OpenVPN PKI: Site-to-Site инструкция для обсуждения
-
Добавьте iroute 192.168.118.0 255.255.255.0; в настройках сервера (вкладка OpenVPN: Client Specific Override). И правила fw само собой.P.s.
pf1
lan1 192.168.132.0/24
ovpn_srv: p2p(ssl/tls), udp, tun, tun_net (10.0.18.0/24), adv opt (route 192.168.118.0 255.255.255.0)pf2
lan2 192.168.118.0/24
ovpn_clnt: -//-, remote_net (192.168.132.0/24)Хмм..В настройках pf1 Tunnel Settings есть Local Network (указывайте 192.168.132.0/24) и Remote Network(указывайте 192.168.118.0/24).
На pf2 в Remote Network - 192.168.132.0/24adv opt (route 192.168.118.0 255.255.255.0) - не нужно
пришлось назначить ВПН соединению виртуальный интерфейс - пробуйте и без этого
-
Хмм..В настройках pf1 Tunnel Settings есть Local Network (указывайте 192.168.132.0/24) и Remote Network(указывайте 192.168.118.0/24).
На pf2 в Remote Network - 192.168.132.0/24Сделал в адвансед чтоб другие филиалы потом добавить. Маршруты в таблице на мой взгляд правильные прописались. Стал экспериментировать потому что "искаропки" не заработало. Направление от офиса к филиалу нигде в логах не светится кроме пинга ВПН интерфейса клиента с роутера офиса
Пинг локального интерфейса pf2 от pf1
Лог pf1
Лог pf2
-
Есть еще команда tracert (в Win). Гляньте ею куда идут пакеты при обращение к 192.168.118.0/24
-
C:\Users\user>tracert -d 192.168.118.2 Трассировка маршрута к 192.168.118.2 с максимальным числом прыжков 30 1 <1 мс <1 мс <1 мс 192.168.132.2 2 * * * Превышен интервал ожидания для запроса. 3 * * * Превышен интервал ожидания для запроса. 4 * * * Превышен интервал ожидания для запроса. ... 30 * * * Превышен интервал ожидания для запроса. Трассировка завершена.Результат ожидаемый, ибо в логах видно что теряется/блокируется между pf1>pf2
-
Jetberry, все правильно.. сети на разных концах должны быть разные.
У меня тоже есть ЦО и филиалы. Опенвпн в режиме tap-bridge в локальную сеть. У всех филиалов сети разные делаю изначально.
Только одно "но" - опенвпн не выделяется виртуальная сеть, т.е. интерфейс опенвпн забриджен с лан и не имеет адреса. На всех клиентах прописан статический ип.
В обе стороны все работает. Костыли, конечно, но 3 года в продакшине без нареканий)) Однако раздумываю, как лучше организовать сеть для филиалов в других городах.
Кстати, я же когда-то тут (на трекере, если точнее) и запостил небольшой патч, который позволял в web выбрать режим интерфейса tap или tun из-за необходимости работы филиалов непосредственно в нашей локальной сети ;)Хотелось бы услышать какой-нибудь ответ, все таки, по поводу этого:
OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.0.0когда выставляешь topology subnet.
Как заставить openvpn прописать маршрут в нужную сеть только после того, как подключится клиент, за которым она находится? А то получается, сервер стартует, не может найти сеть и ругается, а после подключается уже клиент, за которым она есть, но маршрут "удачно" не прописался.Спасибо за ответ.
А как указать pfSensу, маршрут в сеть клиента?
И еще, в мануале по которому я настраивал OVPN-server (tap) был указан режим Remote Access (так и сделал), а в настройках OVPN-клиента есть только Peer to Peer . У меня сейчас клиенты подключаются с виндовс ovpn-клиента каждый сам по себе. Как вы сделали чтобы вся сеть сразу подключалась? Или можно tap в режиме Peer to Peer настраивать? Или у вас забриджен tun? -
C:\Users\user>tracert -d 192.168.118.2 Трассировка маршрута к 192.168.118.2 с максимальным числом прыжков 30 1 <1 мс <1 мс <1 мс 192.168.132.2 2 * * * Превышен интервал ожидания для запроса. 3 * * * Превышен интервал ожидания для запроса. 4 * * * Превышен интервал ожидания для запроса. ... 30 * * * Превышен интервал ожидания для запроса. Трассировка завершена.Результат ожидаемый, ибо в логах видно что теряется/блокируется между pf1>pf2
У вас нет маршрута (или неправильный?) в сеть 192.168.118.xx. Если, конечно, нет записей о блокировке в fw.
