Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    LAN клиенты за pfSense с OpenVPN-клиентом

    Scheduled Pinned Locked Moved Russian
    19 Posts 2 Posters 6.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • werterW
      werter
      last edited by

      Инс-ции по настройке OpenVPN и Windows в кач-ве сервера :

      http://habrahabr.ru/post/197744/

      http://habrahabr.ru/sandbox/58689/

      http://www.sysadmin.in.ua/info/index/22/27/39

      http://ne-ne-ne.ru/it/openvpn-server-on-windows.html

      У вас конфиг сервера отличается в настройках (пути к сертификатам, ключам etc.).  Но раз у вас коннект идет - то ОК.

      P.s. На несерверной Windows, выступающей в виде OpenVPN-сервера  нужно включить маршрутизацию между сетевыми интерфейсами :

      https://forums.openvpn.net/topic7806.html

      Windows 7 tweaks for forwarding VPN traffic

      Start -> Right-click My Computer -> Manage
      Services
      Right-click Routing and Remote Access -> Properties -> Automatic
      Right-click Routing and Remote Access -> Start
      
      Next:
      
      Control Panel
      Network and Sharing Center
      Local Area Connection
      Properties
      Sharing
      Tick the box "Allow other network users to connect through this computer's Internet connection"
      From the drop-down list select "Local Area Connection 2", or whatever is the connection name of your TAP server connection.
      
      regedit
      
      Key: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
      Value: IPEnableRouter
      Type: REG_DWORD
      Data: 0x00000001 (1)
      
      1 Reply Last reply Reply Quote 0
      • S
        saritikon
        last edited by

        добавил push "route 192.168.1.0 255.255.255.0" в конфиг сервера openvpn, сервис перезапустил, на клиентском pfsense сервис переподключился,
        192.168.1.2 > 10.8.0.1 не идет пинг(

        на картинке логи клиента openvpn который pfsense
        c win-сервера ping 10.8.0.2 (до клиента openvpn c pfsense) и обратно - из pfsense до сервера идет стабильно

        в логах сервера есть таки строчки:
        Fri Dec 27 17:28:10 2013 client1/10.0.2.2:19773 PUSH: Received control message: 'PUSH_REQUEST'
        Fri Dec 27 17:28:10 2013 client1/10.0.2.2:19773 SENT CONTROL [client1]: 'PUSH_REPLY,route 192.168.1.0 255.255.255.0,route-gateway 10.8.0.1,topology subnet,ifconfig 10.8.0.2 255.255.255.0' (status=1)

        sc2.png
        sc2.png_thumb

        1 Reply Last reply Reply Quote 0
        • S
          saritikon
          last edited by

          Кстати, все делал по первому туториалу с хабра)
          http://habrahabr.ru/post/197744/

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            С него пингую 10.8.0.2, но не пингую сервер 10.8.0.1 а очень хочется)

            А причем тут ?!

            добавил push "route 192.168.1.0 255.255.255.0" в конфиг сервера openvpn, сервис перезапустил, на клиентском pfsense сервис переподключился,

            Может все таки :

            В конфигурационном файле сервера - push "route 10.8.0.0 255.255.255.0" и перезапустить службу OpenVPN

            Будьте внимательнее, п-та.

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by

              Вот вам ответ :

              https://community.openvpn.net/openvpn/wiki/NatOverWindows2008

              1 Reply Last reply Reply Quote 0
              • S
                saritikon
                last edited by

                пардон - сначала напутал но потом заметил и исправил на

                push "route 10.8.0.0 255.255.255.0"
                нет эффекта.

                1 Reply Last reply Reply Quote 0
                • S
                  saritikon
                  last edited by

                  @werter:

                  Вот вам ответ :

                  https://community.openvpn.net/openvpn/wiki/NatOverWindows2008

                  может все-таки научить openvpn или pfsense о том что за openvpn клиентом есть сетка?

                  сейчас пробую такой вариант, с директорией ccd
                  http://www.linux.org.ru/forum/admin/4125931

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by

                    Вы определитесь - за сервром или за клиентом вам сетка нужна.
                    Из первого поста следует , что вам нужен доступ к серверу опенвпн.

                    1 Reply Last reply Reply Quote 0
                    • S
                      saritikon
                      last edited by

                      @werter:

                      Вы определитесь - за сервром или за клиентом вам сетка нужна.
                      Из первого поста следует , что вам нужен доступ к серверу опенвпн.

