OpenVPN PKI: Site-to-Site инструкция для обсуждения

auto2015

День добрый, помогите, пожалуйста, решить проблему с site-2-site vpn?

Есть один сервер и два клиента, между ними настроен vpn (настройки ниже).
Проблема заключается в том, что при выключении маршрутизатора-сервера и последующем включении у него появляются неверные маршруты для одного клиента (со вторым проблем нет), если после этого на сервере openvpn перезапустить (меню status -> openvpn ->кнопка перезапуска), то маршрут появляется нормальный и все работает.
Где я ошибся в настройке?

Настройки сервера:
IPv4 Tunnel Network 10.0.10.0/24
IPv4 Local Network/s 192.168.1.0/24
IPv4 Remote Network/s 192.168.31.0/24,192.168.4.0/24
Advanced route 192.168.4.0 255.255.255.0;route 192.168.31.0 255.255.255.0;push "route 192.168.1.0 255.255.255.0"

Настройки клиента на сервере (override):
Advanced iroute 192.168.31.0 255.255.255.0

Настройки на клиенте:
IPv4 Tunnel Network 10.0.10.0/24

routes_bad.png_thumb

routes_good.png_thumb

werter

Версия pf ? Что в кач-ве клиентов ? Нужен ли доступ в клиентские сети тем, кто в сети сервера ? Нужно ли клиенту попадать в сеть др. клиента?

Как вариант, убрать на сервере директивы push . Вместо этого добавить директиву(-ы) route в локальные файлы настроек клиентов (для доступа клиента в сеть сервера\сети др. клиента).

auto2015

И клиенты и сервер все pfsense 2.2.4 x64.
Убрал push с сервера, прописал route на клиенте - ситуация такая же - после перезагрузки сервера (целиком) маршрут опять неверный :(

Добавлено:
Может быть дело в запятых, двоеточиях, пробелах при указании сетей, директив и т.п.?

werter

@auto2015:

И клиенты и сервер все pfsense 2.2.4 x64.
Убрал push с сервера, прописал route на клиенте - ситуация такая же - после перезагрузки сервера (целиком) маршрут опять неверный :(

Добавлено:
Может быть дело в запятых, двоеточиях, пробелах при указании сетей, директив и т.п.?

Кто ж его знает…
Никто Ваших скринов настроек сервера\клиентов не видел. Кроме Вас самого.

auto2015

В первом сообщении все настройки скопированы из интерфейса, т.е. запятые, пробелы - все сохранено. Скриншоты каких страниц нужны? (доеду до работы - сделаю и выложу)

auto2015

Скриншоты с сервера и клиента, если нужны еще данные - скажите.

server1.png_thumb

server2.png_thumb

server3.png_thumb

server_client_override1.png_thumb

server_client_override2.png_thumb

client_1.png_thumb

client_2.png_thumb

client_3.png_thumb

JTU

@werter:

JTU
Скрины правил fw на OpenVPN-интерфейсах сервер\клиент.
Скрины настроек самого OpenVPN сервер\клиент, а также Client specific overrides на сервере.

Скрины:
1 - fw на OpenVpn сервака
2 - Client specific overrides
3-5 настройки OpenVpn сервака
6 - fw на OpenVpn клиента
7-9 настройки OpenVpn клиента

fw_ovpn.JPG_thumb

cl_over.JPG_thumb

ovpn-1.JPG_thumb

ovpn-2.JPG_thumb

ovpn-3.JPG_thumb

fw-ovpn.JPG_thumb

ov_cli.JPG_thumb

ov_cli-2.JPG_thumb

ov_cli-3.JPG_thumb

werter

Используйте не _P2_P , а Remote Access OpenVPN.
В p2p не работает директива iroute (?)

auto2015

@werter:

Используйте не _P2_P , а Remote Access OpenVPN.
В p2p не работает директива iroute (?)

На первой странице в теме на иллюстрациях p2p показано, или они устарели?
Повторюсь проблема в том, что для того, чтобы заработал канал с этим конкретным клиентом надо перезапустить openvpn на сервере, после этого маршрут становится нормальным. Канал до второго клиента с абсолютно идентичными настройками стабильно поднимается сам (скриншоты в сообщении https://forum.pfsense.org/index.php?topic=59081.msg548629#msg548629 ).

JTU

@werter:

Используйте не _P2_P , а Remote Access OpenVPN.
В p2p не работает директива iroute (?)

переделал, сегодня на Remote Access, эффекта ноль, по прежнему….

Для любопытства попробовал сегодня OpenVPN Site-to-Site (PSK), он работает, с теми же правилами и настройками fw...

Совсем теперь ничего не понимаю, разница же лишь в том, что там сертификаты, а там ключ, но почему один работает, а другой не в какую?.....

auto2015

Немного с запозданием отвечаю сам себе на вопрос https://forum.pfsense.org/index.php?topic=59081.msg548629#msg548629 .
Дело оказалось в наличии в статических маршрутах маршрута в проблемную подсеть через другой шлюз. Маршрут удалил, все работает.

fenix_0

Доброго времени суток, подскажите пожалуйста. установил с нуля pfsense1 вер.2.2.5 на головной офис, pfsense2 на филиал.

