Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Russian
    39
    376
    188.9k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • T
      Tr0tter
      last edited by

      Я вот одного не пойму, эта статья подайдёт если с одной стороны есть белый IP на сервере, а на клиенте нету.
      Можно ли эт применить к связке pfsense + dd-wrt ?

      1 Reply Last reply Reply Quote 0
      • R
        rubic
        last edited by

        @KARLAGIN:

        Вот он

        Сверху всех правил сделайте правило:

        IPv4 TCP        LAN Net        *        192.168.101.0/24        *      *        none

        1 Reply Last reply Reply Quote 0
        • R
          rubic
          last edited by

          @Tr0tter:

          Я вот одного не пойму, эта статья подайдёт если с одной стороны есть белый IP на сервере, а на клиенте нету.
          Можно ли эт применить к связке pfsense + dd-wrt ?

          Можно

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            @rubic:

            @KARLAGIN:

            Вот он

            Сверху всех правил сделайте правило:

            IPv4 TCP        LAN Net        *        192.168.101.0/24        *      *        none

            Почему только TCP ? Тогда уж все протоколы

            **IPv4 ***        LAN Net        *        192.168.101.0/24        *      *        none

            1 Reply Last reply Reply Quote 0
            • R
              rubic
              last edited by

              @werter:

              Почему только TCP ? Тогда уж все протоколы

              **IPv4 ***        LAN Net        *        192.168.101.0/24        *      *        none

              Да)) Я просто с его скриншота бездумно срисовывал))

              1 Reply Last reply Reply Quote 0
              • K
                KARLAGIN
                last edited by

                Огромное спсасибо rubic и werter. Все заработало как надо. RESOLVED

                Google help you

                1 Reply Last reply Reply Quote 0
                • T
                  Tr0tter
                  last edited by

                  Люди а дайте пожалуйста ссылку, желательно пару, как на сервере сделать OpenVPN для того, что бы на удалённом клиенте по виндой могли люди подключатся к сети ?
                  Просто читал статейку, генерируются ключи *.key а для винды наверное нужен ещё и *.conf ну и для связки с DD-WRT(я так понимаю пользоваться этой статьёй вполне подайдёт, только одно не понятно, в этих ключах шифруется IP куда подключатся ?)

                  1 Reply Last reply Reply Quote 0
                  • J
                    Jetberry
                    last edited by

                    @Tr0tter:

                    Люди а дайте пожалуйста ссылку, желательно пару, как на сервере сделать OpenVPN для того, что бы на удалённом клиенте по виндой могли люди подключатся к сети ?
                    Просто читал статейку, генерируются ключи *.key а для винды наверное нужен ещё и *.conf ну и для связки с DD-WRT(я так понимаю пользоваться этой статьёй вполне подайдёт, только одно не понятно, в этих ключах шифруется IP куда подключатся ?)

                    Что на сервере стоит: Windows, Linux, FreeBSD? Для каждой ОСи мануалы разные.
                    Я по этому мануалу настраивал https://forum.pfsense.org/index.php?topic=59081.0. Win-клиенты подключаются без проблем и по tun и по tap. Планирую полностью на мост перейти, как только на железо денег дадут для шлюза в ДО и полностью отказаться от подключений в ручную пользователями.
                    Что и куда подключаться прописывается в файле client.ovpn, ну или <…>.ovpn.

                    1 Reply Last reply Reply Quote 0
                    • werterW
                      werter
                      last edited by

                      http://www.iceflatline.com/2010/10/secure-remote-access-to-your-home-network-using-pfsense-and-openvpn/
                      http://www.administrator.de/content/detail.php?id=123285 (нем.) - dd-wrt
                      http://blog.stefcho.eu/?p=611

                      На самом деле - их оч. много

                      1 Reply Last reply Reply Quote 0
                      • T
                        Tr0tter
                        last edited by

                        @werter:

                        На самом деле - их оч. много

                        Да вот только они на английском, а на русском есть ?

                        1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by

                          Учите язык.

                          1 Reply Last reply Reply Quote 0
                          • J
                            Jetberry
                            last edited by

                            Есть настроенный vpn-тунель по схеме из данного поста. Всё работает. На ДО схема подключения шлюза через роутер\адсл-модем, pfSense получает WAN IP адрес по DHCP (192.168.1.0/24). За pfSense сеть 192.168.2.0/24. серверу пробрасываю маршрут в сеть за pfSense'ом (iroute …). Возможно ли пробросить маршрут в сеть перед pfSense. То есть, есть на сервере прописать iroute 192.168.2.0 255.255.255.0 - будет работать? Просто хочется иметь удаленный доступ к веб-морде роутера... Или как правильно сделать?

