Roteamento VPN Site-to-Site

mantunespb

tentou fazer via OpenVPN ?

thiago.limax64

tentou fazer via OpenVPN ?

obrigado pela ajuda, mas é IPSEC Site-to-Site e não cliente servidor. Até aonde eu sei open vpn é cliente servidor correto?

mantunespb

Errado

posso ter openvpn site to site..

http://www.pfsense-br.org/blog/2011/11/usando-o-pfsense-para-interligar-2-lojas-via-internet-ponto-a-ponto/

thiago.limax64

@mantunespb:

Errado

posso ter openvpn site to site..

hmmm certo nao testei nao… somente ipsec pq a minha ponta B não suporte open VPN mas de todo modo é bom saber q da pra fazer s2s com open vpn, obrigado.

agora voltando a minha questão... na ponta A eu tenho o PFSense e preciso nele direcionar o trafego para minha ponta B, tem que ser ipsec

mantunespb

outro detalhe.. ficava mais fácil gerenciamento vc ter redes padronizadas

Rede Rio: 192.168.0.0/24
Rede SP: 192.168.1.0/24
Rede MG: 192.168.0.0/24

e depois dai partir para um roteamento..

johnnybe

Não entendi direito mas vou tentar ajudá-lo, mesmo porque nem sei do que se trata S2S. :-[ ??? ::)

Nesse ambiente da cópia de tela abaixo, a LDC tem duas filiais e também minha rede ADMIN, todas conectadas via IPSEC à matriz da LDC.
Em todas as LDC temos pfSense 2.0.1 sendo que no meu escritório (ADMIN) estou com a versão 2.1. Adapte-as conforme suas necessidades.

Apenas esclarecendo resumidamente o [b]motivo desses roteamentos:

1- Garantir que, após a conexão VPN ser iniciada via WAN, os pacotes sejam direcionados sempre via LAN (túnel).
2- Evitar que um outro Roteador sendo o Gateway (que não o pfSense) procure atravessar a VPN pela Internet, ao invés do túnel, causando perda de pacotes
e/ou ficar completamente perdido e daí indisponível.
3- Não sumarizar o CIDR, apesar das sub-redes do cliente serem adjacentes, apenas por questão de identificação. Faça isso quando solicitado pelo cliente ou conforme suas preferências.

Acredito que seu principal problema resida no item 2 acima.

Eu sempre quis publicar um tutorial com todas essas informações e mais um pouco além. Mas… perdi a vontade. Se alguém achar útil, talvez um dia, eu pegue o rascunho já existente com cópias de tela e publique o tutorial.

route_ipsec.png_thumb

johnnybe

@mantunespb:

outro detalhe.. ficava mais fácil gerenciamento vc ter redes padronizadas

Rede Rio: 192.168.0.0/24
Rede SP: 192.168.1.0/24
Rede MG: 192.168.0.0/24

e depois dai partir para um roteamento..

Opa, mantunespb! ;D

Duas sub-redes 192.168.0.0/24? :o

marcelloc

@johnnybe:

Não entendi direito mas vou tentar ajudá-lo, mesmo porque nem sei do que se trata S2S. :-[ ??? ::)
[/quote]

S2S - site to site ;)

johnnybe

@marcelloc:

@johnnybe:

Não entendi direito mas vou tentar ajudá-lo, mesmo porque nem sei do que se trata S2S. :-[ ??? ::)
[/quote]

S2S - site to site ;)

Credo, Marcello! Juro que até esqueci do U2! ;D
Que vergonha, caro johnny! :'(
;D

thiago.limax64

@mantunespb:

outro detalhe.. ficava mais fácil gerenciamento vc ter redes padronizadas

Rede Rio: 192.168.0.0/24
Rede SP: 192.168.1.0/24
Rede MG: 192.168.0.0/24

e depois dai partir para um roteamento..

Cara vlw pelas dicas mas são irrelevantes para o problema já que de um jeito ou de outro são redes que não se comunicam sem um roteamento adequado. usei esses ips bem diferentes uns dos outros como exemplo só p facilitar o entendimento do cenário e estou respeitando a rfc1918. No meu cenário real os ips estão parecidos conforme sua sugestão ;-)
De todo modo obrigadao

thiago.limax64

@johnnybe:

@mantunespb:

outro detalhe.. ficava mais fácil gerenciamento vc ter redes padronizadas

Rede Rio: 192.168.0.0/24
Rede SP: 192.168.1.0/24
Rede MG: 192.168.0.0/24

e depois dai partir para um roteamento..

