Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved Russian
    376 Posts 39 Posters 215.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • werterW
      werter
      last edited by

      @auto2015:

      И клиенты и сервер все pfsense 2.2.4 x64.
      Убрал push с сервера, прописал route на клиенте - ситуация такая же - после перезагрузки сервера (целиком) маршрут опять неверный :(

      Добавлено:
      Может быть дело в запятых, двоеточиях, пробелах при указании сетей, директив и т.п.?

      Кто ж его знает…
      Никто Ваших скринов настроек сервера\клиентов не видел. Кроме Вас самого.

      1 Reply Last reply Reply Quote 0
      • A
        auto2015
        last edited by

        В первом сообщении все настройки скопированы из интерфейса, т.е. запятые, пробелы - все сохранено. Скриншоты каких страниц нужны? (доеду до работы - сделаю и выложу)

        1 Reply Last reply Reply Quote 0
        • A
          auto2015
          last edited by

          Скриншоты с сервера и клиента, если нужны еще данные - скажите.

          server1.png
          server1.png_thumb
          server2.png
          server2.png_thumb
          server3.png
          server3.png_thumb
          server_client_override1.png
          server_client_override1.png_thumb
          server_client_override2.png
          server_client_override2.png_thumb
          client_1.png
          client_1.png_thumb
          client_2.png
          client_2.png_thumb
          client_3.png
          client_3.png_thumb

          1 Reply Last reply Reply Quote 0
          • J
            JTU
            last edited by

            @werter:

            JTU
            Скрины правил fw на OpenVPN-интерфейсах сервер\клиент.
            Скрины настроек самого OpenVPN сервер\клиент, а также Client specific overrides на сервере.

            Скрины:
            1 - fw на OpenVpn сервака
            2 - Client specific overrides
            3-5 настройки OpenVpn сервака
            6 - fw на OpenVpn клиента
            7-9 настройки OpenVpn клиента

            fw_ovpn.JPG
            fw_ovpn.JPG_thumb
            cl_over.JPG
            cl_over.JPG_thumb
            ovpn-1.JPG
            ovpn-1.JPG_thumb
            ovpn-2.JPG
            ovpn-2.JPG_thumb
            ovpn-3.JPG
            ovpn-3.JPG_thumb
            fw-ovpn.JPG
            fw-ovpn.JPG_thumb
            ov_cli.JPG
            ov_cli.JPG_thumb
            ov_cli-2.JPG
            ov_cli-2.JPG_thumb
            ov_cli-3.JPG
            ov_cli-3.JPG_thumb

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by

              Используйте не _P2_P , а Remote Access OpenVPN.
              В p2p не работает директива iroute (?)

              1 Reply Last reply Reply Quote 0
              • A
                auto2015
                last edited by

                @werter:

                Используйте не _P2_P , а Remote Access OpenVPN.
                В p2p не работает директива iroute (?)

                На первой странице в теме на иллюстрациях p2p показано, или они устарели?
                Повторюсь проблема в том, что для того, чтобы заработал канал с этим конкретным клиентом надо перезапустить openvpn на сервере, после этого маршрут становится нормальным. Канал до второго клиента с абсолютно идентичными настройками стабильно поднимается сам (скриншоты в сообщении https://forum.pfsense.org/index.php?topic=59081.msg548629#msg548629 ).

                1 Reply Last reply Reply Quote 0
                • J
                  JTU
                  last edited by

                  @werter:

                  Используйте не _P2_P , а Remote Access OpenVPN.
                  В p2p не работает директива iroute (?)

                  переделал, сегодня на Remote Access, эффекта ноль, по прежнему….

                  Для любопытства попробовал сегодня OpenVPN Site-to-Site (PSK), он работает, с теми же правилами и настройками fw...

                  Совсем теперь ничего не понимаю, разница же лишь в том, что там сертификаты, а там ключ, но почему один работает, а другой не в какую?.....

                  1 Reply Last reply Reply Quote 0
                  • A
                    auto2015
                    last edited by

                    Немного с запозданием отвечаю сам себе на вопрос https://forum.pfsense.org/index.php?topic=59081.msg548629#msg548629 .
                    Дело оказалось в наличии в статических маршрутах маршрута в проблемную подсеть через другой шлюз. Маршрут удалил, все работает.

