Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved Russian
    376 Posts 39 Posters 223.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • S Offline
      saTSGM
      last edited by

      Подскажите здесь идет речь о подключении pfSense клиента к pfSense серверу.
      А если мне надо еще отдельных пользователей подключить, например, сидящих дома. Что для этого надо?

      1 Reply Last reply Reply Quote 0
      • P Offline
        pigbrother
        last edited by

        @saTSGM:

        Подскажите здесь идет речь о подключении pfSense клиента к pfSense серверу.
        А если мне надо еще отдельных пользователей подключить, например, сидящих дома. Что для этого надо?

        http://blog.stefcho.eu/pfsense-2-0-rc1-configuration-of-openvpn-server-for-rad-warrior-with-tls-and-user-authentication/
        http://www.packetwatch.net/documents/guides/2012050801.php

        1 Reply Last reply Reply Quote 0
        • S Offline
          saTSGM
          last edited by

          Спасибо за ссылочки, почитаем…

          1 Reply Last reply Reply Quote 0
          • P Offline
            pigbrother
            last edited by

            @saTSGM:

            Спасибо за ссылочки, почитаем…

            Не забудьте про OpenVPN Client Export Utility. Формирует и дает скачать готовый, настроенный для конкретного клиента дистрибутив.

            1 Reply Last reply Reply Quote 0
            • S Offline
              skyter
              last edited by

              Настроил все по этой схеме, два сервера pfsense соединились, все работает. Огромное спасибо автору за такой подробный мануал.

              Но как подключать windows клиентов? Подключение не происходит, а в логах пфсенса следующее:

              TLS Error: cannot locate HMAC in incoming packet from [AF_INET]ЗДЕСЬ_МОЙ_IP:49516

              Помогите, пожалуйста, решить проблему.

              1 Reply Last reply Reply Quote 0
              • P Offline
                pigbrother
                last edited by

                У клиента нет TLS authentication key.
                Для начала отключите в настройках сервера Enable authentication of TLS packets.

                1 Reply Last reply Reply Quote 0
                • S Offline
                  skyter
                  last edited by

                  @pigbrother:

                  У клиента нет TLS authentication key.
                  Для начала отключите в настройках сервера Enable authentication of TLS packets.

                  Не хотелось бы отключать TLS.

                  А если добавить еще один openvpn, например, на порту 1195 и сделать по этой инструкции (http://www.youtube.com/watch?v=odjviG-KDq8)

                  Не слетит ли то, что уже сделано и хорошо работает. Вообще можно ли так делать или нежелательно.

                  1 Reply Last reply Reply Quote 0
                  • P Offline
                    pigbrother
                    last edited by

                    Серверов можно насоздавать пока не закончатся свободные порты  :). Мешать друг другу они не должны, если не пересекутся адреса туннелей, будут созданы правила для каждого сервера и т.д.

                    Не хотелось бы отключать TLS

                    Я вынужден отключать Enable authentication of TLS packets.

                    Тем не менее:

                    В конфиге клиента есть ли директивы

                    tls-auth ta.key 1
                    tls-client
                    dh dh1024.pem - не уверен

                    Есть ли сам ta.key?
                    верно ли указан путь к ta.key?

                    http://sysadmins.ru/topic377581.html
                    http://www.linux.org.ru/forum/admin/6798065
                    http://forum.ixbt.com/topic.cgi?id=14:56078-12

                    1 Reply Last reply Reply Quote 0
                    • S Offline
                      skyter
                      last edited by

                      @pigbrother:

                      Серверов можно насоздавать пока не закончатся свободные порты  :). Мешать друг другу они не должны, если не пересекутся адреса туннелей, будут созданы правила для каждого сервера и т.д.

                      Не хотелось бы отключать TLS

                      Я вынужден отключать Enable authentication of TLS packets.

                      Тем не менее:

                      В конфиге клиента есть ли директивы

                      tls-auth ta.key 1
                      tls-client
                      dh dh1024.pem - не уверен

                      Есть ли сам ta.key?
                      верно ли указан путь к ta.key?

                      http://sysadmins.ru/topic377581.html
                      http://www.linux.org.ru/forum/admin/6798065
                      http://forum.ixbt.com/topic.cgi?id=14:56078-12

                      Спасибо Вам огромное. У меня все получилось.))) И не пришлось создавать еще один экземпляр сервера.

