• Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login
Netgate Discussion Forum
  • Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login

OpenVPN PKI: Site-to-Site инструкция для обсуждения

Scheduled Pinned Locked Moved Russian
376 Posts 39 Posters 196.9k Views
Loading More Posts
  • Oldest to Newest
  • Newest to Oldest
  • Most Votes
Reply
  • Reply as topic
Log in to reply
This topic has been deleted. Only users with topic management privileges can see it.
  • J
    Jetberry
    last edited by Oct 28, 2013, 11:37 AM

    @werter:

    Может ошибкою было назначить им адреса 192.168.1.х, т.к. такие же адреса в ЦО

    Если вы полностью уверены , что клиенты, подключаясь к вам,  не получают адреса, совпадающие с адресами в вашей ЛАН - то все ОК.

    P.s. Рисуйте схему. Так всем будет понятнее.

    Они получают незанятые адреса из нашей локальной сети
    Схема
    Маршруты
    default xxx.xxx.xxx.xxx UGS 0 3812460 1492 pppoe0
    10.0.8.0/24 10.0.8.2 UGS 0 0 1500 ovpns2
    10.0.8.1 link#11 UHS 0 0 16384 lo0
    10.0.8.2 link#11 UH 0 0 1500 ovpns2
    10.6.0.0/24 10.7.16.2 UGS 0 0 1500 ovpnc1
    10.7.16.1 link#13 UHS 0 0 16384 lo0
    10.7.16.2 link#13 UH 0 0 1500 ovpnc1
    10.7.39.0/30 10.7.16.2 UGS 0 0 1500 ovpnc1
    xxx.xxx.xxx.xxx link#9 UHS 0 0 16384 lo0
    127.0.0.1 link#8 UH 0 7928165 16384 lo0
    172.16.0.0/20 10.7.16.2 UGS 0 8986 1500 ovpnc1
    172.16.4.93/32 10.7.16.2 UGS 0 0 1500 ovpnc1
    172.16.4.136/32 10.7.16.2 UGS 0 0 1500 ovpnc1
    172.16.5.27/32 10.7.16.2 UGS 0 0 1500 ovpnc1
    172.16.5.32/32 10.7.16.2 UGS 0 0 1500 ovpnc1
    192.168.1.0/24 10.7.16.2 UGS 0 18414 1500 ovpnc1
    192.168.2.0/24 10.7.16.2 UGS 0 0 1500 ovpnc1
    192.168.16.0/24 link#2 U 0 11689984 1500 em0
    192.168.16.254 link#2 UHS 0 201105 16384 lo0

    ?????????1.png
    ?????????1.png_thumb

    1 Reply Last reply Reply Quote 0
    • D
      dvserg
      last edited by Oct 28, 2013, 12:07 PM

      @werter:

      Если хотите решить проблему - рисуйте подробную схему с адресами ЦО и ваших филиалов (будет "кино" если внутренние сети ЦО и филиалов совпадают).

      Таки совпадают удаленная и ЦО.

      SquidGuardDoc EN  RU Tutorial
      Localization ru_PFSense

      1 Reply Last reply Reply Quote 0
      • J
        Jetberry
        last edited by Oct 28, 2013, 12:36 PM

        @dvserg:

        @werter:

        Если хотите решить проблему - рисуйте подробную схему с адресами ЦО и ваших филиалов (будет "кино" если внутренние сети ЦО и филиалов совпадают).

        Таки совпадают удаленная и ЦО.

        В нашу сеть они всё равно попадают же с виртуальными адресами, т.е. 192.168.16.0/24 или не?. А в ЦО (это не мы) они там никому не нужны, они только нам нужны. Там 5 машин, поменять можно легко, вот только на что? 172.16.0.0 используется, 192.168.0.0 тоже и получить диапазон от ЦО для "сарая на отшибе" будет затруднительно. Потому-то и выбрал мост, т.к. вроде позволяет объединять одинаковые сети. Или ошибаюсь?

        1 Reply Last reply Reply Quote 0
        • W
          werter
          last edited by Oct 28, 2013, 6:57 PM

          У вас ДВА (и более) одинаковых адреса . Как вы прикажите пфсенсу их различать ? Меняйте адресацию.

          1 Reply Last reply Reply Quote 0
          • J
            Jetberry
            last edited by Oct 29, 2013, 4:21 AM Oct 29, 2013, 4:19 AM

            @werter:

            У вас ДВА (и более) одинаковых адреса . Как вы прикажите пфсенсу их различать ? Меняйте адресацию.