                      Совершенно верно, нужна сетка за клиентом. Чтобы LAN клиент мог пинговать OpenVPN сервер. Не помешало бы чтобы сервер тоже пинговал клиентов за pfsense, чтобы принтеры удобно было подключать. Уже незнаю что еще пробовать.

                      Дело в том, что пару лет назад делал тот же конфиг и спустя сутки ковыряний все завелось. Был старее pfSense и OpenVPN. Обошлось без поднимания маршрутизации на виндовой тачке. Может все-таки на pfSense прописать какой-то маршрут?

                      1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by

                        Совершенно верно, нужна сетка за клиентом. Чтобы LAN клиент мог пинговать OpenVPN сервер

                        Неверно понимаете работу Опенвпн и маршрутизации в целом . Вам нужно чтобы клиенты за пфсенсом-клиентом знали как добраться до сервера опенвпн?
                        Для этого на Опенвпн-сервере и вводиться в конфиге директива push "route 10.8.0.0 255.255.255.0".

                        Не помешало бы чтобы сервер тоже пинговал клиентов за pfsense, чтобы принтеры удобно было подключать

                        Это уже совсем другая "песня". Для этого на серервере используется директива iroute и\или (неуверен, т.к. с Опенвпн-сервером, работающем на Win не работал) работа с конфигами клиентов в той самой папке ccd

                        Далее , если вам нужны принтеры , то использовать прийдется tap-адаптер в туннеле (вместо tun). Ибо это NETBIOS.

                        P.s. Честно ? Я уже "занянчился" объяснять то, что сами можете найти погуглив. И да, разберитесь сперва хотя бы с одной "хотелкой". Тем более что как настраивать Вин-сервер - прямую ссылку я дал.

                        P.p.s. У вас клиенты за пфсенсом в кач-ве шлюза какой адрес имеют?

                        1 Reply Last reply Reply Quote 0
                        • S
                          saritikon
                          last edited by

                          Здравстуйте!
                          Успешно поднял сервер, требуемая схема заработала. Большое спасибо за вашу помощь!
                          Только не получается завести это дело в режиме tap  :( А нужны принтеры и расшаренные общие папки

                          конфиг сервера в режиме tun (windows 2008):

                          port 1194
                          proto udp
                          #proto tcp

                          dev tun
                          #dev tap

                          #Пути до ключей
                          ca ca.crt
                          cert server.crt
                          key server.key  # This file should be kept secret
                          dh dh1024.pem

                          server 10.8.0.0 255.255.255.0
                          tun-mtu 1450

                          Если нужно, что бы клиентам выдавался один и тот же адрес при

                          client-config-dir ccd
                          route 192.168.1.0 255.255.255.0
                          route 192.168.3.0 255.255.255.0
                          client-to-client

                          keepalive 10 120

                          comp-lzo
                          max-clients 100
                          user nobody
                          group nobody

                          persist-key
                          persist-tun

                          status openvpn-status.log
                          log        openvpn.log
                          verb 5

                          После того как меняю dev tun на dev tap в логах сервера появляется:

                          Mon Feb 03 11:31:39 2014 us=188476 OpenVPN ROUTE: OpenVPN needs a gateway parameter for a –route option and no default was specified by either --route-gateway or --ifconfig options
                          Mon Feb 03 11:31:39 2014 us=188476 OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.1.0
                          Mon Feb 03 11:31:39 2014 us=188476 OpenVPN ROUTE: OpenVPN needs a gateway parameter for a --route option and no default was specified by either --route-gateway or --ifconfig options
                          Mon Feb 03 11:31:39 2014 us=188476 OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.3.0

                          Нужно менять что-то еще?

                          И еще смущает такая строчка:
                          iroute only works with tun-style tunnels

                          в папке ccd находится конфиги клиентов, вот содержимое:

                          клиент1:
                          iroute 192.168.3.0 255.255.255.0
                          ifconfig-push 10.8.0.9 10.8.0.10

                          клиент2:
                          iroute 192.168.1.0 255.255.255.0
                          ifconfig-push 10.8.0.5 10.8.0.6

                          1 Reply Last reply Reply Quote 0
                          • S
                            saritikon
                            last edited by

                            Проблема была в антивирусе касперского, он блокировал трафик на win-сервере

                            с dev tun по udp файл-шара винды заработала, что в конечном счете и требовалось!

                            to werter

                            Еще раз большое спасибо за внимание и терпение!

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              Пожалуйста. Вот и вы опыт в настройке приобрели. И это хорошо  :D

                              1 Reply Last reply Reply Quote 0
                              • First post
                                Last post
                              Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.