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              На ДО схема подключения шлюза через роутер\адсл-модем, pfSense получает WAN IP адрес по DHCP (192.168.1.0/24)

                              ИМХО, огроменный костыль. Переводите свой момед в режим моста (bridge) и пускай pf поднимает линк.

                              1 Reply Last reply Reply Quote 0
                              • J
                                Jetberry
                                last edited by

                                Согласен! Но там роутер еще wi-fi раздает.
                                А что касаемо моего вопроса, доктор? если на сервере через точку с запятой указать еще и iroute до сети между роутером и pfSense  - будет работать? Или как маршрут правильно передать серверу в эту сеть?

                                1 Reply Last reply Reply Quote 0
                                • T
                                  Tr0tter
                                  last edited by

                                  По данной статейке не получается настроить OpenVPN + DD-WRT. DD-WRT - в удалённом филиале.
                                  Вот что на DD-WRT http://s019.radikal.ru/i623/1403/a1/55e497806130.png
                                  В логах вообще пусто(на DD-WRT), куда посмотреть ?
                                  Делал вот так:
                                  Client Configuration - DD-WRT

                                  This is the configuration for an OpenVPN Client running on another DD-WRT box.

                                  Just set the OpenVPN server name (its WAN address or name) and port (1194) using the GUI, and then put in the certs similar to the procedure on the server:
                                  Box File to insert
                                  Public Server Cert ca.crt
                                  Public Client Cert client1.crt
                                  Private Client Key client1.key

                                  Ключ и сертификаты генерил на pfsense и просто вставил в поля. вставлял без строк:
                                  –---BEGIN PRIVATE KEY-----
                                  -----END PRIVATE KEY-----
                                  Думаю, это же не критично?
                                  Может быть кто то уже настраивал данную связку, поделитесь пожалуйста мануальчиком.

                                  Или просто напросто удалить что я на прописывал, что на картинке и просто сделать вот так вот ?

                                  Move to writable directory and create scripts

                                  cd /tmp
                                  ln -s /usr/sbin/openvpn /tmp/myvpn

                                  Config for Site-to-Site SiteA-SiteB

                                  echo "
                                  remote REMOTEADDRESS
                                  proto udp         
                                  port 1194
                                  dev tun0
                                  secret /tmp/static.key
                                  verb 3
                                  comp-lzo
                                  keepalive 15 60
                                  daemon
                                  " > SiteA-SiteB.conf

                                  Config for Static Key

                                  echo "
                                  -----BEGIN OpenVPN Static key V1-----
                                  ................................................
                                  ...YOUR SECRET KEY TEXT SHOULD BE PASTED HERE...
                                  ................................................
                                  -----END OpenVPN Static key V1-----
                                  " > static.key

                                  Create interfaces

                                  /tmp/myvpn --mktun --dev tun0
                                  ifconfig tun0 10.0.0.2 netmask 255.255.255.0 promisc up

                                  Create routes

                                  route add -net OTHERSUBNET netmask 255.255.255.0 gw 10.0.0.1

                                  Initiate the tunnel

                                  sleep 5
                                  /tmp/myvpn --config SiteA-SiteB.conf

                                  Сюда копировать ключик с расширением *.key ?
                                  -----BEGIN OpenVPN Static key V1-----
                                  ................................................
                                  ...YOUR SECRET KEY TEXT SHOULD BE PASTED HERE...
                                  ................................................
                                  -----END OpenVPN Static key V1-----

                                  Ну и вот это нужно куда то прописать:

                                  Open firewall holes

                                  iptables -I INPUT 2 -p udp --dport 1194 -j ACCEPT
                                  iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
                                  iptables -I FORWARD -i tun0 -o br0 -j ACCEPT

                                  Интересно почему всё таки у меня логи пустые на DD-WRT ?)
                                  Да и конфиг какой то неполноценный получается... Или мне просто так кажется ?

                                  1 Reply Last reply Reply Quote 0
                                  • werterW
                                    werter
                                    last edited by

                                    @ Tr0tter

                                    Я бы еще tun0 заменил на tun+

                                    http://glycogen.net/2012/12/01/pfsense-openvpn-server-with-dd-wrt-clients/
                                    http://www.administrator.de/wissen/openvpn-server-installieren-auf-dd-wrt-router-oder-pfsense-firewall-123285.html

                                    1 Reply Last reply Reply Quote 0
                                    • T
                                      Tr0tter
                                      last edited by

                                      @werter:

                                      @ Tr0tter

                                      Я бы еще tun0 заменил на tun+

                                      http://glycogen.net/2012/12/01/pfsense-openvpn-server-with-dd-wrt-clients/
                                      http://www.administrator.de/wissen/openvpn-server-installieren-auf-dd-wrt-router-oder-pfsense-firewall-123285.html

                                      Вот вы мне даёте две ссылки, по какой из них мне пробовать работать ? Какая из них более правильная ? Может быть просто кто нито поделится скриптом правильным, пожалуйста.