-
2 Jetberry
А как указать pfSensу, маршрут в сеть клиента?
Директива route в доп. настройках на сервере
У меня сейчас клиенты подключаются с виндовс ovpn-клиента каждый сам по себе. Как вы сделали чтобы вся сеть сразу подключалась?
Если у вас Win-ОСь, то прийдется или объединять OpenVPN и локальный интерфейсы в бридж или включать маршрутизацию между этими интерфейсами (http://www.runpcrun.com/howtoopenvpn, https://forums.openvpn.net/topic7806-15.html)
-
werter, маршруты сенсов есть в семидесятом посте.
-
werter, маршруты сенсов есть в семидесятом посте.
Прочтите еще раз внимательно последний абзац первого поста темы. Маршрутов в системной таблице маршрутизации не достаточно для доступа в сеть клиента. Система знает, что сеть клиента находится за OpenVPN туннелем, но OpenVPN сервер не знает за каким именно.
-
rubic, Добавил iroute, на pf1 без изменений, пингуется с роутера только 10.0.18.6. На pf2 вернул автоматический роутинг (outbound), теперь не пингуется сеть за pf1 ни из локальной сети филиала ни с роутера pf2. Маршруты на обоих сенсах прежние, перезагружал не однократно.
-
А в каком режиме работает сам Опенвпн-туннель - peer 2 peer или remote access ? У меня все в порядке с remote access. Попробуйте грохнуть все ваши теперешние туннели (и на сервере и на клиентах) и настроить в режиме remote access. И верните NAT в авторежим, удалив там ваши правила, пока что.
P.s. Есть ли на клиентах фаерволы? Отключите их. И дефолтный виндовый отключите пока что.
P.p.s. Не получиться с ОпенВПН - настраивайте IPSec\PPTP.
-
Здравствуйте, подскажите пожалуйста, я экспортировал сертификат OVPNC1-cert.crt как мне скопировать его содержимое? Я его открываю - это обычный сертификат, и ключ я в нем найти не могу. Пожалуйста, подскажите - очень хочется попробывать этот метод соединения
-
Здравствуйте, подскажите пожалуйста, я экспортировал сертификат OVPNC1-cert.crt как мне скопировать его содержимое? Я его открываю - это обычный сертификат, и ключ я в нем найти не могу. Пожалуйста, подскажите - очень хочется попробывать этот метод соединения
??? Не путайте теплое с мягким. А настройка есть и на этом форуме и на ютубе. Надо лишь не лениться искать.
-
kudrik_tt, блокнотом открой .crt
-
rubic, запустил две тестовых виртуалки, настроил 100% по инструкции - результат тот же (pf2>pf1 хорошо, pf1>pf2 плохо).
Common name в Client Specific Override именно "ovpnc1" должен быть? pf2 подключается на "ovpnc1" но на pf1 этого нэйма нигде не нашел. -
rubic, запустил две тестовых виртуалки, настроил 100% по инструкции - результат тот же (pf2>pf1 хорошо, pf1>pf2 плохо).
Common name в Client Specific Override именно "ovpnc1" должен быть? pf2 подключается на "ovpnc1" но на pf1 этого нэйма нигде не нашел.А вот и проблема нашлась.
Там должно быть client's X.509 common name here - имя пользовательского сертификата\ключа, а у Вас там с какого-то перепугу имя интерфейса. Покажите вкладку System: Certificate Manager: CertificatesИ вы не отвели на вопрос :
А в каком режиме работает сам Опенвпн-туннель - peer 2 peer или remote access ?
P.s. Вот еще неплохая статья по настройке OpenVPN на Pfsense - http://www.iceflatline.com/2010/10/secure-remote-access-to-your-home-network-using-pfsense-and-openvpn/
-
kudrik_tt, блокнотом открой .crt
Сам дурак, каюсь, никогда кстати не предполагал что его так просто вытащить, спасибо большое. Да статья очень понятная, и очень простая, спасибо большое за труд.
-
werter, спасибо, с именем из "Common Name" заработало направление pf1>pf2!!! Настроено Peer2Peer. Остался последний вопрос: чего перенастроить чтоб клиенты за pf2 видели маршруты к сети pf1 в режиме NAT Out Auto. Сейчас на pf2 сделал отдельный интерфейс для ВПН клиента и в NAT Out manual указал его для подсети pf1. В сети pf1 отлично все роутится в автоматическом режиме.
-
2 Ilyuha
Скрины правил fw ,NAT, настроек OpenVPN на обоих концах в студию.
-
Недавно чудесным образом всё заработало, т.е. "появились" маршруты в ДО со всеми вытекающими последствиями :o