            А такую подсеть выделить не получиться - 192.168.16.8/29, если выделяются по DHCP с 192.168.16.9 по 192.168.16.14? Как раз 5 адресов, даже 6.
            А или Вы имели ввиду 192.168.1.0/24 на что нибудь поменять? Тогда ясно…

            1 Reply Last reply Reply Quote 0
            • L
              lsd25
              last edited by Oct 31, 2013, 6:52 PM Oct 31, 2013, 6:44 PM

              Jetberry, все правильно.. сети на разных концах должны быть разные.
              У меня тоже есть ЦО и филиалы. Опенвпн в режиме tap-bridge в локальную сеть. У всех филиалов сети разные делаю изначально.
              Только одно "но" - опенвпн не выделяется виртуальная сеть, т.е. интерфейс опенвпн забриджен с лан и не имеет адреса. На всех клиентах прописан статический ип.
              В обе стороны все работает. Костыли, конечно, но 3 года в продакшине без нареканий)) Однако раздумываю, как лучше организовать сеть для филиалов в других городах.
              Кстати, я же когда-то тут (на трекере, если точнее) и запостил небольшой патч, который позволял в web выбрать режим интерфейса tap или tun из-за необходимости работы филиалов непосредственно в нашей локальной сети ;)

              Хотелось бы услышать какой-нибудь ответ, все таки, по поводу этого:

              OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.0.0
              

              когда выставляешь topology subnet.
              Как заставить openvpn прописать маршрут в нужную сеть только после того, как подключится клиент, за которым она находится? А то получается, сервер стартует, не может найти сеть и ругается, а после подключается уже клиент, за которым она есть, но маршрут "удачно" не прописался.

              1 Reply Last reply Reply Quote 0
              • I
                Ilyuha
                last edited by Nov 3, 2013, 3:38 PM Nov 3, 2013, 3:31 PM

                Парни, а помоги мне тоже пожалуйста.
                У меня схема из первого поста:
                pf1
                lan1 192.168.132.0/24
                ovpn_srv: p2p(ssl/tls), udp, tun, tun_net (10.0.18.0/24), adv opt (route 192.168.118.0 255.255.255.0)

                pf2
                lan2 192.168.118.0/24
                ovpn_clnt: -//-, remote_net (192.168.132.0/24)

                Так как с автоматическим НАТом маршрут не работал, при том что в таблице маршрутов порядок


                пришлось назначить ВПН соединению виртуальный интерфейс

                и включить ручной НАТ

                Теперь из сети lan2 (192.168.118.0/24) в сеть lan1 (192.168.132.0/24) траффик шурует на все 100% чего не скажешь про обратное направление (от офиса к филиалу) не идут пинги даже на ЛАН интерфейс pf2 с роутера pf1. Пингуется только туннельный интерфейс филиала (10.0.18.6)

                это часть таблицы pf1


                Собсна хотелось бы разобраться с направлением vpn_server(pf1)>pvn_client(pf2) (как и у товарища Jetberry)

                1 Reply Last reply Reply Quote 0
                • W
                  werter
                  last edited by Nov 3, 2013, 6:46 PM Nov 3, 2013, 6:16 PM

                  Добавьте iroute 192.168.118.0 255.255.255.0;  в настройках сервера (вкладка OpenVPN: Client Specific Override). И правила fw само собой.

                  P.s.

                  pf1
                  lan1 192.168.132.0/24
                  ovpn_srv: p2p(ssl/tls), udp, tun, tun_net (10.0.18.0/24), adv opt (route 192.168.118.0 255.255.255.0)

                  pf2
                  lan2 192.168.118.0/24
                  ovpn_clnt: -//-, remote_net (192.168.132.0/24)

                  Хмм..В настройках pf1 Tunnel Settings есть Local Network (указывайте 192.168.132.0/24) и Remote Network(указывайте 192.168.118.0/24).
                  На pf2 в Remote Network - 192.168.132.0/24

                  adv opt (route 192.168.118.0 255.255.255.0) - не нужно

                  пришлось назначить ВПН соединению виртуальный интерфейс - пробуйте и без этого

                  1 Reply Last reply Reply Quote 0
                  • I
                    Ilyuha
                    last edited by Nov 4, 2013, 1:43 PM Nov 4, 2013, 1:12 PM

