Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved Russian
    376 Posts 39 Posters 215.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • A
      aleksvolgin
      last edited by

      Отсюда, вестимо. Кстати, там очень много полезного и в русле темы.

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        Спасибо за столь развернутые инструкции! Однозначно в FAQ, ибо лучше, как говорится, один раз увидеть.

        1 Reply Last reply Reply Quote 0
        • ?
          A Former User
          last edited by

          Автору спасибо не только за инструкции, но и за помощь. Смог все объяснить на пальцах! Теперь с такой инструкцией ни у кого не должно быть проблем!

          1 Reply Last reply Reply Quote 0
          • V
            vibperson
            last edited by

            Да за инструкцию спасибо, сбросил всё на ноль по вашей предыдущей инструкции поднял заработало. Однако попробовал поднять в режиме Remote Access (SSL/TLS) для доступа клиентов из под винды, коннект проходит, а пинги опять не идут.  :( Может подскажете, что может быть или для этого типа ещё инструкцию сделаете?

            Вот на клиенте маршрутизация
            IPv4 таблица маршрута

            Активные маршруты:
            Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
                     0.0.0.0          0.0.0.0      192.168.0.1    192.168.0.122     10
                    10.0.8.0    255.255.255.0         10.0.8.5         10.0.8.6     30
                    10.0.8.4  255.255.255.252         On-link          10.0.8.6    286
                    10.0.8.6  255.255.255.255         On-link          10.0.8.6    286
                    10.0.8.7  255.255.255.255         On-link          10.0.8.6    286
                  10.10.10.0  255.255.255.255         10.0.8.5         10.0.8.6     30
                   127.0.0.0        255.0.0.0         On-link         127.0.0.1    306
                   127.0.0.1  255.255.255.255         On-link         127.0.0.1    306
             127.255.255.255  255.255.255.255         On-link         127.0.0.1    306
                 192.168.0.0    255.255.255.0         On-link     192.168.0.122    266
               192.168.0.122  255.255.255.255         On-link     192.168.0.122    266
               192.168.0.255  255.255.255.255         On-link     192.168.0.122    266
                192.168.61.0    255.255.255.0         On-link      192.168.61.1    276
                192.168.61.1  255.255.255.255         On-link      192.168.61.1    276
              192.168.61.255  255.255.255.255         On-link      192.168.61.1    276
               192.168.132.0    255.255.255.0         On-link     192.168.132.1    276
               192.168.132.1  255.255.255.255         On-link     192.168.132.1    276
             192.168.132.255  255.255.255.255         On-link     192.168.132.1    276
                   224.0.0.0        240.0.0.0         On-link         127.0.0.1    306
                   224.0.0.0        240.0.0.0         On-link     192.168.0.122    266
                   224.0.0.0        240.0.0.0         On-link          10.0.8.6    286
                   224.0.0.0        240.0.0.0         On-link     192.168.132.1    276
                   224.0.0.0        240.0.0.0         On-link      192.168.61.1    276
             255.255.255.255  255.255.255.255         On-link         127.0.0.1    306
             255.255.255.255  255.255.255.255         On-link     192.168.0.122    266
             255.255.255.255  255.255.255.255         On-link          10.0.8.6    286
             255.255.255.255  255.255.255.255         On-link     192.168.132.1    276
             255.255.255.255  255.255.255.255         On-link      192.168.61.1    276

            1 Reply Last reply Reply Quote 0
            • R
              rubic
              last edited by

              Сеть за сервером 10.10.10.0? Если так то почему:

              10.10.10.0  255.255.255.255         10.0.8.5        10.0.8.6    30 ??

              1 Reply Last reply Reply Quote 0
              • ?
                A Former User
                last edited by

                Кстате, ДНС пришлось в ручную прописывать у клиентского сенса в генерал сеттингс… Сам не выдает. Так и не смог решить эту проблему

                1 Reply Last reply Reply Quote 0
                • S
                  sweep4
                  last edited by

                  Что-то не разобрался - если на сервере pfSense1 не указывать Remote Network: 192.168.20.0/24, то как на этом сервере указать маршрутизацию в эту сеть ?

                  Ситуация - у меня два site-to-site, в одном пусть условно сеть 192.168.20.0/24, в другом 192.168.30.0/24, как маршрутизацию указать первому серверу в эти две сети ?

                  1 Reply Last reply Reply Quote 0
                  • R
                    rubic
                    last edited by

                    @sweep4:

                    Что-то не разобрался - если на сервере pfSense1 не указывать Remote Network: 192.168.20.0/24, то как на этом сервере указать маршрутизацию в эту сеть ?

                    Ситуация - у меня два site-to-site, в одном пусть условно сеть 192.168.20.0/24, в другом 192.168.30.0/24, как маршрутизацию указать первому серверу в эти две сети ?

