OpenVPN PKI: Site-to-Site инструкция для обсуждения

Ilyuha

werter, маршруты сенсов есть в семидесятом посте.

rubic

werter, маршруты сенсов есть в семидесятом посте.

Прочтите еще раз внимательно последний абзац первого поста темы. Маршрутов в системной таблице маршрутизации не достаточно для доступа в сеть клиента. Система знает, что сеть клиента находится за OpenVPN туннелем, но OpenVPN сервер не знает за каким именно.

Ilyuha

rubic, Добавил iroute, на pf1 без изменений, пингуется с роутера только 10.0.18.6. На pf2 вернул автоматический роутинг (outbound), теперь не пингуется сеть за pf1 ни из локальной сети филиала ни с роутера pf2. Маршруты на обоих сенсах прежние, перезагружал не однократно.

werter

А в каком режиме работает сам Опенвпн-туннель - peer 2 peer или remote access ? У меня все в порядке с remote access. Попробуйте грохнуть все ваши теперешние туннели (и на сервере и на клиентах) и настроить в режиме remote access. И верните NAT в авторежим, удалив там ваши правила, пока что.

P.s. Есть ли на клиентах фаерволы? Отключите их. И дефолтный виндовый отключите пока что.

P.p.s. Не получиться с ОпенВПН - настраивайте IPSec\PPTP.

kudrik_tt

Здравствуйте, подскажите пожалуйста, я экспортировал сертификат OVPNC1-cert.crt как мне скопировать его содержимое? Я его открываю - это обычный сертификат, и ключ я в нем найти не могу. Пожалуйста, подскажите - очень хочется попробывать этот метод соединения

werter

@kudrik_tt:

Здравствуйте, подскажите пожалуйста, я экспортировал сертификат OVPNC1-cert.crt как мне скопировать его содержимое? Я его открываю - это обычный сертификат, и ключ я в нем найти не могу. Пожалуйста, подскажите - очень хочется попробывать этот метод соединения

??? Не путайте теплое с мягким. А настройка есть и на этом форуме и на ютубе. Надо лишь не лениться искать.

Ilyuha

kudrik_tt, блокнотом открой .crt

Ilyuha

rubic, запустил две тестовых виртуалки, настроил 100% по инструкции - результат тот же (pf2>pf1 хорошо, pf1>pf2 плохо).
Common name в Client Specific Override именно "ovpnc1" должен быть? pf2 подключается на "ovpnc1" но на pf1 этого нэйма нигде не нашел.

werter

@Ilyuha:

rubic, запустил две тестовых виртуалки, настроил 100% по инструкции - результат тот же (pf2>pf1 хорошо, pf1>pf2 плохо).
Common name в Client Specific Override именно "ovpnc1" должен быть? pf2 подключается на "ovpnc1" но на pf1 этого нэйма нигде не нашел.

А вот и проблема нашлась.
Там должно быть client's X.509 common name here - имя пользовательского сертификата\ключа, а у Вас там с какого-то перепугу имя интерфейса. Покажите вкладку System: Certificate Manager: Certificates

И вы не отвели на вопрос :

А в каком режиме работает сам Опенвпн-туннель - peer 2 peer или remote access ?

P.s. Вот еще неплохая статья по настройке OpenVPN на Pfsense - http://www.iceflatline.com/2010/10/secure-remote-access-to-your-home-network-using-pfsense-and-openvpn/

kudrik_tt

@Ilyuha:

kudrik_tt, блокнотом открой .crt

Сам дурак, каюсь, никогда кстати не предполагал что его так просто вытащить, спасибо большое. Да статья очень понятная, и очень простая, спасибо большое за труд.

Ilyuha

werter, спасибо, с именем из "Common Name" заработало направление pf1>pf2!!! Настроено Peer2Peer. Остался последний вопрос: чего перенастроить чтоб клиенты за pf2 видели маршруты к сети pf1 в режиме NAT Out Auto. Сейчас на pf2 сделал отдельный интерфейс для ВПН клиента и в NAT Out manual указал его для подсети pf1. В сети pf1 отлично все роутится в автоматическом режиме.

werter

2 Ilyuha

Скрины правил fw ,NAT, настроек OpenVPN на обоих концах в студию.

Jetberry

Недавно чудесным образом всё заработало, т.е. "появились" маршруты в ДО со всеми вытекающими последствиями :o

dvv06

@aleksvolgin:

Графическая иллюстрация топологии net30:

Прошу помощи у знающих людей в этой теме.
Ситуация:
имеется WAN1 = триолан (белый) , WAN2 = укртелеком (динамический, привязаный к No-Ip.org) организованіе в FailOver. переключение при падении WAN1/WAN2 отрабатівает отлично.
имеется LAN1=192.168.111.0/24 и LAN2=192.168.1.0/24 мершрутизируются друг в друга.
организовал по статье OpenVPN PKI сервер OVPNS1 <-> OVPNC1 работает отлично (пинги ходят туда и обратно, спасибо автору статьи)
на стороне OVPNC1 имеется только WAN1. Задача организовать отказоустойчивій опенвпн при условии что обновляться с версии 2.0.1 до 2.1 не буду в ближайшее время.
т.е как сделать чтобы при падении WAN1/WAN2 OpenVPN Server1 епереключался автоматом на доступный инет используя PKI

werter

2 dvv06

Нарисуйте схему. Так понятнее будет.

dvv06

@werter:

2 dvv06
вот схема. организвал по статье связь OVPNS2-OVPNC2 (PKI), возможно ли организовать на базе OSPF отказоустойчивую связь по второму провайдеру для филиала? если да то если можно поподробней…
http://slil.ru/34937355
Нарисуйте схему. Так понятнее будет.

werter

Приаттачьте рисунок сюда, пож-та.

dvv06

@werter:

Приаттачьте рисунок сюда, пож-та.

net1.png_thumb

dvv06

@werter:

https://forum.pfsense.org/index.php/topic,38677.0.html

у меня так Remote Access (ssl/tls + Auth) OpenVPN сервер работает.
завтра попробую протестировать в режиме PKI по аналогии с Вашей ссылкой.
Просто я начал городить огород…создавал OVPNS1-OVPNC1:1195 и OVPNS2-OVPNC2:1196 и пытался ospf их маршрутизировать...кароче зашел в тупик

werter

1. Включите Openvpn на обоих интерфейсах на разных портах . Правила Fw на wan1 и wan2 проверьте.
2. В настройках пф-клиента во вкладке Client- Advanced configuration укажите директивы :

remote-random;
remote x.x.x.x 1194;
remote x.x.x.x 1195;

Ps. Все же задумайтесь о переходе на 2.1 :

pfSense 2.1 new features

…
OpenVPN multi-wan failover
...