAT ибо этим занимается ADSL модем.

                        Но я тут игрался с NAT правилами и у меня в какой-то момент всё заработало.. что сделал не знаю… сейчас уже 2 часа пытаюсь повторить эту ситуацию и не получается :))))))

                        Ride to live, live to ride!

                        1 Reply Last reply Reply Quote 0
                        • S
                          stranger61
                          last edited by

                          В общем получилось после добавления опеределенных правил NAT Outbond. Как только разберусь почему сразу выложу сюда!

                          Единственно что сейчас при попытке выйти по RDP на удаленный сервак - канал рвется… буду разбираться почему!

                          Ride to live, live to ride!

                          1 Reply Last reply Reply Quote 0
                          • D
                            dr.gopher
                            last edited by

                            Вам выше писали - поставить Адсл модемы (2шт) в режим моста.

                            Можно попробовать потрфорвардинг с АДСЛ модемов на PfSense

                            FAQ PfSense 2.0

                            И не забываем про Adblock дабы не видеть баннеров.

                            И многое другое на www.thin.kiev.ua

                            1 Reply Last reply Reply Quote 0
                            • S
                              stranger61
                              last edited by

                              В общем как сделать туннель между серверами тут и без меня очень много написано, но вот если один из серверов стоит за NAT (в моем случае это ADSL модем) локальной сетки этого сервера не видно. Мне помогло следующее:
                              Я добавил в правила NAT Outbound следующее:
                              Interface   Source           Source Port      Destination           Destination Port     NAT Address    NAT Port    Static Port
                              OpenVPN   any             *            192.168.10.0/24     *                        *         * NO  
                              LAN     192.168.1.0/24 *             *                *                        *         * NO

                              Удаленные компы пингуются без проблем! Но теперь появилась другая проблема - при хотя-бы попытке выйти в RDP на удаленный сервер - канал OpenVPN падает и в логах ничего не пишется!

                              Может кто сталкивался с падением канала при начале обмена трафиком между сетями .. подскажите плз!

                              Ride to live, live to ride!

                              1 Reply Last reply Reply Quote 0
                              • S
                                stranger61
                                last edited by

                                @dr.gopher:

                                Вам выше писали - поставить Адсл модемы (2шт) в режим моста.

                                Можно попробовать потрфорвардинг с АДСЛ модемов на PfSense

                                У меня нет сейчас возможности управлять ADSL модемом - всё это стоит в другом городе, ехать туда у меня сейчас нет возможности, Найти специалиста который бы в другом городе могбы перепрограммировать ADSL модем и перенастроить сервер - нет возможности! :(

                                На самом деле на модеме достаточно IP PF сервера добавить в DMZ если я всё правильно понимаю!

                                Ride to live, live to ride!

                                1 Reply Last reply Reply Quote 0
                                • A
                                  Andresito
                                  last edited by

                                  великие гуру есть сеть на рисунке она изображена.
                                  задача с чтобы с локальной сети офиса могли подключится к видео наблюдению. что нужно из маршрутов прописать.
                                  os на server A Pfsense 2.0
                                  os на server B Debian 6
                                  os на server C ubuntu server 11.
                                  помогите срочно нужно решить проблему
                                  с Sever B ping 192,168,2,3 проходит
                                  с локальный тачки 192,168,0,3 видели этот ip

                                  ????.jpg
                                  ????.jpg_thumb

                                  1 Reply Last reply Reply Quote 0
                                  • A
                                    Andresito
                                    last edited by

                                    ??? что не кто не подскажет?

                                    1 Reply Last reply Reply Quote 0
                                    • G
                                      gr0mW
                                      last edited by

                                      vpn поднят на А или В?

                                      1 Reply Last reply Reply Quote 0
                                      • S
                                        stranger61
                                        last edited by

                                        2 раза смотался в другой город пока настривал удаленный сервак: сборисил всё в default, настроил всё по новой. D заводские настройки сбросил обе стороны в итоге ситуация ни капельки не изменилась! Уже ума не приложу где могут быть грабли и что делать?!?! Кататься по 400 км за раз уже надоело. Помогите хоть кто-нибудь пожалуйста! :(

                                        Ride to live, live to ride!

                                        1 Reply Last reply Reply Quote 0
                                        • G
                                          gr0mW
                                          last edited by

                                          Почитай http://www.secure-computing.net/wiki/index.php/OpenVPN/Routing (ROUTES TO ADD OUTSIDE OF OPENVPN) и дальше http://www.secure-computing.net/wiki/index.php/Graph. Может поможет.

                                          1 Reply Last reply Reply Quote 0
                                          • First post
                                            Last post
                                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.