• Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login
Netgate Discussion Forum
  • Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login

OpenVPN туннель между филиалами

Scheduled Pinned Locked Moved Russian
38 Posts 7 Posters 15.7k Views
Loading More Posts
  • Oldest to Newest
  • Newest to Oldest
  • Most Votes
Reply
  • Reply as topic
Log in to reply
This topic has been deleted. Only users with topic management privileges can see it.
  • G
    gr0mW
    last edited by Apr 5, 2012, 2:42 PM

    Попробуйте в Advanced configuration сервера прописать route 192.168.10.0 255.255.255.0; push "route 192.168.1.0 255.255.255.0"

    1 Reply Last reply Reply Quote 0
    • S
      stranger61
      last edited by Apr 5, 2012, 3:33 PM

      Настраивал и согласно этой инструкции и согласно поста и не раз (за 3 недели то).

      Перенастроил согласно инструкции, вывалил маршрут к удаленной сетке  в Advansed установил галку Inter-client communication

      Получил следующую конфигурацию в /var/etc/openvpn/server1.conf в офисе:

      dev ovpns1
      dev-type tun
      dev-node /dev/tun1
      writepid /var/run/openvpn_server1.pid
      #user nobody
      #group nobody
      script-security 3
      daemon
      keepalive 10 60
      ping-timer-rem
      persist-tun
      persist-key
      proto udp
      cipher AES-128-CBC
      up /usr/local/sbin/ovpn-linkup
      down /usr/local/sbin/ovpn-linkdown
      local 109.165.56.208
      tls-server
      server 10.0.0.0 255.255.255.0
      client-config-dir /var/etc/openvpn-csc
      lport 1196
      management /var/etc/openvpn/server1.sock unix
      push "route 192.168.1.0 255.255.255.0"
      client-to-client
      ca /var/etc/openvpn/server1.ca
      cert /var/etc/openvpn/server1.cert
      key /var/etc/openvpn/server1.key
      dh /etc/dh-parameters.1024
      route 192.168.10.0 255.255.255.0

      и
      конфигурацию в /var/etc/openvpn/client1.conf  в филиале:
      dev ovpnc1
      dev-type tun
      dev-node /dev/tun1
      writepid /var/run/openvpn_client1.pid
      #user nobody
      #group nobody
      script-security 3
      daemon
      keepalive 10 60
      ping-timer-rem
      persist-tun
      persist-key
      proto udp
      cipher AES-128-CBC
      up /usr/local/sbin/ovpn-linkup
      down /usr/local/sbin/ovpn-linkdown
      local 192.168.2.2
      tls-client
      client
      lport 0
      management /var/etc/openvpn/client1.sock unix
      remote *****.mine.nu 1196
      ifconfig 10.0.0.2 10.0.0.1
      route 192.168.1.0 255.255.255.0
      ca /var/etc/openvpn/client1.ca
      cert /var/etc/openvpn/client1.cert
      key /var/etc/openvpn/client1.key

      В итоге:

      • Из филиала удаленные машины как не откликались так и не откликаются
      • с PF офиса нет ответа ни от удаленного PF ни от удаленной машины
      • с PF филиала есть ответ от машин офиса.

      Маршруты прилагаю!
      1-й скрин маршрутф офиса, второй маршруты филиала.

      oroutes.jpg
      oroutes.jpg_thumb
      froutes.jpg
      froutes.jpg_thumb

      Ride to live, live to ride!

      1 Reply Last reply Reply Quote 0
      • S
        stranger61
        last edited by Apr 5, 2012, 3:36 PM

        @gr0mW:

        Попробуйте в Advanced configuration сервера прописать route 192.168.10.0 255.255.255.0; push "route 192.168.1.0 255.255.255.0"

        В Advansed в данном случае это прописывать нет необходимости, как видно из конф файлов они добавляются при заполнении соответсвующих полей. Таким образом мы либо заполняем поля в вебморде, либо пишем маршруты ручками в Advansed!!!!!

        Ride to live, live to ride!

        1 Reply Last reply Reply Quote 0
        • G
          gr0mW
          last edited by Apr 5, 2012, 7:13 PM

          У меня при практически ваших настройках все прекрасно работает.  А local на клиенте 192.168.2.2 это что? У меня в  /var/etc/openvpn/client1.conf  local –-- внешний IP (остальное совпадает, кроме шифрования).