Сделал всё по этой инструкции(с сертификатами), pfsense2 соединился с pfsense1 но офисы друг друг друга не видят. если пинговать пк с самого pfsense то пинг идет и в ту и в другую сеть, а на прямую пк с офиса1 не может пинговать пк с офиса2

роутинг сервера

роутинг клиента

настройки сервера
peer to peer ssl/tls
udp
tun
1195
IPv4 Tunnel Network 10.8.0.0/24
IPv4 Local Network/s 192.168.20.0/24
IPv4 Remote Network/s 192.168.30.0/24
в меню Client Specific Override Advanced iroute 192.168.30.0 255.255.255.0

Настройки клиента
peer to peer ssl/tls
udp
tun
Server host or address 79.142.56.*
1195
IPv4 Tunnel Network 10.8.0.0/24

готов принять вашу индивидуальную помощь за умеренное вознаграждение, просто очень срочно нужно

pigbrother

Для начала.
В настройках
IPv4 Local Network/s 192.168.20.0/24
и в меню Client Specific Override Advanced iroute 192.168.30.0 255.255.255.0

А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

Если все же сети /24

Добавьте в Firewall->Rules-Lan правило
IPv4 * LAN net * 192.168.x.x/x * * none
где 192.168.x.x - удаленная сеть
/x - маска этой сети
И поставьте это правило выше остальных

У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

werter

2 fenix_0

Рекомендую все же сервер-клиент вариант, а не p2p.

fenix_0

@pigbrother:

Для начала.
В настройках
IPv4 Local Network/s 192.168.20.0/24
и в меню Client Specific Override Advanced iroute 192.168.30.0 255.255.255.0

А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

Если все же сети /24

Добавьте в Firewall->Rules-Lan правило
IPv4 * LAN net * 192.168.x.x/x * * none
где 192.168.x.x - удаленная сеть
/x - маска этой сети
И поставьте это правило выше остальных

У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

брендмауэры выключены, pfsense раздает инет, по поводу /16 да все верно это не опечатка, если из за этого то я все переделаю на/24, правила добавлю, о результате отпишусь

rout_serv.JPG_thumb

rout_client.JPG_thumb

fenix_0

@werter:

2 fenix_0

Рекомендую все же сервер-клиент вариант, а не p2p.

в роде так и стоит сервер-клиент :-\

fenix_0

@fenix_0:

@pigbrother:

Для начала.
В настройках
IPv4 Local Network/s 192.168.20.0/24
и в меню Client Specific Override Advanced iroute 192.168.30.0 255.255.255.0

А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

Если все же сети /24

Добавьте в Firewall->Rules-Lan правило
IPv4 * LAN net * 192.168.x.x/x * * none
где 192.168.x.x - удаленная сеть
/x - маска этой сети
И поставьте это правило выше остальных

У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

брендмауэры выключены, pfsense раздает инет, по поводу /16 да все верно это не опечатка, если из за этого то я все переделаю на/24, правила добавлю, о результате отпишусь

все сделал как сказали, результата 0, все подсети /24 и офис и филиал, есть какие предположения ?
может какой то статический маршрут создать нужно??

pigbrother

какой то статический маршрут создать нужно??

Нет, не нужно. Туннель создается, значит ошибки в настройках роутинга. Еще раз пройдитесь по всем директивам route, itoute и пр.

подсети /24 и офис и филиал

Не забудьте об упомянутом выше правиле
IPv4 * LAN net * 192.168.x.x/24 * * none.

IPv4 Remote Network/s попробуйте оставить пустым, а в Advanced сервера и клиента добавить
route 192.168.x.0 255.255.255.0
где 192.168.x.0 - удаленная сеть

В pfsense от версии к версии происходят некоторые изменения работы OVPN, 2.2.5 я с нуля не настраивал, такая конфигурация работает, обновленная 2.0.3->2.2.5

fenix_0

@pigbrother:

какой то статический маршрут создать нужно??

Нет, не нужно. Туннель создается, значит ошибки в настройках роутинга. Еще раз пройдитесь по всем директивам route, itoute и пр.

подсети /24 и офис и филиал

Не забудьте об упомянутом выше правиле
IPv4 * LAN net * 192.168.x.x/24 * * none.

IPv4 Remote Network/s попробуйте оставить пустым, а в Advanced сервера и клиента добавить
route 192.168.x.0 255.255.255.0
где 192.168.x.0 - удаленная сеть

В pfsense от версии к версии происходят некоторые изменения работы OVPN, 2.2.5 я с нуля не настраивал, такая конфигурация работает, обновленная 2.0.3->2.2.5

сделал как сказали IPv4 Remote Network/s попробуйте оставить пустым, а в Advanced сервера и клиента добавить
route 192.168.x.0 255.255.255.0
где 192.168.x.0 - удаленная сеть

всё заработало :) :) :) :) :) :) :) :), огромнейшее спасибо

pigbrother

сделал как сказали IPv4 Remote Network/s попробуйте оставить пустым, а в Advanced сервера и клиента добавить
route 192.168.x.0 255.255.255.0
где 192.168.x.0 - удаленная сеть
В инструкции, которая 1-м постом в этой ветке так, кстати, и указано.

И да, правило
IPv4 * LAN net * 192.168.x.x/24 * * none.
использовали?