OpenVPN PKI: Site-to-Site инструкция для обсуждения

rubic · Mar 11, 2014, 12:41 PM

Вот он

Сверху всех правил сделайте правило:

IPv4 TCP LAN Net * 192.168.101.0/24 * * none

rubic · Mar 11, 2014, 12:44 PM

Я вот одного не пойму, эта статья подайдёт если с одной стороны есть белый IP на сервере, а на клиенте нету.
Можно ли эт применить к связке pfsense + dd-wrt ?

Можно

werter · Mar 11, 2014, 12:46 PM

@rubic:

@KARLAGIN:

Вот он

Сверху всех правил сделайте правило:

IPv4 TCP LAN Net * 192.168.101.0/24 * * none

Почему только TCP ? Тогда уж все протоколы

**IPv4 *** LAN Net * 192.168.101.0/24 * * none

rubic · Mar 11, 2014, 12:49 PM

@werter:

Почему только TCP ? Тогда уж все протоколы

**IPv4 *** LAN Net * 192.168.101.0/24 * * none

Да)) Я просто с его скриншота бездумно срисовывал))

KARLAGIN · Mar 11, 2014, 1:59 PM

Огромное спсасибо rubic и werter. Все заработало как надо. RESOLVED

Tr0tter · Mar 13, 2014, 4:30 AM

Люди а дайте пожалуйста ссылку, желательно пару, как на сервере сделать OpenVPN для того, что бы на удалённом клиенте по виндой могли люди подключатся к сети ?
Просто читал статейку, генерируются ключи *.key а для винды наверное нужен ещё и *.conf ну и для связки с DD-WRT(я так понимаю пользоваться этой статьёй вполне подайдёт, только одно не понятно, в этих ключах шифруется IP куда подключатся ?)

Jetberry · Mar 13, 2014, 7:14 AM

@Tr0tter:

Люди а дайте пожалуйста ссылку, желательно пару, как на сервере сделать OpenVPN для того, что бы на удалённом клиенте по виндой могли люди подключатся к сети ?
Просто читал статейку, генерируются ключи *.key а для винды наверное нужен ещё и *.conf ну и для связки с DD-WRT(я так понимаю пользоваться этой статьёй вполне подайдёт, только одно не понятно, в этих ключах шифруется IP куда подключатся ?)

Что на сервере стоит: Windows, Linux, FreeBSD? Для каждой ОСи мануалы разные.
Я по этому мануалу настраивал https://forum.pfsense.org/index.php?topic=59081.0. Win-клиенты подключаются без проблем и по tun и по tap. Планирую полностью на мост перейти, как только на железо денег дадут для шлюза в ДО и полностью отказаться от подключений в ручную пользователями.
Что и куда подключаться прописывается в файле client.ovpn, ну или <…>.ovpn.

werter · Mar 13, 2014, 12:11 PM

http://www.iceflatline.com/2010/10/secure-remote-access-to-your-home-network-using-pfsense-and-openvpn/
http://www.administrator.de/content/detail.php?id=123285 (нем.) - dd-wrt
http://blog.stefcho.eu/?p=611

На самом деле - их оч. много

Tr0tter · Mar 14, 2014, 7:02 AM

@werter:

На самом деле - их оч. много

Да вот только они на английском, а на русском есть ?

werter · Mar 14, 2014, 10:01 AM

Учите язык.

Jetberry · Mar 20, 2014, 6:27 AM

Есть настроенный vpn-тунель по схеме из данного поста. Всё работает. На ДО схема подключения шлюза через роутер\адсл-модем, pfSense получает WAN IP адрес по DHCP (192.168.1.0/24). За pfSense сеть 192.168.2.0/24. серверу пробрасываю маршрут в сеть за pfSense'ом (iroute …). Возможно ли пробросить маршрут в сеть перед pfSense. То есть, есть на сервере прописать iroute 192.168.2.0 255.255.255.0 - будет работать? Просто хочется иметь удаленный доступ к веб-морде роутера... Или как правильно сделать?

werter · Mar 20, 2014, 10:10 AM

На ДО схема подключения шлюза через роутер\адсл-модем, pfSense получает WAN IP адрес по DHCP (192.168.1.0/24)

ИМХО, огроменный костыль. Переводите свой момед в режим моста (bridge) и пускай pf поднимает линк.