          1 Reply Last reply Reply Quote 0
          • S
            stranger61
            last edited by Apr 6, 2012, 4:07 AM Apr 6, 2012, 3:58 AM

            На клиенте local 192.168.2.2 - это статика от ADSL маршрутизатора.. я об этом выше упоминал. т.е. в филиале у меня сначала стоит DSL маршрутизатор (Зухель 660 кажись)

            Интернет–----(dsl link PPPoE)Зухель6600(LAN Link 192.168.2.1)---(192.168.2.2 WAN)PFSENSE(192.168.10.1 LanLink) -----Локальная сеть филиала/

            Вот такая интересная вещь получается: Запустил Packet Capture на WAN интерфейсе на стороне филиала, у себя пингую машину в удаленной сети, получил следующее:

            08:04:16.865875 IP 109.165.56.208 > 83.221.214.195: ICMP echo request, id 10434, seq 16919, length 44
            08:04:16.896754 IP 83.221.214.195 > 109.165.56.208: ICMP echo reply, id 10434, seq 16919, length 44
            08:04:17.870320 IP 109.165.56.208 > 83.221.214.195: ICMP echo request, id 10434, seq 17175, length 44
            08:04:17.899273 IP 83.221.214.195 > 109.165.56.208: ICMP echo reply, id 10434, seq 17175, length 44
            08:04:18.875059 IP 109.165.56.208 > 83.221.214.195: ICMP echo request, id 10434, seq 17431, length 44
            08:04:18.905571 IP 83.221.214.195 > 109.165.56.208: ICMP echo reply, id 10434, seq 17431, length 44

            где 109.165.56.208 - IP интернет соединения в офисе, а 83.221.214.195 шлюз для интернет подключения филиала!!!!!!!!

            т.Е. получается что при пинге из офиса у меня пакеты проходят по тунелю до удаленного сервера и там заворачиваются на WAN интерфейс, а должны на LAN!!!!!!!!!!!!!!!!!!!

            Ride to live, live to ride!

            1 Reply Last reply Reply Quote 0
            • G
              gr0mW
              last edited by Apr 6, 2012, 6:37 AM

              А вариант Зухель в бридж возможен или нет?

              1 Reply Last reply Reply Quote 0
              • S
                stranger61
                last edited by Apr 6, 2012, 7:16 AM Apr 6, 2012, 7:14 AM

                Попытаться можно - но надо ехать в другой город.. там нет местных админов! :(  С другой стороны должно работать и так! Но почему-то не работает! :(

                Сейчас буду думать почему пакеты заворачиваются не на LAN интерфейс, а на WAN! Скорее вс его тут затык, как я и предполагал!. Можешь скинуть скрин правил NAT которые у тебя стоят на одном конце и на другом!  Пока по скринам, если всё одинаково будет, то буду смотреть конф файл! :(

                Ride to live, live to ride!

                1 Reply Last reply Reply Quote 0
                • G
                  gr0mW
                  last edited by Apr 6, 2012, 9:28 AM

                  Правило Firewall: NAT: Outbound для openVPN в филиале случайно не стоит? Попробуйте его удалить. У меня не натится openVPN. Только правила на интерфейсах.

                  1 Reply Last reply Reply Quote 0
                  • S
                    stranger61
                    last edited by Apr 6, 2012, 12:36 PM

                    Не помогает! По идее на филиальном PF вообще не нужен NAT ибо этим занимается ADSL модем.

                    Но я тут игрался с NAT правилами и у меня в какой-то момент всё заработало.. что сделал не знаю… сейчас уже 2 часа пытаюсь повторить эту ситуацию и не получается :))))))

                    Ride to live, live to ride!

                    1 Reply Last reply Reply Quote 0
                    • S
                      stranger61
                      last edited by Apr 7, 2012, 9:29 AM Apr 7, 2012, 9:28 AM

                      В общем получилось после добавления опеределенных правил NAT Outbond. Как только разберусь почему сразу выложу сюда!

                      Единственно что сейчас при попытке выйти по RDP на удаленный сервак - канал рвется… буду разбираться почему!

                      Ride to live, live to ride!

