Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    L2tp от дома к работе

    Scheduled Pinned Locked Moved Russian
    31 Posts 5 Posters 5.7k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • werterW
      werter
      last edited by

      Меня больше другой вопрос волнует, как сделать так, чтобы при поднятом туннеле был инет. Те когда поднимается туннель пропадает интернет. Снимаешь галочку использовать шлюз в удаленной сети, пропадает доступ к локальным ресурсам.

      Выдавать адреса DNS серверов при подключение l2tp-клиентов. Нарисовать разрешающее все правило во вкладке L2TP (временно). Переключить NAT в ручной режим и создать  правило для интерфейса WAN с адресом L2TP-сети в Source (про аналогичное правило NAT для LAN subnet не забыть!)

      1 Reply Last reply Reply Quote 0
      • S
        Silencerun
        last edited by

        @savannah1991:

        в логах ничего особенного,ни намеков что ктото стучится к сенсу

        Feb 7 11:52:09 l2tps: [l2tp8] using interface l2tp8
        Feb 7 11:52:09 l2tps: [l2tp9] using interface l2tp9
        Feb 7 11:52:09 l2tps: L2TP: waiting for connection on 0.0.0.0 1701
        Feb 7 11:52:41 l2tps: caught fatal signal term
        Feb 7 11:52:41 l2tps: [l2tp0] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp0] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp0] CCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp1] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp1] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp1] CCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp2] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp2] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp2] CCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp3] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp3] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp3] CCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp4] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp4] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp4] CCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp5] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp5] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp5] CCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp6] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp6] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp6] CCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp7] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp7] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp7] CCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp8] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp8] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp8] CCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp9] IFACE: Close event
        Feb 7 11:52:41 l2tps: [l2tp9] IPCP: Close event
        Feb 7 11:52:41 l2tps: [l2tp9] CCP: Close event
        Feb 7 11:52:43 l2tps: process 56087 terminated
        Feb 7 11:52:49 l2tps: Multi-link PPP daemon for FreeBSD
        Feb 7 11:52:49 l2tps:
        Feb 7 11:52:49 l2tps: process 61171 started, version 4.4.1 (root@snapshots-8_3-i386.builders.pfsense.org 10:16 24-Jul-2013)
        Feb 7 11:52:49 l2tps: Label 'startup' not found
        Feb 7 11:52:49 l2tps: [l2tp0] using interface l2tp0
        Feb 7 11:52:49 l2tps: [l2tp1] using interface l2tp1
        Feb 7 11:52:49 l2tps: [l2tp2] using interface l2tp2
        Feb 7 11:52:49 l2tps: [l2tp3] using interface l2tp3
        Feb 7 11:52:49 l2tps: [l2tp4] using interface l2tp4
        Feb 7 11:52:49 l2tps: [l2tp5] using interface l2tp5
        Feb 7 11:52:49 l2tps: [l2tp6] using interface l2tp6
        Feb 7 11:52:49 l2tps: [l2tp7] using interface l2tp7
        Feb 7 11:52:49 l2tps: [l2tp8] using interface l2tp8
        Feb 7 11:52:49 l2tps: [l2tp9] using interface l2tp9
        Feb 7 11:52:49 l2tps: L2TP: waiting for connection on 0.0.0.0 1701

        А клиент у тебя случаем не на вин 8 ? Там тап-адаптер подцепляется только из под админа. А что в логе ПНА самого и что в логе со стороны клиента?!

        1 Reply Last reply Reply Quote 0
        • S
          savannah1991
          last edited by

          проверял на xp стандартным клиентом,800 ошибку дает,сейчас после того как добавил правило на 1701 порт всеравно также,вроде настроек сложных нету,но цеплятся гадина совсем не хочет

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            Скрин правил fw на WAN покажите.

            1 Reply Last reply Reply Quote 0
            • S
              savannah1991
              last edited by

              вот скрин,там же и по ipsec есть и он работет

              wanrule.JPG
              wanrule.JPG_thumb
              wanrule.JPG
              wanrule.JPG_thumb

              1 Reply Last reply Reply Quote 0
              • werterW
                werter
                last edited by

                Что делает первое правило?! Удаляйте. Где правило по 1701/TCP, 1701/UDP для L2TP ?

                1 Reply Last reply Reply Quote 0
                • S
                  Silencerun
                  last edited by

                  @werter:

                  Что делает первое правило?! Удаляйте. Где правило по 1701/TCP, 1701/UDP для L2TP ?

                  Поддержу, только не первое - а первые 2 правила у тебя блокируют все подключения на WAN. Сделай на ван правило Сурс - *, дестанэйшн - * Port 1701.