Jetberry · Mar 20, 2014, 11:11 AM

Согласен! Но там роутер еще wi-fi раздает.
А что касаемо моего вопроса, доктор? если на сервере через точку с запятой указать еще и iroute до сети между роутером и pfSense - будет работать? Или как маршрут правильно передать серверу в эту сеть?

Tr0tter · Mar 26, 2014, 4:43 AM

По данной статейке не получается настроить OpenVPN + DD-WRT. DD-WRT - в удалённом филиале.
Вот что на DD-WRT http://s019.radikal.ru/i623/1403/a1/55e497806130.png
В логах вообще пусто(на DD-WRT), куда посмотреть ?
Делал вот так:
Client Configuration - DD-WRT

This is the configuration for an OpenVPN Client running on another DD-WRT box.

Just set the OpenVPN server name (its WAN address or name) and port (1194) using the GUI, and then put in the certs similar to the procedure on the server:
Box File to insert
Public Server Cert ca.crt
Public Client Cert client1.crt
Private Client Key client1.key

Ключ и сертификаты генерил на pfsense и просто вставил в поля. вставлял без строк:
–---BEGIN PRIVATE KEY-----
-----END PRIVATE KEY-----
Думаю, это же не критично?
Может быть кто то уже настраивал данную связку, поделитесь пожалуйста мануальчиком.

Или просто напросто удалить что я на прописывал, что на картинке и просто сделать вот так вот ?

Move to writable directory and create scripts

cd /tmp
ln -s /usr/sbin/openvpn /tmp/myvpn

Config for Static Key

echo "
-----BEGIN OpenVPN Static key V1-----
................................................
...YOUR SECRET KEY TEXT SHOULD BE PASTED HERE...
................................................
-----END OpenVPN Static key V1-----
" > static.key

Create interfaces

/tmp/myvpn --mktun --dev tun0
ifconfig tun0 10.0.0.2 netmask 255.255.255.0 promisc up

Create routes

route add -net OTHERSUBNET netmask 255.255.255.0 gw 10.0.0.1

Initiate the tunnel

sleep 5
/tmp/myvpn --config SiteA-SiteB.conf

Сюда копировать ключик с расширением *.key ?
-----BEGIN OpenVPN Static key V1-----
................................................
...YOUR SECRET KEY TEXT SHOULD BE PASTED HERE...
................................................
-----END OpenVPN Static key V1-----

Ну и вот это нужно куда то прописать:

Open firewall holes

iptables -I INPUT 2 -p udp --dport 1194 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT

Интересно почему всё таки у меня логи пустые на DD-WRT ?)
Да и конфиг какой то неполноценный получается... Или мне просто так кажется ?

werter · Mar 26, 2014, 8:01 AM

@ Tr0tter

Я бы еще tun0 заменил на tun+

http://glycogen.net/2012/12/01/pfsense-openvpn-server-with-dd-wrt-clients/
http://www.administrator.de/wissen/openvpn-server-installieren-auf-dd-wrt-router-oder-pfsense-firewall-123285.html

Tr0tter · Mar 27, 2014, 3:27 AM

@werter:

@ Tr0tter

Я бы еще tun0 заменил на tun+

http://glycogen.net/2012/12/01/pfsense-openvpn-server-with-dd-wrt-clients/
http://www.administrator.de/wissen/openvpn-server-installieren-auf-dd-wrt-router-oder-pfsense-firewall-123285.html

Вот вы мне даёте две ссылки, по какой из них мне пробовать работать ? Какая из них более правильная ? Может быть просто кто нито поделится скриптом правильным, пожалуйста.

werter · Mar 27, 2014, 7:35 AM

@Tr0tter:

Вот вы мне даёте две ссылки, по какой из них мне пробовать работать ? Какая из них более правильная ? Может быть просто кто нито поделится скриптом правильным, пожалуйста.

Пробуйте. Никто за Вас не будет решать.
P.s. Что у вас за роутер ? Модель ?