                                      1 Reply Last reply Reply Quote 0
                                      • werterW
                                        werter
                                        last edited by

                                        @Tr0tter:

                                        Вот вы мне даёте две ссылки, по какой из них мне пробовать работать ? Какая из них более правильная ? Может быть просто кто нито поделится скриптом правильным, пожалуйста.

                                        Пробуйте. Никто за Вас не будет решать.
                                        P.s. Что у вас за роутер ? Модель ?

                                        1 Reply Last reply Reply Quote 0
                                        • T
                                          Tr0tter
                                          last edited by

                                          @werter:

                                          @Tr0tter:

                                          Вот вы мне даёте две ссылки, по какой из них мне пробовать работать ? Какая из них более правильная ? Может быть просто кто нито поделится скриптом правильным, пожалуйста.

                                          Пробуйте. Никто за Вас не будет решать.
                                          P.s. Что у вас за роутер ? Модель ?

                                          Попробовал подключится из под винды делал всё вот по этой статейки:
                                          http://glycogen.net/2012/12/01/pfsense-openvpn-server-with-dd-wrt-clients/
                                          вот с таким вот конфигом:
                                          #OpenVPN Client conf
                                          tls-client
                                          client
                                          dev tun
                                          proto udp
                                          tun-mtu 1400
                                          remote МОЙ IP ПОРТ
                                          ca ca.crt
                                          cert client.crt
                                          key client.key
                                          cipher BF-CBC
                                          comp-lzo
                                          verb 3
                                          ns-cert-type server

                                          Вот ошибка:
                                          Fri Mar 28 10:14:55 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:55 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:56 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:56 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_ACK_V1)
                                          Fri Mar 28 10:14:57 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)

                                          Что не так сделал ?)
                                          Или эта статейка исключительно для dd-wrt
                                          и для этого скрипта?:
                                          http://wiki.hidemyass.com/files/Startup_Script_UDP_Extended-V2.3.txt

