Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved Russian
    376 Posts 39 Posters 216.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • P Offline
      pigbrother
      last edited by

      @saTSGM:

      Спасибо за ссылочки, почитаем…

      Не забудьте про OpenVPN Client Export Utility. Формирует и дает скачать готовый, настроенный для конкретного клиента дистрибутив.

      1 Reply Last reply Reply Quote 0
      • S Offline
        skyter
        last edited by

        Настроил все по этой схеме, два сервера pfsense соединились, все работает. Огромное спасибо автору за такой подробный мануал.

        Но как подключать windows клиентов? Подключение не происходит, а в логах пфсенса следующее:

        TLS Error: cannot locate HMAC in incoming packet from [AF_INET]ЗДЕСЬ_МОЙ_IP:49516

        Помогите, пожалуйста, решить проблему.

        1 Reply Last reply Reply Quote 0
        • P Offline
          pigbrother
          last edited by

          У клиента нет TLS authentication key.
          Для начала отключите в настройках сервера Enable authentication of TLS packets.

          1 Reply Last reply Reply Quote 0
          • S Offline
            skyter
            last edited by

            @pigbrother:

            У клиента нет TLS authentication key.
            Для начала отключите в настройках сервера Enable authentication of TLS packets.

            Не хотелось бы отключать TLS.

            А если добавить еще один openvpn, например, на порту 1195 и сделать по этой инструкции (http://www.youtube.com/watch?v=odjviG-KDq8)

            Не слетит ли то, что уже сделано и хорошо работает. Вообще можно ли так делать или нежелательно.

            1 Reply Last reply Reply Quote 0
            • P Offline
              pigbrother
              last edited by

              Серверов можно насоздавать пока не закончатся свободные порты  :). Мешать друг другу они не должны, если не пересекутся адреса туннелей, будут созданы правила для каждого сервера и т.д.

              Не хотелось бы отключать TLS

              Я вынужден отключать Enable authentication of TLS packets.

              Тем не менее:

              В конфиге клиента есть ли директивы

              tls-auth ta.key 1
              tls-client
              dh dh1024.pem - не уверен

              Есть ли сам ta.key?
              верно ли указан путь к ta.key?

              http://sysadmins.ru/topic377581.html
              http://www.linux.org.ru/forum/admin/6798065
              http://forum.ixbt.com/topic.cgi?id=14:56078-12

              1 Reply Last reply Reply Quote 0
              • S Offline
                skyter
                last edited by

                @pigbrother:

                Серверов можно насоздавать пока не закончатся свободные порты  :). Мешать друг другу они не должны, если не пересекутся адреса туннелей, будут созданы правила для каждого сервера и т.д.

                Не хотелось бы отключать TLS

                Я вынужден отключать Enable authentication of TLS packets.

                Тем не менее:

                В конфиге клиента есть ли директивы

                tls-auth ta.key 1
                tls-client
                dh dh1024.pem - не уверен

                Есть ли сам ta.key?
                верно ли указан путь к ta.key?

                http://sysadmins.ru/topic377581.html
                http://www.linux.org.ru/forum/admin/6798065
                http://forum.ixbt.com/topic.cgi?id=14:56078-12

                Спасибо Вам огромное. У меня все получилось.))) И не пришлось создавать еще один экземпляр сервера.

                Нужно было создать файл ta.key и вставить туда Shared key, затем в виндовом клиенте OpenVPN в файле конфигурации включить tls-auth ta.key 1

                1 Reply Last reply Reply Quote 0
                • P Offline
                  pigbrother
                  last edited by

                  Нужно было создать файл ta.key

                  Про отсутствие ta.key ответил еще в первом посте.
                  Пришлось гуглить за вас. :)

                  1 Reply Last reply Reply Quote 0
                  • J Offline
                    JTU
                    last edited by

                    Здравствуйте!
                    Все настроил по инструкции, соединение установлено, из сети пинг с PfSense филиала идет, до сервера и за него, а с Windows клиентов филиала не проходит.
                    tracert c windows машины:
                    Трассировка маршрута к 192.168.100.129 с максимальным числом прыжков 30
                      1    <1 мс    <1 мс    <1 мс  pfSense.AZ1 [192.168.1.129]
                      2    *        *    ^C
                    traceroute c PfSense филиала:
                    1  10.0.8.1 (10.0.8.1)  98.322 ms  99.651 ms  112.461 ms
                    2  192.168.100.97 (192.168.100.97)  99.873 ms  100.864 ms  100.082 ms

                    Судя по всему обрубает PfSense филиала, но где, понять не могу,  подскажите плиз, 2 дня голову ломаю…

                    1 Reply Last reply Reply Quote 0
                    • P Offline
                      pigbrother
                      last edited by

                      Есть ли в правилах для LAN филиала и центра правило вида

                      • LAN net * 192.168.x.x/24 * * none
                        где  192.168.x.x/24 - удаленная сеть.
                      1 Reply Last reply Reply Quote 0
                      • J Offline
                        JTU
                        last edited by

                        пробовал, только немного по другому выглядит  ipv4x    LAN net    *    192.168.x.x/24    *    *    none, потом удалил, потому как
                        в по умолчанию в правилах выше стоит:
                        ipv4.x    LAN net    *    *    *    *    none
                        ipv6.x    LAN net    *    *    *    *    none

                        тут же диапазон шире, нежели  ipv4x    LAN net    *    192.168.x.x/24, или я что-то не так понимаю?