                    @werter:

                    Хмм..В настройках pf1 Tunnel Settings есть Local Network (указывайте 192.168.132.0/24) и Remote Network(указывайте 192.168.118.0/24).
                    На pf2 в Remote Network - 192.168.132.0/24

                    Сделал в адвансед чтоб другие филиалы потом добавить. Маршруты в таблице на мой взгляд правильные прописались. Стал экспериментировать потому что "искаропки" не заработало. Направление от офиса к филиалу нигде в логах не светится кроме пинга ВПН интерфейса клиента с роутера офиса

                    Пинг локального интерфейса pf2 от pf1

                    Лог pf1

                    Лог pf2

                    1 Reply Last reply Reply Quote 0
                    • W
                      werter
                      last edited by Nov 4, 2013, 9:48 PM

                      Есть еще команда tracert (в Win). Гляньте ею куда идут пакеты при обращение к 192.168.118.0/24

                      1 Reply Last reply Reply Quote 0
                      • I
                        Ilyuha
                        last edited by Nov 5, 2013, 2:45 AM

                        C:\Users\user>tracert -d 192.168.118.2
                        
                        Трассировка маршрута к 192.168.118.2 с максимальным числом прыжков 30
                        
                          1    <1 мс    <1 мс    <1 мс  192.168.132.2
                          2     *        *        *     Превышен интервал ожидания для запроса.
                          3     *        *        *     Превышен интервал ожидания для запроса.
                          4     *        *        *     Превышен интервал ожидания для запроса.
                          ...
                         30     *        *        *     Превышен интервал ожидания для запроса.
                        
                        Трассировка завершена.
                        

                        Результат ожидаемый, ибо в логах видно что теряется/блокируется между pf1>pf2

                        1 Reply Last reply Reply Quote 0
                        • J
                          Jetberry
                          last edited by Nov 5, 2013, 11:21 AM Nov 5, 2013, 11:18 AM

                          @lsd25:

                          Jetberry, все правильно.. сети на разных концах должны быть разные.
                          У меня тоже есть ЦО и филиалы. Опенвпн в режиме tap-bridge в локальную сеть. У всех филиалов сети разные делаю изначально.
                          Только одно "но" - опенвпн не выделяется виртуальная сеть, т.е. интерфейс опенвпн забриджен с лан и не имеет адреса. На всех клиентах прописан статический ип.
                          В обе стороны все работает. Костыли, конечно, но 3 года в продакшине без нареканий)) Однако раздумываю, как лучше организовать сеть для филиалов в других городах.
                          Кстати, я же когда-то тут (на трекере, если точнее) и запостил небольшой патч, который позволял в web выбрать режим интерфейса tap или tun из-за необходимости работы филиалов непосредственно в нашей локальной сети ;)

                          Хотелось бы услышать какой-нибудь ответ, все таки, по поводу этого:

                          OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.0.0
                          

                          когда выставляешь topology subnet.
                          Как заставить openvpn прописать маршрут в нужную сеть только после того, как подключится клиент, за которым она находится? А то получается, сервер стартует, не может найти сеть и ругается, а после подключается уже клиент, за которым она есть, но маршрут "удачно" не прописался.

                          Спасибо за ответ.
                          А как указать pfSensу, маршрут в сеть клиента?
                          И еще, в мануале по которому я настраивал OVPN-server (tap) был указан режим Remote Access (так и сделал), а в настройках OVPN-клиента есть только Peer to Peer . У меня сейчас клиенты подключаются с виндовс ovpn-клиента каждый сам по себе. Как вы сделали чтобы вся сеть сразу подключалась? Или можно tap в режиме Peer to Peer настраивать? Или у вас забриджен tun?

                          1 Reply Last reply Reply Quote 0
                          • W
                            werter
                            last edited by Nov 5, 2013, 7:21 PM Nov 5, 2013, 7:20 PM

                            @Ilyuha:

                            C:\Users\user>tracert -d 192.168.118.2
                            
                            Трассировка маршрута к 192.168.118.2 с максимальным числом прыжков 30
                            
                              1    <1 мс    <1 мс    <1 мс  192.168.132.2
                              2     *        *        *     Превышен интервал ожидания для запроса.
                              3     *        *        *     Превышен интервал ожидания для запроса.
                              4     *        *        *     Превышен интервал ожидания для запроса.
                              ...
                             30     *        *        *     Превышен интервал ожидания для запроса.
                            
