Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved Russian
    376 Posts 39 Posters 215.7k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • V
      Vikipa
      last edited by

      Клик о помощи в настройке.
      Все сделал как по инструкции, канал OpenVPN поднимается но сети друг друга не видят. Таблица роутирования работает правильно где я мог сделать ошибку схему своего соединения прилагаю.
      Заранее благодарен.
      [imghttp://forum.pfsense.org/index.php?action=dlattach;topic=59081.0;attach=33465;image[/img]

      sh1.jpg
      sh1.jpg_thumb

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        А если убрать роутеры из этой цепочки ? Пускай пфсенсы всем "рулят".

        1 Reply Last reply Reply Quote 0
        • V
          Vikipa
          last edited by

          Выкинуть немогу так как система нехорошо дружит с 3g модемами у которых новая прошивка, она не видит их как модем.
          Возникла другая проблема когда проверяю видят ли сети друг друга по ssh то пинги идут по обе стороны, а пытюсь с рабочей станции или через веб инерфейс все куда-то теряется, настройки делал по инструкции

          1 Reply Last reply Reply Quote 0
          • A
            aleksvolgin
            last edited by

            нехорошо дружит с 3g модемами у которых новая прошивка, она не видит их как модем.

            А переключить модемы в режим "only modem" не пробовали? Должно помочь.

            1 Reply Last reply Reply Quote 0
            • R
              rubic
              last edited by

              Если в таблице маршрутов каждого pfSense присутствует маршрут в соседнюю сеть через ovpn, то еще раз проверить правила firewall на обеих сторонах и наличие iroute в Client specific overrides -> Advanced на стороне сервера.

              1 Reply Last reply Reply Quote 0
              • H
                hexdimko
                last edited by

                таже бяда. конект есть, но сети не видят друг друга. в таблице маршрутов роуты есть.

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by

                  @hexdimko:

                  таже бяда. конект есть, но сети не видят друг друга. в таблице маршрутов роуты есть.

                  Раз уж есть роуты - проверьте правила fw и включите логирование fw. Т.о. будет видно что и почему блокируется.

                  1 Reply Last reply Reply Quote 0
                  • H
                    hexdimko
                    last edited by

                    Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

                    1 Reply Last reply Reply Quote 0
                    • werterW
                      werter
                      last edited by

                      @hexdimko:

                      Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

                      Во вкладке Status: System logs: Settings : поставить галку на Log packets blocked by the default rule: Save и , вернувшись в Status: System logs: Firewall, нажать F5 для обновления страницы в браузере. И внимательно смотреть что блокируется. Ибо чудес не бывает.

                      P.s. На каком этапе "затык" ? Что "говорит" tracert с обеих сторон ?

                      1 Reply Last reply Reply Quote 0
                      • H
                        hexdimko
                        last edited by

                        @werter:

                        @hexdimko:

                        Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

                        Во вкладке Status: System logs: Settings : поставить галку на Log packets blocked by the default rule: Save и , вернувшись в Status: System logs: Firewall, нажать F5 для обновления страницы в браузере. И внимательно смотреть что блокируется. Ибо чудес не бывает.

                        P.s. На каком этапе "затык" ? Что "говорит" tracert с обеих сторон ?

                        Трасировка говорит что пакеты улетают в свой шлюз и все, дальше не идет. Файервол ничего из подопытных не блокирует. Блокирует левые адреса, не относящиеся к делу.

                        1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by

                          @hexdimko:

                          Трасировка говорит что пакеты улетают в свой шлюз и все, дальше не идет. Файервол ничего из подопытных не блокирует. Блокирует левые адреса, не относящиеся к делу.

                          … и наличие iroute в Client specific overrides -> Advanced на стороне сервера

                          Это проверяли ?

                          1 Reply Last reply Reply Quote 0
                          • H
                            hexdimko
                            last edited by

                            iroute в подсеть клиента прописан

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              @hexdimko:

                              iroute в подсеть клиента прописан

                              А на машинах в клиентской сети случаем никаких fw\антивирусов не задействовано ? Отключите их на время (для проверки). И родной виндовый тоже.

                              1 Reply Last reply Reply Quote 0
                              • H
                                hexdimko
                                last edited by

                                да даже шлюзы между собой не пингуются, что уж говорить о клиентах…

                                1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by

                                  @hexdimko:

                                  да даже шлюзы между собой не пингуются, что уж говорить о клиентах…

                                  Удалите всё (и сертификаты тоже) и настройте заново. Сперва без сертификатов - просто по secret key.