                  1 Reply Last reply Reply Quote 0
                  • S
                    savannah1991
                    last edited by

                    первые два это же  приватные и зарезервированные адреса,они у меня не отображаются на работоспособности интернета,я еще в мануалах вкуривал это,чтобы галочки стояли,ну щас убрал посмотрим что будет))а правила TCP и UDP сейчас попробую поставить,спасибо:)

                    1 Reply Last reply Reply Quote 0
                    • S
                      Silencerun
                      last edited by

                      @savannah1991:

                      первые два это же  приватные и зарезервированные адреса,они у меня не отображаются на работоспособности интернета,я еще в мануалах вкуривал это,чтобы галочки стояли,ну щас убрал посмотрим что будет))а правила TCP и UDP сейчас попробую поставить,спасибо:)

                      вообще мы ставили l2tp с айписеком - работает не стабильно, поэтому перешли на Опен-Впн и горя не знаем

                      1 Reply Last reply Reply Quote 0
                      • S
                        savannah1991
                        last edited by

                        для опенвпн на виндовс машинах клиент какой используете?

                        1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by

                          для опенвпн на виндовс машинах клиент какой используете?

                          А какой ЕЩЕ клиент можно использовать?!

                          1 Reply Last reply Reply Quote 0
                          • M
                            MrArnel
                            last edited by

                            Зачем удалять первые два правила. С ними все в порядке. Нужно только добавить правило на wan как в скрине ниже. А первые два правила блокируют частные сети на внешнем интерфейсе, коих там быть не должно(тут есть исключения, если провайдер даёт серый ip. Если ip белый то все нормально, ничего эти правила не блокируют) и сети еще не выданные никому(Значит трафик с этих ip еще не может ни от кого идти, вот только не помню под какое правило попадает сети 127.0.0.0/8 и 169.254.0.0/16). Не путайте человека. Возможно еще потребуется добавить правила на l2tp интерфейсе, дабы через VPN можно было ходить в локалку.

                            Правило.JPG
                            Правило.JPG_thumb

                            Darauf sagt ein Diplomat vom Quai d'Orsay: «Der Krieg? Ich kann das nicht so schrecklich finden! Der Tod eines Menschen: das ist eine Katastrophe. Hunderttausend Tote: das ist eine Statistik!» ©Kurt Tucholsky

                            1 Reply Last reply Reply Quote 0
                            • S
                              savannah1991
                              last edited by

                              @werter:

                              для опенвпн на виндовс машинах клиент какой используете?

                              А какой ЕЩЕ клиент можно использовать?!

                              OpenVPN клиент  :D

                              1 Reply Last reply Reply Quote 0
                              • S
                                savannah1991
                                last edited by

                                @MrArnel:

                                Зачем удалять первые два правила. С ними все в порядке. Нужно только добавить правило на wan как в скрине ниже. А первые два правила блокируют частные сети на внешнем интерфейсе, коих там быть не должно(тут есть исключения, если провайдер даёт серый ip. Если ip белый то все нормально, ничего эти правила не блокируют) и сети еще не выданные никому(Значит трафик с этих ip еще не может ни от кого идти, вот только не помню под какое правило попадает сети 127.0.0.0/8 и 169.254.0.0/16). Не путайте человека. Возможно еще потребуется добавить правила на l2tp интерфейсе, дабы через VPN можно было ходить в локалку.

                                спасибо сейчас попробую  :)

                                1 Reply Last reply Reply Quote 0
                                • S
                                  Silencerun
                                  last edited by

                                  @savannah1991:

                                  @MrArnel:

                                  Зачем удалять первые два правила. С ними все в порядке. Нужно только добавить правило на wan как в скрине ниже. А первые два правила блокируют частные сети на внешнем интерфейсе, коих там быть не должно(тут есть исключения, если провайдер даёт серый ip. Если ip белый то все нормально, ничего эти правила не блокируют) и сети еще не выданные никому(Значит трафик с этих ip еще не может ни от кого идти, вот только не помню под какое правило попадает сети 127.0.0.0/8 и 169.254.0.0/16). Не путайте человека. Возможно еще потребуется добавить правила на l2tp интерфейсе, дабы через VPN можно было ходить в локалку.

                                  спасибо сейчас попробую  :)

                                  затем что в правиле стоящем наверху всех 1-й пункт БЛОК, дальше сурс - * это значит источник Internet,Port - WAN (Все что приходит из инета на ВАН). Destanation * не важно куда в ЛАН или в ВПН подсеть.