                            Трассировка завершена.
                            

                            Результат ожидаемый, ибо в логах видно что теряется/блокируется между pf1>pf2

                            У вас нет маршрута (или неправильный?) в сеть 192.168.118.xx. Если, конечно, нет записей о блокировке в fw.

                            1 Reply Last reply Reply Quote 0
                            • W
                              werter
                              last edited by Nov 5, 2013, 8:00 PM Nov 5, 2013, 7:26 PM

                              2 Jetberry

                              А как указать pfSensу, маршрут в сеть клиента?

                              Директива route в доп. настройках на сервере

                              У меня сейчас клиенты подключаются с виндовс ovpn-клиента каждый сам по себе. Как вы сделали чтобы вся сеть сразу подключалась?

                              Если у вас Win-ОСь, то прийдется или объединять OpenVPN и локальный интерфейсы в бридж или включать маршрутизацию между этими интерфейсами (http://www.runpcrun.com/howtoopenvpn, https://forums.openvpn.net/topic7806-15.html)

                              1 Reply Last reply Reply Quote 0
                              • I
                                Ilyuha
                                last edited by Nov 6, 2013, 12:40 AM

                                werter, маршруты сенсов есть в семидесятом посте.

                                1 Reply Last reply Reply Quote 0
                                • R
                                  rubic
                                  last edited by Nov 6, 2013, 7:40 AM

                                  @Ilyuha:

                                  werter, маршруты сенсов есть в семидесятом посте.

                                  Прочтите еще раз внимательно последний абзац первого поста темы. Маршрутов в системной таблице маршрутизации не достаточно для доступа в сеть клиента. Система знает, что сеть клиента находится за OpenVPN туннелем, но OpenVPN сервер не знает за каким именно.

                                  1 Reply Last reply Reply Quote 0
                                  • I
                                    Ilyuha
                                    last edited by Nov 6, 2013, 3:04 PM

                                    rubic, Добавил iroute, на pf1 без изменений, пингуется с роутера только 10.0.18.6. На pf2 вернул автоматический роутинг (outbound), теперь не пингуется сеть за pf1 ни из локальной сети филиала ни с роутера pf2. Маршруты на обоих сенсах прежние, перезагружал не однократно.

                                    1 Reply Last reply Reply Quote 0
                                    • W
                                      werter
                                      last edited by Nov 6, 2013, 6:41 PM Nov 6, 2013, 6:19 PM

                                      А в каком режиме работает сам Опенвпн-туннель - peer 2 peer  или remote access ? У меня все в порядке с  remote access. Попробуйте грохнуть все ваши теперешние туннели (и на сервере и на клиентах) и настроить в режиме  remote access.  И верните NAT в авторежим, удалив там ваши правила, пока что.

                                      P.s. Есть ли на клиентах фаерволы? Отключите их. И дефолтный виндовый отключите пока что.

                                      P.p.s. Не получиться с ОпенВПН - настраивайте IPSec\PPTP.

                                      1 Reply Last reply Reply Quote 0
                                      • K
                                        kudrik_tt
                                        last edited by Nov 11, 2013, 6:19 AM

                                        Здравствуйте, подскажите пожалуйста, я экспортировал сертификат OVPNC1-cert.crt как мне скопировать его содержимое? Я его открываю - это обычный сертификат, и ключ я в нем найти не могу. Пожалуйста, подскажите - очень хочется попробывать этот метод соединения

                                        1 Reply Last reply Reply Quote 0
                                        • W
                                          werter
                                          last edited by Nov 11, 2013, 2:15 PM Nov 11, 2013, 11:23 AM

                                          @kudrik_tt:

                                          Здравствуйте, подскажите пожалуйста, я экспортировал сертификат OVPNC1-cert.crt как мне скопировать его содержимое? Я его открываю - это обычный сертификат, и ключ я в нем найти не могу. Пожалуйста, подскажите - очень хочется попробывать этот метод соединения

                                          ??? Не путайте теплое с  мягким. А настройка есть и на этом форуме и на ютубе. Надо лишь не лениться искать.

                                          1 Reply Last reply Reply Quote 0
                                          84 out of 376
                                          • First post
                                            84/376
                                            Last post
                                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.
                                            This community forum collects and processes your personal information.
                                            consent.not_received