Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved Russian
    376 Posts 39 Posters 189.1k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • werterW
      werter
      last edited by

      @hexdimko:

      таже бяда. конект есть, но сети не видят друг друга. в таблице маршрутов роуты есть.

      Раз уж есть роуты - проверьте правила fw и включите логирование fw. Т.о. будет видно что и почему блокируется.

      1 Reply Last reply Reply Quote 0
      • H
        hexdimko
        last edited by

        Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

        1 Reply Last reply Reply Quote 0
        • werterW
          werter
          last edited by

          @hexdimko:

          Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

          Во вкладке Status: System logs: Settings : поставить галку на Log packets blocked by the default rule: Save и , вернувшись в Status: System logs: Firewall, нажать F5 для обновления страницы в браузере. И внимательно смотреть что блокируется. Ибо чудес не бывает.

          P.s. На каком этапе "затык" ? Что "говорит" tracert с обеих сторон ?

          1 Reply Last reply Reply Quote 0
          • H
            hexdimko
            last edited by

            @werter:

            @hexdimko:

            Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

            Во вкладке Status: System logs: Settings : поставить галку на Log packets blocked by the default rule: Save и , вернувшись в Status: System logs: Firewall, нажать F5 для обновления страницы в браузере. И внимательно смотреть что блокируется. Ибо чудес не бывает.

            P.s. На каком этапе "затык" ? Что "говорит" tracert с обеих сторон ?

            Трасировка говорит что пакеты улетают в свой шлюз и все, дальше не идет. Файервол ничего из подопытных не блокирует. Блокирует левые адреса, не относящиеся к делу.

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by

              @hexdimko:

              Трасировка говорит что пакеты улетают в свой шлюз и все, дальше не идет. Файервол ничего из подопытных не блокирует. Блокирует левые адреса, не относящиеся к делу.

              … и наличие iroute в Client specific overrides -> Advanced на стороне сервера

              Это проверяли ?

              1 Reply Last reply Reply Quote 0
              • H
                hexdimko
                last edited by

                iroute в подсеть клиента прописан

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by

                  @hexdimko:

                  iroute в подсеть клиента прописан

                  А на машинах в клиентской сети случаем никаких fw\антивирусов не задействовано ? Отключите их на время (для проверки). И родной виндовый тоже.

                  1 Reply Last reply Reply Quote 0
                  • H
                    hexdimko
                    last edited by

                    да даже шлюзы между собой не пингуются, что уж говорить о клиентах…

                    1 Reply Last reply Reply Quote 0
                    • werterW
                      werter
                      last edited by

                      @hexdimko:

                      да даже шлюзы между собой не пингуются, что уж говорить о клиентах…

                      Удалите всё (и сертификаты тоже) и настройте заново. Сперва без сертификатов - просто по secret key.

                      1 Reply Last reply Reply Quote 0
                      • D
                        dsm150
                        last edited by

                        Здравствуйте.

                        Совсем я разобраться не могу с ситуацией. Может, Вам будет не трудно натолкнуть меня на путь истинный.

                        По Вашей инструкции создал туннель между двумя Pfsense. Все между ними прекрасно бегает, но при подключении к серверу второго Pfsense. Ни через первый, ни через второй туннель, ничего не бежит.

                        Карта сети такая:

                        Pfsense1:
                        OpenVpn server: Peer to Peer (SSL/TLS)
                        local: 172.11.11.0/24
                        tun: 10.0.8.0/24
                        Client overrides:
                        1. stmgate tun-10.0.8.0/24 iroute 172.11.10.0 255.255.255.0
                        2. skvilgate tun-10.0.8.0/24 iroute 192.168.10.0 255.255.255.0

                        Pifsense2
                        OpenVpn client: Peer to Peer (SSL/TLS)
                        local: 172.11.10.0/24
                        tun: 10.0.8.0/24

                        Pfsense3
                        OpenVpn client: Peer to Peer (SSL/TLS)
                        local: 192.168.10.0/24
                        tun: 10.0.8.0/24

                        Заметил такой момент:
                        При двух подключенных туннелях, на pfsense1, virtual server у обоих туннелей 10.0.8.2

                        Пробовал в качестве сервера - Remote access (SSL/TLS)
                        Но при таком конфиге по туннелю даже между двумя Pfsense ничего не проходит (

                        1 Reply Last reply Reply Quote 0
                        • R
                          rubic
                          last edited by

                          На pfSense1 очистите поле Remote Network а в Advanced напишите: route 172.11.10.0 255.255.255.0;route 192.168.10.0 255.255.255.0
                          Убедитесь, что в Diagnostics->Routes всех трех pfSense есть маршруты в те локальные сети, в которые каждый из них должен иметь доступ.

                          1 Reply Last reply Reply Quote 0
                          • J
                            Jetberry
                            last edited by

                            to rubic
                            А не могли бы вы написать немного вашей замечательной инструкции о том как настроить бридж (dev tap), а то что-то не выходит ничё. Есть 2 сети с одинаковой адресацией, туннель работает, но односторонний какой-то, а хочется что-бы и сеть клиента была доступна с сервера. Слышал, что вроде мост должен помочь.

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              Есть 2 сети с одинаковой адресацией

                              Жесть.  Если адреса в сетях одинаковые, т.е. совпадают, как быть с обращением к одному и тому же ресурсу в обеих сетях с одним и тем же адресом?