                                          Роутер у меня asus RT-N10U

                                          Полный лог:
                                          Fri Mar 28 10:14:36 2014 OpenVPN 2.3.2 i686-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [eurephia] [IPv6] built on Aug 22 2013
                                          Fri Mar 28 10:14:36 2014 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
                                          Fri Mar 28 10:14:36 2014 Need hold release from management interface, waiting…
                                          Fri Mar 28 10:14:37 2014 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
                                          Fri Mar 28 10:14:37 2014 MANAGEMENT: CMD 'state on'
                                          Fri Mar 28 10:14:37 2014 MANAGEMENT: CMD 'log all on'
                                          Fri Mar 28 10:14:37 2014 MANAGEMENT: CMD 'hold off'
                                          Fri Mar 28 10:14:37 2014 MANAGEMENT: CMD 'hold release'
                                          Fri Mar 28 10:14:37 2014 WARNING: normally if you use –mssfix and/or --fragment, you should also set --tun-mtu 1500 (currently it is 1400)
                                          Fri Mar 28 10:14:37 2014 Socket Buffers: R=[8192->8192] S=[8192->8192]
                                          Fri Mar 28 10:14:37 2014 UDPv4 link local (bound): [undef]
                                          Fri Mar 28 10:14:37 2014 UDPv4 link remote: [AF_INET]МойIP И ПОРТ
                                          Fri Mar 28 10:14:37 2014 MANAGEMENT: >STATE:1395990877,WAIT,,,
                                          Fri Mar 28 10:14:37 2014 MANAGEMENT: >STATE:1395990877,AUTH,,,
                                          Fri Mar 28 10:14:37 2014 TLS: Initial packet from [AF_INET]МойIP И ПОРТ, sid=35784b38 88708ec3
                                          Fri Mar 28 10:14:37 2014 VERIFY OK: depth=1, C=US, ST=NN, L=bor, O=фирма, emailAddress=Почта, CN=internal-ca
                                          Fri Mar 28 10:14:37 2014 VERIFY nsCertType ERROR: C=US, ST=NN, L=bor, O=фирма, emailAddress=Почта, CN=ФИРМА, require nsCertType=SERVER
                                          Fri Mar 28 10:14:37 2014 TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
                                          Fri Mar 28 10:14:37 2014 TLS Error: TLS object -> incoming plaintext read error
                                          Fri Mar 28 10:14:37 2014 TLS Error: TLS handshake failed
                                          Fri Mar 28 10:14:37 2014 SIGUSR1[soft,tls-error] received, process restarting
                                          Fri Mar 28 10:14:37 2014 MANAGEMENT: >STATE:1395990877,RECONNECTING,tls-error,,
                                          Fri Mar 28 10:14:37 2014 Restart pause, 2 second(s)
                                          Fri Mar 28 10:14:39 2014 WARNING: normally if you use –mssfix and/or --fragment, you should also set --tun-mtu 1500 (currently it is 1400)
                                          Fri Mar 28 10:14:39 2014 Socket Buffers: R=[8192->8192] S=[8192->8192]
                                          Fri Mar 28 10:14:39 2014 UDPv4 link local (bound): [undef]
                                          Fri Mar 28 10:14:39 2014 UDPv4 link remote: [AF_INET]МойIP И ПОРТ
                                          Fri Mar 28 10:14:39 2014 MANAGEMENT: >STATE:1395990879,WAIT,,,
                                          Fri Mar 28 10:14:39 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:39 2014 MANAGEMENT: >STATE:1395990879,AUTH,,,
                                          Fri Mar 28 10:14:39 2014 TLS: Initial packet from [AF_INET]МойIP И ПОРТ, sid=12277969 66f96b8a
                                          Fri Mar 28 10:14:40 2014 VERIFY OK: depth=1, C=US, ST=NN, L=bor, O=фирма, emailAddress=Почта, CN=internal-ca
                                          Fri Mar 28 10:14:40 2014 VERIFY nsCertType ERROR: C=US, ST=NN, L=bor, O=фирма, emailAddress=Почта, CN=ФИРМА, require nsCertType=SERVER
                                          Fri Mar 28 10:14:40 2014 TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
                                          Fri Mar 28 10:14:40 2014 TLS Error: TLS object -> incoming plaintext read error
                                          Fri Mar 28 10:14:40 2014 TLS Error: TLS handshake failed
                                          Fri Mar 28 10:14:40 2014 SIGUSR1[soft,tls-error] received, process restarting
                                          Fri Mar 28 10:14:40 2014 MANAGEMENT: >STATE:1395990880,RECONNECTING,tls-error,,
                                          Fri Mar 28 10:14:40 2014 Restart pause, 2 second(s)
                                          Fri Mar 28 10:14:42 2014 WARNING: normally if you use –mssfix and/or --fragment, you should also set --tun-mtu 1500 (currently it is 1400)
                                          Fri Mar 28 10:14:42 2014 Socket Buffers: R=[8192->8192] S=[8192->8192]
                                          Fri Mar 28 10:14:42 2014 UDPv4 link local (bound): [undef]
                                          Fri Mar 28 10:14:42 2014 UDPv4 link remote: [AF_INET]МойIP И ПОРТ
                                          Fri Mar 28 10:14:42 2014 MANAGEMENT: >STATE:1395990882,WAIT,,,
                                          Fri Mar 28 10:14:42 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:42 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:43 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:43 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:44 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:44 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:44 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_ACK_V1)
                                          Fri Mar 28 10:14:45 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:45 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:46 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:46 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:47 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:47 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:48 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:49 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:51 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:53 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:54 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:54 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:55 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:55 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:56 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
                                          Fri Mar 28 10:14:56 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_ACK_V1)
                                          Fri Mar 28 10:14:57 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)

                                          Белая IP сервера из дома не пингуется, может быть FW не так настроен ? и поэтому не получает доступ ?

                                          1 Reply Last reply Reply Quote 0
                                          • werterW
                                            werter
                                            last edited by

                                            Роутер у меня asus RT-N10U

                                            О-о-о! Да вам повезло!
                                            Шейте его этим - http://tomato.groov.pl/ (версия для для Вашего - http://tomato.groov.pl/download/K26RT-N/build5x-116-EN/Asus%20RT-Nxx/tomato-K26USB-1.28.RT-N5x-MIPSR2-116-Big-VPN.trx) . В этой прошивке OpenVPN (client\server) из-коробки идет (и не только он).  DD-WRT - просто жалкая поделка в сравнении с TomatoUSB.

                                            P.s. Только после перепрошивки не забудьте сбросить NVRAM! http://www.bxtra.net/articles/2012-12-23/how-to-flash-tomatousb-by-shibby-on-asus-rt-n12-b1c1-wireless-n-router

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.