                        1 Reply Last reply Reply Quote 0
                        • werterW Offline
                          werter
                          last edited by

                          @JTU:

                          пробовал, только немного по другому выглядит  ipv4x    LAN net    *    192.168.x.x/24    *    *    none, потом удалил, потому как
                          в по умолчанию в правилах выше стоит:
                          ipv4.x    LAN net    *    *    *    *    none
                          ipv6.x    LAN net    *    *    *    *    none

                          тут же диапазон шире, нежели  ipv4x    LAN net    *    192.168.x.x/24, или я что-то не так понимаю?

                          Понимаете верно. Но правило в fw добавьте (в самый верх)

                          1 Reply Last reply Reply Quote 0
                          • J Offline
                            JTU
                            last edited by

                            Правила добавил, ничего не изменилось :'(

                            1 Reply Last reply Reply Quote 0
                            • werterW Offline
                              werter
                              last edited by

                              Скрин.

                              1 Reply Last reply Reply Quote 0
                              • J Offline
                                JTU
                                last edited by

                                Скрин правил в fw-lan?

                                1 Reply Last reply Reply Quote 0
                                • J Offline
                                  JTU
                                  last edited by

                                  Скрины правил на сервере и клиенте

                                  pfcli.JPG
                                  pfsrv.JPG_thumb
                                  pfcli.JPG_thumb
                                  pfsrv.JPG

                                  1 Reply Last reply Reply Quote 0
                                  • werterW Offline
                                    werter
                                    last edited by

                                    JTU
                                    Скрины правил fw на OpenVPN-интерфейсах сервер\клиент.
                                    Скрины настроек самого OpenVPN сервер\клиент, а также Client specific overrides на сервере.

                                    1 Reply Last reply Reply Quote 0
                                    • A Offline
                                      auto2015
                                      last edited by

                                      День добрый, помогите, пожалуйста, решить проблему с site-2-site vpn?

                                      Есть один сервер и два клиента, между ними настроен vpn (настройки ниже).
                                      Проблема заключается в том, что при выключении маршрутизатора-сервера и последующем включении у него появляются неверные маршруты для одного клиента (со вторым проблем нет), если после этого на сервере openvpn перезапустить (меню status -> openvpn ->кнопка перезапуска), то маршрут появляется нормальный и все работает.
                                      Где я ошибся в настройке?

                                      Настройки сервера:
                                      IPv4 Tunnel Network  10.0.10.0/24
                                      IPv4 Local Network/s  192.168.1.0/24
                                      IPv4 Remote Network/s  192.168.31.0/24,192.168.4.0/24
                                      Advanced  route 192.168.4.0 255.255.255.0;route 192.168.31.0 255.255.255.0;push "route 192.168.1.0 255.255.255.0"

                                      Настройки клиента на сервере (override):
                                      Advanced  iroute 192.168.31.0 255.255.255.0

                                      Настройки на клиенте:
                                      IPv4 Tunnel Network  10.0.10.0/24

                                      routes_bad.png
                                      routes_bad.png_thumb
                                      routes_good.png
                                      routes_good.png_thumb

                                      1 Reply Last reply Reply Quote 0
                                      • werterW Offline
                                        werter
                                        last edited by

                                        Версия pf ? Что в кач-ве клиентов ? Нужен ли доступ в клиентские сети тем, кто в сети сервера ? Нужно ли клиенту попадать в сеть др. клиента?

                                        Как вариант, убрать на сервере директивы push . Вместо этого добавить директиву(-ы) route в локальные файлы настроек клиентов (для доступа клиента в сеть сервера\сети др. клиента).

                                        1 Reply Last reply Reply Quote 0
                                        • A Offline
                                          auto2015
                                          last edited by

                                          И клиенты и сервер все pfsense 2.2.4 x64.
                                          Убрал push с сервера, прописал route на клиенте - ситуация такая же - после перезагрузки сервера (целиком) маршрут опять неверный :(

                                          Добавлено:
                                          Может быть дело в запятых, двоеточиях, пробелах при указании сетей, директив и т.п.?

                                          1 Reply Last reply Reply Quote 0
                                          • werterW Offline
                                            werter
                                            last edited by

                                            @auto2015:

                                            И клиенты и сервер все pfsense 2.2.4 x64.
                                            Убрал push с сервера, прописал route на клиенте - ситуация такая же - после перезагрузки сервера (целиком) маршрут опять неверный :(

                                            Добавлено:
                                            Может быть дело в запятых, двоеточиях, пробелах при указании сетей, директив и т.п.?

                                            Кто ж его знает…
                                            Никто Ваших скринов настроек сервера\клиентов не видел. Кроме Вас самого.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.