                      1 Reply Last reply Reply Quote 0
                      • D
                        dr.gopher
                        last edited by Apr 7, 2012, 10:41 AM

                        Вам выше писали - поставить Адсл модемы (2шт) в режим моста.

                        Можно попробовать потрфорвардинг с АДСЛ модемов на PfSense

                        FAQ PfSense 2.0

                        И не забываем про Adblock дабы не видеть баннеров.

                        И многое другое на www.thin.kiev.ua

                        1 Reply Last reply Reply Quote 0
                        • S
                          stranger61
                          last edited by Apr 7, 2012, 10:44 AM

                          В общем как сделать туннель между серверами тут и без меня очень много написано, но вот если один из серверов стоит за NAT (в моем случае это ADSL модем) локальной сетки этого сервера не видно. Мне помогло следующее:
                          Я добавил в правила NAT Outbound следующее:
                          Interface   Source           Source Port      Destination           Destination Port     NAT Address    NAT Port    Static Port
                          OpenVPN   any             *            192.168.10.0/24     *                        *         * NO  
                          LAN     192.168.1.0/24 *             *                *                        *         * NO

                          Удаленные компы пингуются без проблем! Но теперь появилась другая проблема - при хотя-бы попытке выйти в RDP на удаленный сервер - канал OpenVPN падает и в логах ничего не пишется!

                          Может кто сталкивался с падением канала при начале обмена трафиком между сетями .. подскажите плз!

                          Ride to live, live to ride!

                          1 Reply Last reply Reply Quote 0
                          • S
                            stranger61
                            last edited by Apr 7, 2012, 10:46 AM

                            @dr.gopher:

                            Вам выше писали - поставить Адсл модемы (2шт) в режим моста.

                            Можно попробовать потрфорвардинг с АДСЛ модемов на PfSense

                            У меня нет сейчас возможности управлять ADSL модемом - всё это стоит в другом городе, ехать туда у меня сейчас нет возможности, Найти специалиста который бы в другом городе могбы перепрограммировать ADSL модем и перенастроить сервер - нет возможности! :(

                            На самом деле на модеме достаточно IP PF сервера добавить в DMZ если я всё правильно понимаю!

                            Ride to live, live to ride!

                            1 Reply Last reply Reply Quote 0
                            • A
                              Andresito
                              last edited by Apr 10, 2012, 1:20 PM

                              великие гуру есть сеть на рисунке она изображена.
                              задача с чтобы с локальной сети офиса могли подключится к видео наблюдению. что нужно из маршрутов прописать.
                              os на server A Pfsense 2.0
                              os на server B Debian 6
                              os на server C ubuntu server 11.
                              помогите срочно нужно решить проблему
                              с Sever B ping 192,168,2,3 проходит
                              с локальный тачки 192,168,0,3 видели этот ip

                              ????.jpg
                              ????.jpg_thumb

                              1 Reply Last reply Reply Quote 0
                              • A
                                Andresito
                                last edited by Apr 10, 2012, 2:51 PM

                                ??? что не кто не подскажет?

                                1 Reply Last reply Reply Quote 0
                                • G
                                  gr0mW
                                  last edited by Apr 10, 2012, 5:02 PM

                                  vpn поднят на А или В?

                                  1 Reply Last reply Reply Quote 0
                                  • S
                                    stranger61
                                    last edited by Apr 19, 2012, 4:23 PM

                                    2 раза смотался в другой город пока настривал удаленный сервак: сборисил всё в default, настроил всё по новой. D заводские настройки сбросил обе стороны в итоге ситуация ни капельки не изменилась! Уже ума не приложу где могут быть грабли и что делать?!?! Кататься по 400 км за раз уже надоело. Помогите хоть кто-нибудь пожалуйста! :(

                                    Ride to live, live to ride!

                                    1 Reply Last reply Reply Quote 0
                                    • G
                                      gr0mW
                                      last edited by Apr 19, 2012, 8:34 PM

                                      Почитай http://www.secure-computing.net/wiki/index.php/OpenVPN/Routing (ROUTES TO ADD OUTSIDE OF OPENVPN) и дальше http://www.secure-computing.net/wiki/index.php/Graph. Может поможет.

                                      1 Reply Last reply Reply Quote 0
                                      • First post
                                        Last post
                                      Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.
                                        This community forum collects and processes your personal information.
                                        consent.not_received