                      Нужно было создать файл ta.key и вставить туда Shared key, затем в виндовом клиенте OpenVPN в файле конфигурации включить tls-auth ta.key 1

                      1 Reply Last reply Reply Quote 0
                      • P Offline
                        pigbrother
                        last edited by

                        Нужно было создать файл ta.key

                        Про отсутствие ta.key ответил еще в первом посте.
                        Пришлось гуглить за вас. :)

                        1 Reply Last reply Reply Quote 0
                        • J Offline
                          JTU
                          last edited by

                          Здравствуйте!
                          Все настроил по инструкции, соединение установлено, из сети пинг с PfSense филиала идет, до сервера и за него, а с Windows клиентов филиала не проходит.
                          tracert c windows машины:
                          Трассировка маршрута к 192.168.100.129 с максимальным числом прыжков 30
                            1    <1 мс    <1 мс    <1 мс  pfSense.AZ1 [192.168.1.129]
                            2    *        *    ^C
                          traceroute c PfSense филиала:
                          1  10.0.8.1 (10.0.8.1)  98.322 ms  99.651 ms  112.461 ms
                          2  192.168.100.97 (192.168.100.97)  99.873 ms  100.864 ms  100.082 ms

                          Судя по всему обрубает PfSense филиала, но где, понять не могу,  подскажите плиз, 2 дня голову ломаю…

                          1 Reply Last reply Reply Quote 0
                          • P Offline
                            pigbrother
                            last edited by

                            Есть ли в правилах для LAN филиала и центра правило вида

                            • LAN net * 192.168.x.x/24 * * none
                              где  192.168.x.x/24 - удаленная сеть.
                            1 Reply Last reply Reply Quote 0
                            • J Offline
                              JTU
                              last edited by

                              пробовал, только немного по другому выглядит  ipv4x    LAN net    *    192.168.x.x/24    *    *    none, потом удалил, потому как
                              в по умолчанию в правилах выше стоит:
                              ipv4.x    LAN net    *    *    *    *    none
                              ipv6.x    LAN net    *    *    *    *    none

                              тут же диапазон шире, нежели  ipv4x    LAN net    *    192.168.x.x/24, или я что-то не так понимаю?

                              1 Reply Last reply Reply Quote 0
                              • werterW Offline
                                werter
                                last edited by

                                @JTU:

                                пробовал, только немного по другому выглядит  ipv4x    LAN net    *    192.168.x.x/24    *    *    none, потом удалил, потому как
                                в по умолчанию в правилах выше стоит:
                                ipv4.x    LAN net    *    *    *    *    none
                                ipv6.x    LAN net    *    *    *    *    none

                                тут же диапазон шире, нежели  ipv4x    LAN net    *    192.168.x.x/24, или я что-то не так понимаю?

                                Понимаете верно. Но правило в fw добавьте (в самый верх)

                                1 Reply Last reply Reply Quote 0
                                • J Offline
                                  JTU
                                  last edited by

                                  Правила добавил, ничего не изменилось :'(

                                  1 Reply Last reply Reply Quote 0
                                  • werterW Offline
                                    werter
                                    last edited by

                                    Скрин.

                                    1 Reply Last reply Reply Quote 0
                                    • J Offline
                                      JTU
                                      last edited by

                                      Скрин правил в fw-lan?

                                      1 Reply Last reply Reply Quote 0
                                      • J Offline
                                        JTU
                                        last edited by

                                        Скрины правил на сервере и клиенте

                                        pfcli.JPG
                                        pfsrv.JPG_thumb
                                        pfcli.JPG_thumb
                                        pfsrv.JPG

                                        1 Reply Last reply Reply Quote 0
                                        • werterW Offline
                                          werter
                                          last edited by

                                          JTU
                                          Скрины правил fw на OpenVPN-интерфейсах сервер\клиент.
                                          Скрины настроек самого OpenVPN сервер\клиент, а также Client specific overrides на сервере.

                                          1 Reply Last reply Reply Quote 0
                                          • A Offline
                                            auto2015
                                            last edited by

                                            День добрый, помогите, пожалуйста, решить проблему с site-2-site vpn?

                                            Есть один сервер и два клиента, между ними настроен vpn (настройки ниже).
                                            Проблема заключается в том, что при выключении маршрутизатора-сервера и последующем включении у него появляются неверные маршруты для одного клиента (со вторым проблем нет), если после этого на сервере openvpn перезапустить (меню status -> openvpn ->кнопка перезапуска), то маршрут появляется нормальный и все работает.
                                            Где я ошибся в настройке?

                                            Настройки сервера:
                                            IPv4 Tunnel Network  10.0.10.0/24
                                            IPv4 Local Network/s  192.168.1.0/24
                                            IPv4 Remote Network/s  192.168.31.0/24,192.168.4.0/24
                                            Advanced  route 192.168.4.0 255.255.255.0;route 192.168.31.0 255.255.255.0;push "route 192.168.1.0 255.255.255.0"

                                            Настройки клиента на сервере (override):
                                            Advanced  iroute 192.168.31.0 255.255.255.0

                                            Настройки на клиенте:
                                            IPv4 Tunnel Network  10.0.10.0/24

                                            routes_bad.png
                                            routes_bad.png_thumb
                                            routes_good.png
                                            routes_good.png_thumb

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.