Tr0tter · Mar 28, 2014, 6:54 AM

@werter:

@Tr0tter:

Вот вы мне даёте две ссылки, по какой из них мне пробовать работать ? Какая из них более правильная ? Может быть просто кто нито поделится скриптом правильным, пожалуйста.

Пробуйте. Никто за Вас не будет решать.
P.s. Что у вас за роутер ? Модель ?

Попробовал подключится из под винды делал всё вот по этой статейки:
http://glycogen.net/2012/12/01/pfsense-openvpn-server-with-dd-wrt-clients/
вот с таким вот конфигом:
#OpenVPN Client conf
tls-client
client
dev tun
proto udp
tun-mtu 1400
remote МОЙ IP ПОРТ
ca ca.crt
cert client.crt
key client.key
cipher BF-CBC
comp-lzo
verb 3
ns-cert-type server

Вот ошибка:
Fri Mar 28 10:14:55 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:55 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:56 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:56 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_ACK_V1)
Fri Mar 28 10:14:57 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)

Что не так сделал ?)
Или эта статейка исключительно для dd-wrt
и для этого скрипта?:
http://wiki.hidemyass.com/files/Startup_Script_UDP_Extended-V2.3.txt

Роутер у меня asus RT-N10U

Полный лог:
Fri Mar 28 10:14:36 2014 OpenVPN 2.3.2 i686-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [eurephia] [IPv6] built on Aug 22 2013
Fri Mar 28 10:14:36 2014 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
Fri Mar 28 10:14:36 2014 Need hold release from management interface, waiting…
Fri Mar 28 10:14:37 2014 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
Fri Mar 28 10:14:37 2014 MANAGEMENT: CMD 'state on'
Fri Mar 28 10:14:37 2014 MANAGEMENT: CMD 'log all on'
Fri Mar 28 10:14:37 2014 MANAGEMENT: CMD 'hold off'
Fri Mar 28 10:14:37 2014 MANAGEMENT: CMD 'hold release'
Fri Mar 28 10:14:37 2014 WARNING: normally if you use –mssfix and/or --fragment, you should also set --tun-mtu 1500 (currently it is 1400)
Fri Mar 28 10:14:37 2014 Socket Buffers: R=[8192->8192] S=[8192->8192]
Fri Mar 28 10:14:37 2014 UDPv4 link local (bound): [undef]
Fri Mar 28 10:14:37 2014 UDPv4 link remote: [AF_INET]МойIP И ПОРТ
Fri Mar 28 10:14:37 2014 MANAGEMENT: >STATE:1395990877,WAIT,,,
Fri Mar 28 10:14:37 2014 MANAGEMENT: >STATE:1395990877,AUTH,,,
Fri Mar 28 10:14:37 2014 TLS: Initial packet from [AF_INET]МойIP И ПОРТ, sid=35784b38 88708ec3
Fri Mar 28 10:14:37 2014 VERIFY OK: depth=1, C=US, ST=NN, L=bor, O=фирма, emailAddress=Почта, CN=internal-ca
Fri Mar 28 10:14:37 2014 VERIFY nsCertType ERROR: C=US, ST=NN, L=bor, O=фирма, emailAddress=Почта, CN=ФИРМА, require nsCertType=SERVER
Fri Mar 28 10:14:37 2014 TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
Fri Mar 28 10:14:37 2014 TLS Error: TLS object -> incoming plaintext read error
Fri Mar 28 10:14:37 2014 TLS Error: TLS handshake failed
Fri Mar 28 10:14:37 2014 SIGUSR1[soft,tls-error] received, process restarting
Fri Mar 28 10:14:37 2014 MANAGEMENT: >STATE:1395990877,RECONNECTING,tls-error,,
Fri Mar 28 10:14:37 2014 Restart pause, 2 second(s)
Fri Mar 28 10:14:39 2014 WARNING: normally if you use –mssfix and/or --fragment, you should also set --tun-mtu 1500 (currently it is 1400)
Fri Mar 28 10:14:39 2014 Socket Buffers: R=[8192->8192] S=[8192->8192]
Fri Mar 28 10:14:39 2014 UDPv4 link local (bound): [undef]
Fri Mar 28 10:14:39 2014 UDPv4 link remote: [AF_INET]МойIP И ПОРТ
Fri Mar 28 10:14:39 2014 MANAGEMENT: >STATE:1395990879,WAIT,,,
Fri Mar 28 10:14:39 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:39 2014 MANAGEMENT: >STATE:1395990879,AUTH,,,
Fri Mar 28 10:14:39 2014 TLS: Initial packet from [AF_INET]МойIP И ПОРТ, sid=12277969 66f96b8a
Fri Mar 28 10:14:40 2014 VERIFY OK: depth=1, C=US, ST=NN, L=bor, O=фирма, emailAddress=Почта, CN=internal-ca
Fri Mar 28 10:14:40 2014 VERIFY nsCertType ERROR: C=US, ST=NN, L=bor, O=фирма, emailAddress=Почта, CN=ФИРМА, require nsCertType=SERVER
Fri Mar 28 10:14:40 2014 TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
Fri Mar 28 10:14:40 2014 TLS Error: TLS object -> incoming plaintext read error
Fri Mar 28 10:14:40 2014 TLS Error: TLS handshake failed
Fri Mar 28 10:14:40 2014 SIGUSR1[soft,tls-error] received, process restarting
Fri Mar 28 10:14:40 2014 MANAGEMENT: >STATE:1395990880,RECONNECTING,tls-error,,
Fri Mar 28 10:14:40 2014 Restart pause, 2 second(s)
Fri Mar 28 10:14:42 2014 WARNING: normally if you use –mssfix and/or --fragment, you should also set --tun-mtu 1500 (currently it is 1400)
Fri Mar 28 10:14:42 2014 Socket Buffers: R=[8192->8192] S=[8192->8192]
Fri Mar 28 10:14:42 2014 UDPv4 link local (bound): [undef]
Fri Mar 28 10:14:42 2014 UDPv4 link remote: [AF_INET]МойIP И ПОРТ
Fri Mar 28 10:14:42 2014 MANAGEMENT: >STATE:1395990882,WAIT,,,
Fri Mar 28 10:14:42 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:42 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:43 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:43 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:44 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:44 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:44 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_ACK_V1)
Fri Mar 28 10:14:45 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:45 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:46 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:46 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:47 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:47 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:48 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:49 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:51 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:53 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:54 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:54 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:55 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:55 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:56 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)
Fri Mar 28 10:14:56 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_ACK_V1)
Fri Mar 28 10:14:57 2014 TLS Error: Unroutable control packet received from [AF_INET]МойIP И ПОРТ (si=3 op=P_CONTROL_V1)

