OpenVPN PKI: Site-to-Site инструкция для обсуждения

Jetberry

@Jetberry:

@dvserg:

Вопрос в том, что является шлюзом по обе стороны моста?

Можно перефразировать вопрос, пожалуйста? :)

У Вас речь о бридже OVPN наверное, подумал про сбридженные интерфейсы (и тут есть свои моменты).

Снова как-то не понятно изъясняетесь :)
Поднят ovpn (tap), указал что-бы адреса назначались по dhcp в диапазоне локальной сети, в advanсed push "route наша сеть 255.255.255.0", с ним и еще с lan интерфейсом создал bridge. вот как-то так. а сбридженные интерфейсы это или нет - я не знаю, я первый раз такое делаю :)

Jetberry

еще вопрос о бридже, в той инструкции указано server mode: Remote access я так и сделал, однако в клиентских настройках можно выбрать только Peer to Peer потому приходиться подключаться через windows клиент, хотя в идеале конечно было бы хорошо "запихнуть" всех в нашу сеть с помощью pfsense установленном на клиентской территории. Просто 1С напрямую работает только через бридж, хотя и трафика больше на это уходит.

werter

1C - в каком виде ? Если это файловый режим - это одно, если же это серверный вариант - это будет работать и через tun. Плюс - как подключаются клиенты - толстый клиент, тонкий или это терминальный доступ (тогда зачем tap ?) ?

Это три устройства сторонних организаций, которые расположены на нашей территории

Эти "устройства" разве непосредственно (в виде сервисов) на pfsense крутятся? И проброса портов на WAN не вижу. Ерунда какая-то.

с ним и еще с lan интерфейсом создал bridge. вот как-то так. а сбридженные интерфейсы это или нет - я не знаю, я первый раз такое делаю

Н-дааа, Сперва делаем - потом думаем. Нужен вам этот бридж (и понимаем мы с вами этот термин по-разному, оказывается) или нет, хз.

В общем так. Если хотите решить проблему - рисуйте подробную схему с адресами ЦО и ваших филиалов (будет "кино" если внутренние сети ЦО и филиалов совпадают). Плюс , узнайте что еще за уст-ва такие у вас там "живут" 8) .

dvserg

@Jetberry:

Снова как-то не понятно изъясняетесь :)
Поднят ovpn (tap), указал что-бы адреса назначались по dhcp в диапазоне локальной сети, в advanсed push "route наша сеть 255.255.255.0", с ним и еще с lan интерфейсом создал bridge. вот как-то так. а сбридженные интерфейсы это или нет - я не знаю, я первый раз такое делаю :)

Да нет, изъясняюсь-то я вполне понятно, если быть в теме. А так см. предыдущий пост.

Jetberry

Схема простая.
Мы являемся филиалом, подключены мы к ЦО по OVPN-туннелю (Peer to Peer), виртуальные адреса из диапазона 10.х.№филиала.х, ЦО установил нам диапазон адресов (192.168.№филиала.ххх) дабы филиалы друг с другом не путались.
В pfSense приходит интернет непрямую от провайдера на wan интерфейс (PPPoE), lan смотрит во внутреннюю сеть (статические адреса). Три банкомата подключены через нас к интернету, им присвоены адреса локальной сети и без wan разрешающих правил они не работают. Есть удаленная территория которую нужно подключить к нашей локальной сети, интернет им приходит на dsl-модем\роутер. Машин там немного, на данный момент там адреса 192.168.1.х. У нас создан tap интерфейс сбридженный с lanом, подключаемые клиенты получают по dhcp наши локальные адреса из не занятого диапазона.
1С 7.7 серверный вариант. Пока подключаются через Windows клиент к нам. Через туннель (виртуальные адреса 10.0.х.х и они не пересекаются с ЦО) работает по RDP, печать на стороне клиента была не возможна. Создал подключение через мост, заработало всё напрямую, но с нашей стороны данные клиенты не видны, т.е. в логах видно что они к нам подключаются, работают, но обратиться к ним никак не получается, в логах pfSense тем не менее всё чисто.
P.S. Если всё таки понадобится схема, то нарисую.
P.P.S. Может ошибкою было назначить им адреса 192.168.1.х, т.к. такие же адреса в ЦО? С другой стороны они же подключаются к нам получая виртуальные адреса из нашей сети (192.168.№филиала.ххх).

