Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved
    Russian
    39
    376
    174.4k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • S
      saTSGM
      last edited by

      Подскажите здесь идет речь о подключении pfSense клиента к pfSense серверу.
      А если мне надо еще отдельных пользователей подключить, например, сидящих дома. Что для этого надо?

      1 Reply Last reply Reply Quote 0
      • P
        pigbrother
        last edited by

        @saTSGM:

        Подскажите здесь идет речь о подключении pfSense клиента к pfSense серверу.
        А если мне надо еще отдельных пользователей подключить, например, сидящих дома. Что для этого надо?

        http://blog.stefcho.eu/pfsense-2-0-rc1-configuration-of-openvpn-server-for-rad-warrior-with-tls-and-user-authentication/
        http://www.packetwatch.net/documents/guides/2012050801.php

        1 Reply Last reply Reply Quote 0
        • S
          saTSGM
          last edited by

          Спасибо за ссылочки, почитаем…

          1 Reply Last reply Reply Quote 0
          • P
            pigbrother
            last edited by

            @saTSGM:

            Спасибо за ссылочки, почитаем…

            Не забудьте про OpenVPN Client Export Utility. Формирует и дает скачать готовый, настроенный для конкретного клиента дистрибутив.

            1 Reply Last reply Reply Quote 0
            • S
              skyter
              last edited by

              Настроил все по этой схеме, два сервера pfsense соединились, все работает. Огромное спасибо автору за такой подробный мануал.

              Но как подключать windows клиентов? Подключение не происходит, а в логах пфсенса следующее:

              TLS Error: cannot locate HMAC in incoming packet from [AF_INET]ЗДЕСЬ_МОЙ_IP:49516

              Помогите, пожалуйста, решить проблему.

              1 Reply Last reply Reply Quote 0
              • P
                pigbrother
                last edited by

                У клиента нет TLS authentication key.
                Для начала отключите в настройках сервера Enable authentication of TLS packets.

                1 Reply Last reply Reply Quote 0
                • S
                  skyter
                  last edited by

                  @pigbrother:

                  У клиента нет TLS authentication key.
                  Для начала отключите в настройках сервера Enable authentication of TLS packets.

                  Не хотелось бы отключать TLS.

                  А если добавить еще один openvpn, например, на порту 1195 и сделать по этой инструкции (http://www.youtube.com/watch?v=odjviG-KDq8)

                  Не слетит ли то, что уже сделано и хорошо работает. Вообще можно ли так делать или нежелательно.

                  1 Reply Last reply Reply Quote 0
                  • P
                    pigbrother
                    last edited by

                    Серверов можно насоздавать пока не закончатся свободные порты  :). Мешать друг другу они не должны, если не пересекутся адреса туннелей, будут созданы правила для каждого сервера и т.д.

                    Не хотелось бы отключать TLS

                    Я вынужден отключать Enable authentication of TLS packets.

                    Тем не менее:

                    В конфиге клиента есть ли директивы

                    tls-auth ta.key 1
                    tls-client
                    dh dh1024.pem - не уверен

                    Есть ли сам ta.key?
                    верно ли указан путь к ta.key?

                    http://sysadmins.ru/topic377581.html
                    http://www.linux.org.ru/forum/admin/6798065
                    http://forum.ixbt.com/topic.cgi?id=14:56078-12

                    1 Reply Last reply Reply Quote 0
                    • S
                      skyter
                      last edited by

                      @pigbrother:

                      Серверов можно насоздавать пока не закончатся свободные порты  :). Мешать друг другу они не должны, если не пересекутся адреса туннелей, будут созданы правила для каждого сервера и т.д.

                      Не хотелось бы отключать TLS

                      Я вынужден отключать Enable authentication of TLS packets.

                      Тем не менее:

                      В конфиге клиента есть ли директивы

                      tls-auth ta.key 1
                      tls-client
                      dh dh1024.pem - не уверен

                      Есть ли сам ta.key?
                      верно ли указан путь к ta.key?

                      http://sysadmins.ru/topic377581.html
                      http://www.linux.org.ru/forum/admin/6798065
                      http://forum.ixbt.com/topic.cgi?id=14:56078-12

                      Спасибо Вам огромное. У меня все получилось.))) И не пришлось создавать еще один экземпляр сервера.