                                  Если так сделано то нужно уж как минимум сначало пробросить нужные порты, а это 1701 в случае с ВПНом.

                                  и да плюсую OpenVPN

                                  1 Reply Last reply Reply Quote 0
                                  • M
                                    MrArnel
                                    last edited by

                                    @Silencerun:

                                    затем что в правиле стоящем наверху всех 1-й пункт БЛОК, дальше сурс - * это значит источник Internet,Port - WAN (Все что приходит из инета на ВАН). Destanation * не важно куда в ЛАН или в ВПН подсеть.

                                    Если так сделано то нужно уж как минимум сначало пробросить нужные порты, а это 1701 в случае с ВПНом.

                                    и да плюсую OpenVPN

                                    Я в общем и целом тоже плюсую OpenVPN. Но с правилами там все впорядке. Хоть убейте не увидел нигде, ни на одном скрине правило что вы описали. Раз пять пытался найти хоть на одном скрине запрещающее правило, где в поле сурс стоит *. В полях сурс только, как я и говорил, приватные сетки и не выданные еще. Дальше я бы добавил правило чтобы пингануть из вне шлюз(ну оно там и так есть) а далше разрешающие правила по нужным мне портам(Те правила для IPSec если требе, L2tp как я уже выкладывал скрин, правила для редиректа портов, если нужны). Ну надо же быть внимательным. И вообще для полноценной работы ставить полноценную FreeBSD. Как собсно я и сделал. А там уже извращатся можно как хочешь. Не подошел мне PfSense до конца. Вроде всё есть, но тот же IPSec заставить с Cisco работать не удалось.

                                    Darauf sagt ein Diplomat vom Quai d'Orsay: «Der Krieg? Ich kann das nicht so schrecklich finden! Der Tod eines Menschen: das ist eine Katastrophe. Hunderttausend Tote: das ist eine Statistik!» ©Kurt Tucholsky

                                    1 Reply Last reply Reply Quote 0
                                    • S
                                      Silencerun
                                      last edited by

                                      Ох да, сорри, чего-то не туда глянул про сурс.

                                      1 Reply Last reply Reply Quote 0
                                      • werterW
                                        werter
                                        last edited by

                                        Не подошел мне PfSense до конца. Вроде всё есть, но тот же IPSec заставить с Cisco работать не удалось.

                                        Ничего не имею против "голой" FreeBSD, но почему не получилось настроить cвязку CISCO<–ipsec--> pfsense?
                                        Что за модель Cisco была, если не секрет?

                                        https://doc.pfsense.org/index.php/IPsec_between_pfSense_and_Cisco_IOS
                                        https://doc.pfsense.org/index.php/IPsec_between_pfSense_and_a_Cisco_PIX

                                        http://www.networkstraining.com/site-to-site-ipsec-vpn-between-cisco-asa-and-pfsense/

                                        1 Reply Last reply Reply Quote 0
                                        • D
                                          DasTieRR
                                          last edited by

                                          @werter:

                                          Не подошел мне PfSense до конца. Вроде всё есть, но тот же IPSec заставить с Cisco работать не удалось.

                                          Ничего не имею против "голой" FreeBSD, но почему не получилось настроить cвязку CISCO<–ipsec--> pfsense?
                                          Что за модель Cisco была, если не секрет?

                                          https://doc.pfsense.org/index.php/IPsec_between_pfSense_and_Cisco_IOS
                                          https://doc.pfsense.org/index.php/IPsec_between_pfSense_and_a_Cisco_PIX

                                          http://www.networkstraining.com/site-to-site-ipsec-vpn-between-cisco-asa-and-pfsense/

                                          P.S. Настроили ipsec с партнёрами, 2 дня логи смотрели, но настроили туннель, у них циска, у нас сенс, только у нас инет приходит сначала (жуть) на д линк и перебрасывает порты на pfsense, да связка жёсткая, тем не менее туннель подняли и живёт :) Так что не всё так плохо с цисками и сенсами.

                                          1 Reply Last reply Reply Quote 0
                                          • werterW
                                            werter
                                            last edited by

                                            @DasTieRR:

                                            P.S. Настроили ipsec с партнёрами, 2 дня логи смотрели, но настроили туннель, у них циска, у нас сенс, только у нас инет приходит сначала (жуть) на д линк и перебрасывает порты на pfsense, да связка жёсткая, тем не менее туннель подняли и живёт :) Так что не всё так плохо с цисками и сенсами.

                                            А зачем "костыль" с Д-Линком? Неужели нельзя его убрать, как лишнее звено?

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.