                              P.S. Объединение двух локальных сетей с одинаковым номерами сетей на Linux-шлюзе - http://habrahabr.ru/post/117320/
                              P.P.S. Меняйте адресацию в одной из сетей.

                              1 Reply Last reply Reply Quote 0
                              • J
                                Jetberry
                                last edited by

                                @werter:

                                Есть 2 сети с одинаковой адресацией

                                Жесть.  Если адреса в сетях одинаковые, т.е. совпадают, как быть с обращением к одному и тому же ресурсу в обеих сетях с одним и тем же адресом?

                                P.S. Объединение двух локальных сетей с одинаковым номерами сетей на Linux-шлюзе - http://habrahabr.ru/post/117320/
                                P.P.S. Меняйте адресацию в одной из сетей.

                                Спасибо, на той ссылке слишком много букв и не одной картинки  ;D я её видел уже.
                                Сеть досталась от предыдущего спеца. Адреса в сетях не совпадают. Единственное жаль, что диапазон не позволяет на подсети разбить - все в перемешку. Статью находил про бридж, там вроде работает у автора, правда не на pfSense. Сегодня решил попробовать, да вот клиент не конектиться, сообщает про ошибку tls, хотя в настройках сервера флаги tls сняты. Видимо я чего-то не знаю, что-бы OpenVPN через dev tap настроить. Вот и хочу узнать, где там секрет.
                                Вот тут читал http://skeletor.org.ua/?p=234

                                1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by

                                  Читайте тут :

                                  http://forum.pfsense.org/index.php?topic=46984.0

                                  И обратите внимание на :

                                  1. goto System –-> Packages
                                  2. Click the Available Packages Tab
                                  3. Install the OpenVPN tap Bridging Fix package

                                  1 Reply Last reply Reply Quote 0
                                  • J
                                    Jetberry
                                    last edited by

                                    @werter:

                                    Читайте тут :

                                    http://forum.pfsense.org/index.php?topic=46984.0

                                    И обратите внимание на :

                                    1. goto System –-> Packages
                                    2. Click the Available Packages Tab
                                    3. Install the OpenVPN tap Bridging Fix package

                                    Спасибо. Вроде то самое.
                                    В идеале конечно хотелось бы на русском и с пояснениями  ;D

                                    1 Reply Last reply Reply Quote 0
                                    • J
                                      Jetberry
                                      last edited by

                                      to werter
                                      Что-то я не понял, на клиенте нужно мост сооружать или нет? И с DHCP что делать? Там пишут

                                      Server DHCP Start/Stop: You can specify an IP range here. However since its bridging you can leave it blank. Your internal DHCP server will take care of it. I leave them blank. One thing to keep in mind is that a client's IP will not be displayed on the Dashboard Widget if you leave the range blank. I'll be brining this up on the fpsense forums.

                                      не понятно как-то…
                                      у меня во всех сетях статическая адресация, о каком внутреннем DHCP сервере идет речь в тексте? В OPT интерфейсе указал DHCP, но все остальные поля оставил пустыми. В итоге OPT1(DHCP) - 0.0.0.0. Это правильно? Или еще дополнительно нужно DHCP сервер подымать?

                                      1 Reply Last reply Reply Quote 0
                                      • J
                                        Jetberry
                                        last edited by

                                        Попытался выполнить всё по писанному - не выходит. Конектится, но виртуальный адрес не получает и соответственно никакие адреса удаленной локальной сети не доступны.
                                        В книге по pfSense пишут

                                        Прежде всего убедитесь, что DHCP работает только на основном интерфейсе (с IP адресом), а не на одном из подключаемых в мост.

                                        в инструкции по созданию моста пишут, что нужно создать ОРТ(DHCP) интерфейс который объединить в мост с Lan'ом. Какие-то сплошные противоречия…
                                        Вот еще нашел в тексте книги по pfSense

                                        9.5.2.3.3. Отключение моста при начальной загрузке
                                        Вам потребуется добавить в конфигурацию команду которая позволит отключать мост при первоначальной загрузке. Это предотвратит появление петли уровня 2, а мост будет поднят на мастере CARP с помощью скрипта bridgecheck.sh через минуту после загрузки. Над строкой , необходимо добавить следующую строку: <shellcmd>/sbin/ifconfig bridge0 down</shellcmd> Сохраните изменения конфигурационных файлов. Теперь восстановите изменённую конфигурацию на первичном и резервном брандмауэре. Брандмауэры должены перезагрузиться после восстановления конфигурации и нормально работать.

                                        Это нужно делать или нет? В мануале об этом речь не велась…

                                        1 Reply Last reply Reply Quote 0
                                        • J
                                          Jetberry
                                          last edited by

                                          Появилось свободное время - вновь вернулся к мосту.
                                          Удалось настроить подключение филиала к главному офису, но компы не видятся ни из офиса ни из филиала. Ip-адрес клиент получает по DHCP в заданном диапазоне. Подскажите в чем может быть проблема? В логи смотрел - вроде всё путём.
                                          В Advanced нужно что нибудь прописывать?

                                          1 Reply Last reply Reply Quote 0
                                          • werterW
                                            werter
                                            last edited by

                                            В Advanced нужно что нибудь прописывать?

                                            А как по-другому сервер узнает маршрут до клиента. Или как сеть за сервером\клиентом узнают о существование друг друга ? Ну и плюс правила fw не забудьте.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.