                                  1 Reply Last reply Reply Quote 0
                                  • D
                                    dsm150
                                    last edited by

                                    Здравствуйте.

                                    Совсем я разобраться не могу с ситуацией. Может, Вам будет не трудно натолкнуть меня на путь истинный.

                                    По Вашей инструкции создал туннель между двумя Pfsense. Все между ними прекрасно бегает, но при подключении к серверу второго Pfsense. Ни через первый, ни через второй туннель, ничего не бежит.

                                    Карта сети такая:

                                    Pfsense1:
                                    OpenVpn server: Peer to Peer (SSL/TLS)
                                    local: 172.11.11.0/24
                                    tun: 10.0.8.0/24
                                    Client overrides:
                                    1. stmgate tun-10.0.8.0/24 iroute 172.11.10.0 255.255.255.0
                                    2. skvilgate tun-10.0.8.0/24 iroute 192.168.10.0 255.255.255.0

                                    Pifsense2
                                    OpenVpn client: Peer to Peer (SSL/TLS)
                                    local: 172.11.10.0/24
                                    tun: 10.0.8.0/24

                                    Pfsense3
                                    OpenVpn client: Peer to Peer (SSL/TLS)
                                    local: 192.168.10.0/24
                                    tun: 10.0.8.0/24

                                    Заметил такой момент:
                                    При двух подключенных туннелях, на pfsense1, virtual server у обоих туннелей 10.0.8.2

                                    Пробовал в качестве сервера - Remote access (SSL/TLS)
                                    Но при таком конфиге по туннелю даже между двумя Pfsense ничего не проходит (

                                    1 Reply Last reply Reply Quote 0
                                    • R
                                      rubic
                                      last edited by

                                      На pfSense1 очистите поле Remote Network а в Advanced напишите: route 172.11.10.0 255.255.255.0;route 192.168.10.0 255.255.255.0
                                      Убедитесь, что в Diagnostics->Routes всех трех pfSense есть маршруты в те локальные сети, в которые каждый из них должен иметь доступ.

                                      1 Reply Last reply Reply Quote 0
                                      • J
                                        Jetberry
                                        last edited by

                                        to rubic
                                        А не могли бы вы написать немного вашей замечательной инструкции о том как настроить бридж (dev tap), а то что-то не выходит ничё. Есть 2 сети с одинаковой адресацией, туннель работает, но односторонний какой-то, а хочется что-бы и сеть клиента была доступна с сервера. Слышал, что вроде мост должен помочь.

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by

                                          Есть 2 сети с одинаковой адресацией

                                          Жесть.  Если адреса в сетях одинаковые, т.е. совпадают, как быть с обращением к одному и тому же ресурсу в обеих сетях с одним и тем же адресом?

                                          P.S. Объединение двух локальных сетей с одинаковым номерами сетей на Linux-шлюзе - http://habrahabr.ru/post/117320/
                                          P.P.S. Меняйте адресацию в одной из сетей.

                                          1 Reply Last reply Reply Quote 0
                                          • J
                                            Jetberry
                                            last edited by

                                            @werter:

                                            Есть 2 сети с одинаковой адресацией

                                            Жесть.  Если адреса в сетях одинаковые, т.е. совпадают, как быть с обращением к одному и тому же ресурсу в обеих сетях с одним и тем же адресом?

                                            P.S. Объединение двух локальных сетей с одинаковым номерами сетей на Linux-шлюзе - http://habrahabr.ru/post/117320/
                                            P.P.S. Меняйте адресацию в одной из сетей.

                                            Спасибо, на той ссылке слишком много букв и не одной картинки  ;D я её видел уже.
                                            Сеть досталась от предыдущего спеца. Адреса в сетях не совпадают. Единственное жаль, что диапазон не позволяет на подсети разбить - все в перемешку. Статью находил про бридж, там вроде работает у автора, правда не на pfSense. Сегодня решил попробовать, да вот клиент не конектиться, сообщает про ошибку tls, хотя в настройках сервера флаги tls сняты. Видимо я чего-то не знаю, что-бы OpenVPN через dev tap настроить. Вот и хочу узнать, где там секрет.
                                            Вот тут читал http://skeletor.org.ua/?p=234

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.