                      Нужно было создать файл ta.key и вставить туда Shared key, затем в виндовом клиенте OpenVPN в файле конфигурации включить tls-auth ta.key 1

                      1 Reply Last reply Reply Quote 0
                      • P
                        pigbrother
                        last edited by

                        Нужно было создать файл ta.key

                        Про отсутствие ta.key ответил еще в первом посте.
                        Пришлось гуглить за вас. :)

                        1 Reply Last reply Reply Quote 0
                        • J
                          JTU
                          last edited by

                          Здравствуйте!
                          Все настроил по инструкции, соединение установлено, из сети пинг с PfSense филиала идет, до сервера и за него, а с Windows клиентов филиала не проходит.
                          tracert c windows машины:
                          Трассировка маршрута к 192.168.100.129 с максимальным числом прыжков 30
                            1    <1 мс    <1 мс    <1 мс  pfSense.AZ1 [192.168.1.129]
                            2    *        *    ^C
                          traceroute c PfSense филиала:
                          1  10.0.8.1 (10.0.8.1)  98.322 ms  99.651 ms  112.461 ms
                          2  192.168.100.97 (192.168.100.97)  99.873 ms  100.864 ms  100.082 ms

                          Судя по всему обрубает PfSense филиала, но где, понять не могу,  подскажите плиз, 2 дня голову ломаю…

                          1 Reply Last reply Reply Quote 0
                          • P
                            pigbrother
                            last edited by

                            Есть ли в правилах для LAN филиала и центра правило вида

                            • LAN net * 192.168.x.x/24 * * none
                              где  192.168.x.x/24 - удаленная сеть.
                            1 Reply Last reply Reply Quote 0
                            • J
                              JTU
                              last edited by

                              пробовал, только немного по другому выглядит  ipv4x    LAN net    *    192.168.x.x/24    *    *    none, потом удалил, потому как
                              в по умолчанию в правилах выше стоит:
                              ipv4.x    LAN net    *    *    *    *    none
                              ipv6.x    LAN net    *    *    *    *    none

                              тут же диапазон шире, нежели  ipv4x    LAN net    *    192.168.x.x/24, или я что-то не так понимаю?

                              1 Reply Last reply Reply Quote 0
                              • werterW
                                werter
                                last edited by

                                @JTU:

                                пробовал, только немного по другому выглядит  ipv4x    LAN net    *    192.168.x.x/24    *    *    none, потом удалил, потому как
                                в по умолчанию в правилах выше стоит:
                                ipv4.x    LAN net    *    *    *    *    none
                                ipv6.x    LAN net    *    *    *    *    none

                                тут же диапазон шире, нежели  ipv4x    LAN net    *    192.168.x.x/24, или я что-то не так понимаю?

                                Понимаете верно. Но правило в fw добавьте (в самый верх)

                                1 Reply Last reply Reply Quote 0
                                • J
                                  JTU
                                  last edited by

                                  Правила добавил, ничего не изменилось :'(

                                  1 Reply Last reply Reply Quote 0
                                  • werterW
                                    werter
                                    last edited by

                                    Скрин.

                                    1 Reply Last reply Reply Quote 0
                                    • J
                                      JTU
                                      last edited by

                                      Скрин правил в fw-lan?

                                      1 Reply Last reply Reply Quote 0
                                      • J
                                        JTU
                                        last edited by

                                        Скрины правил на сервере и клиенте

                                        pfcli.JPG
                                        pfsrv.JPG_thumb
                                        pfcli.JPG_thumb
                                        pfsrv.JPG

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by

                                          JTU
                                          Скрины правил fw на OpenVPN-интерфейсах сервер\клиент.
                                          Скрины настроек самого OpenVPN сервер\клиент, а также Client specific overrides на сервере.

                                          1 Reply Last reply Reply Quote 0
                                          • A
                                            auto2015
                                            last edited by

                                            День добрый, помогите, пожалуйста, решить проблему с site-2-site vpn?

                                            Есть один сервер и два клиента, между ними настроен vpn (настройки ниже).
                                            Проблема заключается в том, что при выключении маршрутизатора-сервера и последующем включении у него появляются неверные маршруты для одного клиента (со вторым проблем нет), если после этого на сервере openvpn перезапустить (меню status -> openvpn ->кнопка перезапуска), то маршрут появляется нормальный и все работает.
                                            Где я ошибся в настройке?

                                            Настройки сервера:
                                            IPv4 Tunnel Network  10.0.10.0/24
                                            IPv4 Local Network/s  192.168.1.0/24
                                            IPv4 Remote Network/s  192.168.31.0/24,192.168.4.0/24
                                            Advanced  route 192.168.4.0 255.255.255.0;route 192.168.31.0 255.255.255.0;push "route 192.168.1.0 255.255.255.0"

                                            Настройки клиента на сервере (override):
                                            Advanced  iroute 192.168.31.0 255.255.255.0

                                            Настройки на клиенте:
                                            IPv4 Tunnel Network  10.0.10.0/24

                                            routes_bad.png
                                            routes_bad.png_thumb
                                            routes_good.png
                                            routes_good.png_thumb

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post