Opa, mantunespb! ;D

Duas sub-redes 192.168.0.0/24? :o

Na verdade…

rede Rio: 192.168.0.0/24
Rede SP: 10.0.0.0/24
Rede MG: 172.16.0.0/24

thiago.limax64

@johnnybe:

Não entendi direito mas vou tentar ajudá-lo, mesmo porque nem sei do que se trata S2S. :-[ ??? ::)

Nesse ambiente da cópia de tela abaixo, a LDC tem duas filiais e também minha rede ADMIN, todas conectadas via IPSEC à matriz da LDC.
Em todas as LDC temos pfSense 2.0.1 sendo que no meu escritório (ADMIN) estou com a versão 2.1. Adapte-as conforme suas necessidades.

Apenas esclarecendo resumidamente o [b]motivo desses roteamentos:

1- Garantir que, após a conexão VPN ser iniciada via WAN, os pacotes sejam direcionados sempre via LAN (túnel).
2- Evitar que um outro Roteador sendo o Gateway (que não o pfSense) procure atravessar a VPN pela Internet, ao invés do túnel, causando perda de pacotes
e/ou ficar completamente perdido e daí indisponível.
3- Não sumarizar o CIDR, apesar das sub-redes do cliente serem adjacentes, apenas por questão de identificação. Faça isso quando solicitado pelo cliente ou conforme suas preferências.

Acredito que seu principal problema resida no item 2 acima.

Eu sempre quis publicar um tutorial com todas essas informações e mais um pouco além. Mas… perdi a vontade. Se alguém achar útil, talvez um dia, eu pegue o rascunho já existente com cópias de tela e publique o tutorial.

Cara to no bus balanço p kctah mas acho que tu vai conseguir me ajudar
Sim, existe um problema d rota mas e no pfs, vou dar uma lida com calma de casa pra extrair melhor as informações. Vlw pela forca.

thiago.limax64

@johnnybe:

Não entendi direito mas vou tentar ajudá-lo, mesmo porque nem sei do que se trata S2S. :-[ ??? ::)

Nesse ambiente da cópia de tela abaixo, a LDC tem duas filiais e também minha rede ADMIN, todas conectadas via IPSEC à …
[/quote]

Detalhe…. 150 é tua lan adress (pfs)?
Isso pra mim faz muito sentido,
Quando eu traço rota p rede mg o pfs me joga p internet, por isso tenho certeza que é rota e nele, só não tinha pensado em dizer q o gtw e ele mesmo quando a rede destino for mg.. Será que não vai ficar em looping? vou testar :)

johnnybe

@Thiago:

Detalhe…. 150 é tua lan adress?
Isso pra mim faz muito sentido, vou testar

O IP 192.168.1.150 é o (pfSense) Gateway da matriz, servindo a rede 192.168.1.0/24.
A sub-rede do meu escritório está em 192.168.250.0/24.
No resto, acho que está suficientemente claro quem é quem. :)

thiago.limax64

@johnnybe:

@Thiago:

Detalhe…. 150 é tua lan adress?
Isso pra mim faz muito sentido, vou testar

O IP 192.168.1.150 é o (pfSense) Gateway da matriz, servindo a rede 192.168.1.0/24.
A sub-rede do meu escritório está em 192.168.250.0/24.
No resto, acho que está suficientemente claro quem é quem. :)

Esta sim, vou testar hj mesmo to levando fe que seja por ai

johnnybe

Dê um retorno (feedback). ;)

thiago.limax64

@johnnybe:

Dê um retorno (feedback). ;)

Com certeza Jhonybe, precisei virar o foco por conta de outras demandas mais importantes mas vou testar sim a solução que vc me passou e te dou um feedback ;D

thiago.limax64

@johnnybe:

Dê um retorno (feedback). ;)

Não funcionou.

johnnybe

Habilitou essa opção?:
Static route filtering Bypass firewall rules for traffic on the same interface
This option only applies if you have defined one or more static routes. If it is enabled, traffic that enters and leaves through the same interface will not be checked by the firewall. This may be desirable in some situations where multiple subnets are connected to the same interface.

thiago.limax64

@johnnybe:

Habilitou essa opção?:
Static route filtering Bypass firewall rules for traffic on the same interface
This option only applies if you have defined one or more static routes. If it is enabled, traffic that enters and leaves through the same interface will not be checked by the firewall. This may be desirable in some situations where multiple subnets are connected to the same interface.

Nao habilitei, vou testar e lhe retorno. Obrigado