                    на pfSense1 в Advanced вставить:

                    route 192.168.20.0 255.255.255.0; route 192.168.30.0 255.255.255.0

                    в Client Specific Overrides -> Advanced:

                    iroute 192.168.20.0 255.255.255.0 для первого клиента, и:

                    iroute 192.168.30.0 255.255.255.0 - для второго

                    1 Reply Last reply Reply Quote 0
                    • S
                      sweep4
                      last edited by

                      @rubic:

                      на pfSense1 в Advanced вставить:

                      route 192.168.20.0 255.255.255.0; route 192.168.30.0 255.255.255.0

                      в Client Specific Overrides -> Advanced:

                      iroute 192.168.20.0 255.255.255.0 для первого клиента, и:

                      iroute 192.168.30.0 255.255.255.0 - для второго

                      Вот теперь я понял, в чем суть команды iroute  :D

                      Кажется взлетело и заработало все хозяйство.

                      1 Reply Last reply Reply Quote 0
                      • S
                        Sebastien1
                        last edited by

                        Спасибо. Сделал по мануалу.
                        Обе сетки с белыми адресами. внутренние 192.168.0.1 сервер, 192.168.1.1 клиент. Тоннель поднимается, пинги не ходят. Помогите, где туплю. скрины маршрутов прилагаю. Поправочка: со стороны центрального (192.168.0.0) сеть 192.168.1.0 пингуется, все видно. наоборот трасировка доходит только до 10.0.8.1
                        Спасибо.

                        1 Reply Last reply Reply Quote 0
                        • R
                          rubic
                          last edited by

                          @Sebastien1:

                          Спасибо. Сделал по мануалу.
                          Обе сетки с белыми адресами. внутренние 192.168.0.1 сервер, 192.168.1.1 клиент. Тоннель поднимается, пинги не ходят. Помогите, где туплю. скрины маршрутов прилагаю. Поправочка: со стороны центрального (192.168.0.0) сеть 192.168.1.0 пингуется, все видно. наоборот трасировка доходит только до 10.0.8.1
                          Спасибо.

                          Маршруты, судя по всему, в порядке. Смотрите в сторону правил firewall для OpenVPN на сервере.

                          1 Reply Last reply Reply Quote 0
                          • S
                            Sebastien1
                            last edited by

                            Правила как в мануале.
                            На wan разрешен udp на 1194
                            на openvpn и связанном с ним opt2 разрешено все всюду.
                            ничего не понимаю. со стороны центрального офиса видны даже захудалые принтера, со тороны филиала только сам пф.

                            1 Reply Last reply Reply Quote 0
                            • V
                              Vikipa
                              last edited by

                              Клик о помощи в настройке.
                              Все сделал как по инструкции, канал OpenVPN поднимается но сети друг друга не видят. Таблица роутирования работает правильно где я мог сделать ошибку схему своего соединения прилагаю.
                              Заранее благодарен.
                              [imghttp://forum.pfsense.org/index.php?action=dlattach;topic=59081.0;attach=33465;image[/img]

                              sh1.jpg
                              sh1.jpg_thumb

                              1 Reply Last reply Reply Quote 0
                              • werterW
                                werter
                                last edited by

                                А если убрать роутеры из этой цепочки ? Пускай пфсенсы всем "рулят".

                                1 Reply Last reply Reply Quote 0
                                • V
                                  Vikipa
                                  last edited by

                                  Выкинуть немогу так как система нехорошо дружит с 3g модемами у которых новая прошивка, она не видит их как модем.
                                  Возникла другая проблема когда проверяю видят ли сети друг друга по ssh то пинги идут по обе стороны, а пытюсь с рабочей станции или через веб инерфейс все куда-то теряется, настройки делал по инструкции

                                  1 Reply Last reply Reply Quote 0
                                  • A
                                    aleksvolgin
                                    last edited by

                                    нехорошо дружит с 3g модемами у которых новая прошивка, она не видит их как модем.

                                    А переключить модемы в режим "only modem" не пробовали? Должно помочь.

                                    1 Reply Last reply Reply Quote 0
                                    • R
                                      rubic
                                      last edited by

                                      Если в таблице маршрутов каждого pfSense присутствует маршрут в соседнюю сеть через ovpn, то еще раз проверить правила firewall на обеих сторонах и наличие iroute в Client specific overrides -> Advanced на стороне сервера.

                                      1 Reply Last reply Reply Quote 0
                                      • H
                                        hexdimko
                                        last edited by

                                        таже бяда. конект есть, но сети не видят друг друга. в таблице маршрутов роуты есть.

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by

                                          @hexdimko:

                                          таже бяда. конект есть, но сети не видят друг друга. в таблице маршрутов роуты есть.

                                          Раз уж есть роуты - проверьте правила fw и включите логирование fw. Т.о. будет видно что и почему блокируется.

                                          1 Reply Last reply Reply Quote 0
                                          • H
                                            hexdimko
                                            last edited by

                                            Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.