werter

Может ошибкою было назначить им адреса 192.168.1.х, т.к. такие же адреса в ЦО

Если вы полностью уверены , что клиенты, подключаясь к вам, не получают адреса, совпадающие с адресами в вашей ЛАН - то все ОК.

P.s. Рисуйте схему. Так всем будет понятнее.

Jetberry

@werter:

Может ошибкою было назначить им адреса 192.168.1.х, т.к. такие же адреса в ЦО

Если вы полностью уверены , что клиенты, подключаясь к вам, не получают адреса, совпадающие с адресами в вашей ЛАН - то все ОК.

P.s. Рисуйте схему. Так всем будет понятнее.

Они получают незанятые адреса из нашей локальной сети
Схема
Маршруты
default xxx.xxx.xxx.xxx UGS 0 3812460 1492 pppoe0
10.0.8.0/24 10.0.8.2 UGS 0 0 1500 ovpns2
10.0.8.1 link#11 UHS 0 0 16384 lo0
10.0.8.2 link#11 UH 0 0 1500 ovpns2
10.6.0.0/24 10.7.16.2 UGS 0 0 1500 ovpnc1
10.7.16.1 link#13 UHS 0 0 16384 lo0
10.7.16.2 link#13 UH 0 0 1500 ovpnc1
10.7.39.0/30 10.7.16.2 UGS 0 0 1500 ovpnc1
xxx.xxx.xxx.xxx link#9 UHS 0 0 16384 lo0
127.0.0.1 link#8 UH 0 7928165 16384 lo0
172.16.0.0/20 10.7.16.2 UGS 0 8986 1500 ovpnc1
172.16.4.93/32 10.7.16.2 UGS 0 0 1500 ovpnc1
172.16.4.136/32 10.7.16.2 UGS 0 0 1500 ovpnc1
172.16.5.27/32 10.7.16.2 UGS 0 0 1500 ovpnc1
172.16.5.32/32 10.7.16.2 UGS 0 0 1500 ovpnc1
192.168.1.0/24 10.7.16.2 UGS 0 18414 1500 ovpnc1
192.168.2.0/24 10.7.16.2 UGS 0 0 1500 ovpnc1
192.168.16.0/24 link#2 U 0 11689984 1500 em0
192.168.16.254 link#2 UHS 0 201105 16384 lo0

?????????1.png
?????????1.png_thumb

dvserg

@werter:

Если хотите решить проблему - рисуйте подробную схему с адресами ЦО и ваших филиалов (будет "кино" если внутренние сети ЦО и филиалов совпадают).

Таки совпадают удаленная и ЦО.

Jetberry

@dvserg:

@werter:

Если хотите решить проблему - рисуйте подробную схему с адресами ЦО и ваших филиалов (будет "кино" если внутренние сети ЦО и филиалов совпадают).

Таки совпадают удаленная и ЦО.

В нашу сеть они всё равно попадают же с виртуальными адресами, т.е. 192.168.16.0/24 или не?. А в ЦО (это не мы) они там никому не нужны, они только нам нужны. Там 5 машин, поменять можно легко, вот только на что? 172.16.0.0 используется, 192.168.0.0 тоже и получить диапазон от ЦО для "сарая на отшибе" будет затруднительно. Потому-то и выбрал мост, т.к. вроде позволяет объединять одинаковые сети. Или ошибаюсь?

werter

У вас ДВА (и более) одинаковых адреса . Как вы прикажите пфсенсу их различать ? Меняйте адресацию.

Jetberry

@werter:

У вас ДВА (и более) одинаковых адреса . Как вы прикажите пфсенсу их различать ? Меняйте адресацию.