                    1 Reply Last reply Reply Quote 0
                    • F
                      fenix_0
                      last edited by

                      Доброго времени суток, подскажите пожалуйста. установил с нуля pfsense1 вер.2.2.5 на головной офис, pfsense2 на филиал.

                      Сделал всё по этой инструкции(с сертификатами), pfsense2 соединился с pfsense1 но офисы друг друг друга не видят. если пинговать пк с самого pfsense то пинг идет и в ту и в другую сеть, а на прямую пк с офиса1 не может пинговать пк с офиса2

                      роутинг сервера

                      роутинг клиента

                      настройки сервера
                      peer to peer ssl/tls
                      udp
                      tun
                      1195
                      IPv4 Tunnel Network 10.8.0.0/24
                      IPv4 Local Network/s 192.168.20.0/24
                      IPv4 Remote Network/s 192.168.30.0/24
                      в меню Client Specific Override  Advanced  iroute 192.168.30.0 255.255.255.0

                      Настройки клиента
                      peer to peer ssl/tls
                      udp
                      tun
                      Server host or address  79.142.56.*
                      1195
                      IPv4 Tunnel Network 10.8.0.0/24

                      готов принять вашу индивидуальную помощь за умеренное вознаграждение, просто очень срочно нужно

                      1 Reply Last reply Reply Quote 0
                      • P
                        pigbrother
                        last edited by

                        Для начала.
                        В настройках
                        IPv4 Local Network/s 192.168.20.0/24
                        и в меню Client Specific Override  Advanced  iroute 192.168.30.0 255.255.255.0

                        А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense  находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

                        Если все же сети /24

                        Добавьте в Firewall->Rules-Lan правило
                        IPv4 * LAN net * 192.168.x.x/x * * none
                        где 192.168.x.x - удаленная сеть
                        /x - маска этой сети
                        И поставьте это правило выше остальных

                        У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

                        Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

                        1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by

                          2 fenix_0

                          Рекомендую все же сервер-клиент вариант, а не p2p.

                          1 Reply Last reply Reply Quote 0
                          • F
                            fenix_0
                            last edited by

                            @pigbrother:

                            Для начала.
                            В настройках
                            IPv4 Local Network/s 192.168.20.0/24
                            и в меню Client Specific Override  Advanced  iroute 192.168.30.0 255.255.255.0

                            А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense  находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

                            Если все же сети /24

                            Добавьте в Firewall->Rules-Lan правило
                            IPv4 * LAN net * 192.168.x.x/x * * none
                            где 192.168.x.x - удаленная сеть
                            /x - маска этой сети
                            И поставьте это правило выше остальных

                            У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

                            Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

                            брендмауэры выключены, pfsense раздает инет, по поводу /16 да все верно это не опечатка, если из за этого то я все переделаю на/24, правила добавлю, о результате отпишусь

                            rout_serv.JPG
                            rout_serv.JPG_thumb
                            rout_client.JPG
                            rout_client.JPG_thumb

                            1 Reply Last reply Reply Quote 0
                            • F
                              fenix_0
                              last edited by

                              @werter:

                              2 fenix_0

                              Рекомендую все же сервер-клиент вариант, а не p2p.

                              в роде так и стоит сервер-клиент  :-\

                              1 Reply Last reply Reply Quote 0
                              • F
                                fenix_0
                                last edited by

                                @fenix_0:

                                @pigbrother:

                                Для начала.
                                В настройках
                                IPv4 Local Network/s 192.168.20.0/24
                                и в меню Client Specific Override  Advanced  iroute 192.168.30.0 255.255.255.0

                                А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense  находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

                                Если все же сети /24

                                Добавьте в Firewall->Rules-Lan правило
                                IPv4 * LAN net * 192.168.x.x/x * * none
                                где 192.168.x.x - удаленная сеть
                                /x - маска этой сети
                                И поставьте это правило выше остальных

                                У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

                                Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

                                брендмауэры выключены, pfsense раздает инет, по поводу /16 да все верно это не опечатка, если из за этого то я все переделаю на/24, правила добавлю, о результате отпишусь

                                все сделал как сказали, результата 0, все подсети /24 и офис и филиал, есть какие предположения ?
                                может какой то статический маршрут создать нужно??