Белая IP сервера из дома не пингуется, может быть FW не так настроен ? и поэтому не получает доступ ?

werter · Mar 28, 2014, 8:08 AM

Роутер у меня asus RT-N10U

О-о-о! Да вам повезло!
Шейте его этим - http://tomato.groov.pl/ (версия для для Вашего - http://tomato.groov.pl/download/K26RT-N/build5x-116-EN/Asus%20RT-Nxx/tomato-K26USB-1.28.RT-N5x-MIPSR2-116-Big-VPN.trx) . В этой прошивке OpenVPN (client\server) из-коробки идет (и не только он). DD-WRT - просто жалкая поделка в сравнении с TomatoUSB.

P.s. Только после перепрошивки не забудьте сбросить NVRAM! http://www.bxtra.net/articles/2012-12-23/how-to-flash-tomatousb-by-shibby-on-asus-rt-n12-b1c1-wireless-n-router

Tr0tter · Mar 28, 2014, 8:31 AM

@werter:

Роутер у меня asus RT-N10U

О-о-о! Да вам повезло!

И чем же ? Хотелось бы на DD-WRT, я думаю он сможет справится с тем что мне нужно, томато для болие опытных админов с большим функционалом, который скорее всего мне не нужен, он же не проще в настройках.

OpenVPN PKI: Site-to-Site инструкция для обсуждения

Move to writable directory and create scripts

Config for Site-to-Site SiteA-SiteB

Config for Static Key

Create interfaces

Create routes

Initiate the tunnel

Open firewall holes