А такую подсеть выделить не получиться - 192.168.16.8/29, если выделяются по DHCP с 192.168.16.9 по 192.168.16.14? Как раз 5 адресов, даже 6.
А или Вы имели ввиду 192.168.1.0/24 на что нибудь поменять? Тогда ясно…

lsd25

Jetberry, все правильно.. сети на разных концах должны быть разные.
У меня тоже есть ЦО и филиалы. Опенвпн в режиме tap-bridge в локальную сеть. У всех филиалов сети разные делаю изначально.
Только одно "но" - опенвпн не выделяется виртуальная сеть, т.е. интерфейс опенвпн забриджен с лан и не имеет адреса. На всех клиентах прописан статический ип.
В обе стороны все работает. Костыли, конечно, но 3 года в продакшине без нареканий)) Однако раздумываю, как лучше организовать сеть для филиалов в других городах.
Кстати, я же когда-то тут (на трекере, если точнее) и запостил небольшой патч, который позволял в web выбрать режим интерфейса tap или tun из-за необходимости работы филиалов непосредственно в нашей локальной сети ;)

Хотелось бы услышать какой-нибудь ответ, все таки, по поводу этого:

OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.0.0

когда выставляешь topology subnet.
Как заставить openvpn прописать маршрут в нужную сеть только после того, как подключится клиент, за которым она находится? А то получается, сервер стартует, не может найти сеть и ругается, а после подключается уже клиент, за которым она есть, но маршрут "удачно" не прописался.

Ilyuha

Парни, а помоги мне тоже пожалуйста.
У меня схема из первого поста:
pf1
lan1 192.168.132.0/24
ovpn_srv: p2p(ssl/tls), udp, tun, tun_net (10.0.18.0/24), adv opt (route 192.168.118.0 255.255.255.0)

pf2
lan2 192.168.118.0/24
ovpn_clnt: -//-, remote_net (192.168.132.0/24)

Так как с автоматическим НАТом маршрут не работал, при том что в таблице маршрутов порядок

пришлось назначить ВПН соединению виртуальный интерфейс

и включить ручной НАТ

Теперь из сети lan2 (192.168.118.0/24) в сеть lan1 (192.168.132.0/24) траффик шурует на все 100% чего не скажешь про обратное направление (от офиса к филиалу) не идут пинги даже на ЛАН интерфейс pf2 с роутера pf1. Пингуется только туннельный интерфейс филиала (10.0.18.6)

это часть таблицы pf1

Собсна хотелось бы разобраться с направлением vpn_server(pf1)>pvn_client(pf2) (как и у товарища Jetberry)

werter

~~Добавьте iroute 192.168.118.0 255.255.255.0; в настройках сервера (вкладка OpenVPN: Client Specific Override). И правила fw само собой.~~

P.s.

pf1
lan1 192.168.132.0/24
ovpn_srv: p2p(ssl/tls), udp, tun, tun_net (10.0.18.0/24), adv opt (route 192.168.118.0 255.255.255.0)

pf2
lan2 192.168.118.0/24
ovpn_clnt: -//-, remote_net (192.168.132.0/24)

Хмм..В настройках pf1 Tunnel Settings есть Local Network (указывайте 192.168.132.0/24) и Remote Network(указывайте 192.168.118.0/24).
На pf2 в Remote Network - 192.168.132.0/24

adv opt (route 192.168.118.0 255.255.255.0) - не нужно

пришлось назначить ВПН соединению виртуальный интерфейс - пробуйте и без этого

Ilyuha

@werter:

Хмм..В настройках pf1 Tunnel Settings есть Local Network (указывайте 192.168.132.0/24) и Remote Network(указывайте 192.168.118.0/24).
На pf2 в Remote Network - 192.168.132.0/24

Сделал в адвансед чтоб другие филиалы потом добавить. Маршруты в таблице на мой взгляд правильные прописались. Стал экспериментировать потому что "искаропки" не заработало. Направление от офиса к филиалу нигде в логах не светится кроме пинга ВПН интерфейса клиента с роутера офиса