                                1 Reply Last reply Reply Quote 0
                                • P
                                  pigbrother
                                  last edited by

                                  какой то статический маршрут создать нужно??

                                  Нет, не нужно. Туннель создается, значит ошибки в настройках роутинга. Еще раз пройдитесь по всем директивам route, itoute и пр.

                                  подсети /24 и офис и филиал

                                  Не забудьте об упомянутом выше правиле
                                  IPv4 *    LAN net    *    192.168.x.x/24    *    *    none.

                                  IPv4 Remote Network/s  попробуйте оставить пустым, а в Advanced  сервера и клиента добавить
                                  route 192.168.x.0 255.255.255.0
                                  где 192.168.x.0 - удаленная сеть

                                  В pfsense от версии к версии происходят некоторые изменения работы OVPN, 2.2.5 я с нуля не настраивал, такая конфигурация работает, обновленная 2.0.3->2.2.5

                                  1 Reply Last reply Reply Quote 0
                                  • F
                                    fenix_0
                                    last edited by

                                    @pigbrother:

                                    какой то статический маршрут создать нужно??

                                    Нет, не нужно. Туннель создается, значит ошибки в настройках роутинга. Еще раз пройдитесь по всем директивам route, itoute и пр.

                                    подсети /24 и офис и филиал

                                    Не забудьте об упомянутом выше правиле
                                    IPv4 *    LAN net    *    192.168.x.x/24    *    *    none.

                                    IPv4 Remote Network/s  попробуйте оставить пустым, а в Advanced  сервера и клиента добавить
                                    route 192.168.x.0 255.255.255.0
                                    где 192.168.x.0 - удаленная сеть

                                    В pfsense от версии к версии происходят некоторые изменения работы OVPN, 2.2.5 я с нуля не настраивал, такая конфигурация работает, обновленная 2.0.3->2.2.5

                                    сделал как сказали    IPv4 Remote Network/s  попробуйте оставить пустым, а в Advanced  сервера и клиента добавить
                                    route 192.168.x.0 255.255.255.0
                                    где 192.168.x.0 - удаленная сеть

                                    всё заработало  :) :) :) :) :) :) :) :),  огромнейшее спасибо

                                    1 Reply Last reply Reply Quote 0
                                    • P
                                      pigbrother
                                      last edited by

                                      сделал как сказали    IPv4 Remote Network/s  попробуйте оставить пустым, а в Advanced  сервера и клиента добавить
                                      route 192.168.x.0 255.255.255.0
                                      где 192.168.x.0 - удаленная сеть

                                      В инструкции, которая 1-м постом в этой ветке так, кстати,  и указано.

                                      И да, правило
                                      IPv4 *    LAN net    *    192.168.x.x/24    *    *    none.
                                      использовали?

                                      1 Reply Last reply Reply Quote 0
                                      • A
                                        Ablukov_A.A.
                                        last edited by

                                        Друзья, товарищи, братья! Творится  какая-то дичь с этим pfSense 2.2.5 (или со мной).

                                        Та же ситуация, что и у fenix_0 несколькими постами ранее (https://forum.pfsense.org/index.php?topic=59081.msg575475#msg575475): сети главного и дополнительного офиса не видят друг-друга, в отличие от pfSens'ов, каждый из которых видит другой pfSense, а также свою и удаленную сети.

                                        Проделывал все рекомендуемые выше операции, перезагружался, но сети так и не видят друг-друга.

                                        1 Reply Last reply Reply Quote 0
                                        • P
                                          pigbrother
                                          last edited by

                                          Столкнулся с интересным моментом.
                                          В Client Specific Overrides в одном инстансе сервера работает
                                          iroute 10.0.3.0 255.255.255 в Advanced
                                          В другом - работает только если вписать
                                          10.0.3.0/24 в IPv4 Remote Network/s

                                          Было поздно, был уставший. Могло и показаться.
                                          До кучи - официальный мануал. Упоминаются различия в настройках для 2.1.х и 2.2
                                          https://doc.pfsense.org/index.php/OpenVPN_Site-to-Site_PKI_%28SSL%29

                                          1 Reply Last reply Reply Quote 0
                                          • werterW
                                            werter
                                            last edited by

                                            О! Спасибо за ссылку.

                                            Хм, не думал, что в 2.2.х есть различие с более ранними версиями при работе с OpenVPN.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.