Пинг локального интерфейса pf2 от pf1

Лог pf1

Лог pf2

werter

Есть еще команда tracert (в Win). Гляньте ею куда идут пакеты при обращение к 192.168.118.0/24

Ilyuha

C:\Users\user>tracert -d 192.168.118.2

Трассировка маршрута к 192.168.118.2 с максимальным числом прыжков 30

  1    <1 мс    <1 мс    <1 мс  192.168.132.2
  2     *        *        *     Превышен интервал ожидания для запроса.
  3     *        *        *     Превышен интервал ожидания для запроса.
  4     *        *        *     Превышен интервал ожидания для запроса.
  ...
 30     *        *        *     Превышен интервал ожидания для запроса.

Трассировка завершена.

Результат ожидаемый, ибо в логах видно что теряется/блокируется между pf1>pf2

Jetberry

@lsd25:

Jetberry, все правильно.. сети на разных концах должны быть разные.
У меня тоже есть ЦО и филиалы. Опенвпн в режиме tap-bridge в локальную сеть. У всех филиалов сети разные делаю изначально.
Только одно "но" - опенвпн не выделяется виртуальная сеть, т.е. интерфейс опенвпн забриджен с лан и не имеет адреса. На всех клиентах прописан статический ип.
В обе стороны все работает. Костыли, конечно, но 3 года в продакшине без нареканий)) Однако раздумываю, как лучше организовать сеть для филиалов в других городах.
Кстати, я же когда-то тут (на трекере, если точнее) и запостил небольшой патч, который позволял в web выбрать режим интерфейса tap или tun из-за необходимости работы филиалов непосредственно в нашей локальной сети ;)

Хотелось бы услышать какой-нибудь ответ, все таки, по поводу этого:
OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.0.0
когда выставляешь topology subnet.
Как заставить openvpn прописать маршрут в нужную сеть только после того, как подключится клиент, за которым она находится? А то получается, сервер стартует, не может найти сеть и ругается, а после подключается уже клиент, за которым она есть, но маршрут "удачно" не прописался.

Спасибо за ответ.
А как указать pfSensу, маршрут в сеть клиента?
И еще, в мануале по которому я настраивал OVPN-server (tap) был указан режим Remote Access (так и сделал), а в настройках OVPN-клиента есть только Peer to Peer . У меня сейчас клиенты подключаются с виндовс ovpn-клиента каждый сам по себе. Как вы сделали чтобы вся сеть сразу подключалась? Или можно tap в режиме Peer to Peer настраивать? Или у вас забриджен tun?

werter

@Ilyuha:

C:\Users\user>tracert -d 192.168.118.2

Трассировка маршрута к 192.168.118.2 с максимальным числом прыжков 30

  1    <1 мс    <1 мс    <1 мс  192.168.132.2
  2     *        *        *     Превышен интервал ожидания для запроса.
  3     *        *        *     Превышен интервал ожидания для запроса.
  4     *        *        *     Превышен интервал ожидания для запроса.
  ...
 30     *        *        *     Превышен интервал ожидания для запроса.

Трассировка завершена.

Результат ожидаемый, ибо в логах видно что теряется/блокируется между pf1>pf2

У вас нет маршрута (или неправильный?) в сеть 192.168.118.xx. Если, конечно, нет записей о блокировке в fw.

werter

2 Jetberry

А как указать pfSensу, маршрут в сеть клиента?

Директива route в доп. настройках на сервере

У меня сейчас клиенты подключаются с виндовс ovpn-клиента каждый сам по себе. Как вы сделали чтобы вся сеть сразу подключалась?

Если у вас Win-ОСь, то прийдется или объединять OpenVPN и локальный интерфейсы в бридж или включать маршрутизацию между этими интерфейсами (http://www.runpcrun.com/howtoopenvpn, https://forums.openvpn.net/topic7806-15.html)