OpenVPN PKI: Site-to-Site инструкция для обсуждения

auto2015

Немного с запозданием отвечаю сам себе на вопрос https://forum.pfsense.org/index.php?topic=59081.msg548629#msg548629 .
Дело оказалось в наличии в статических маршрутах маршрута в проблемную подсеть через другой шлюз. Маршрут удалил, все работает.

fenix_0

Доброго времени суток, подскажите пожалуйста. установил с нуля pfsense1 вер.2.2.5 на головной офис, pfsense2 на филиал.

Сделал всё по этой инструкции(с сертификатами), pfsense2 соединился с pfsense1 но офисы друг друг друга не видят. если пинговать пк с самого pfsense то пинг идет и в ту и в другую сеть, а на прямую пк с офиса1 не может пинговать пк с офиса2

роутинг сервера

роутинг клиента

настройки сервера
peer to peer ssl/tls
udp
tun
1195
IPv4 Tunnel Network 10.8.0.0/24
IPv4 Local Network/s 192.168.20.0/24
IPv4 Remote Network/s 192.168.30.0/24
в меню Client Specific Override Advanced iroute 192.168.30.0 255.255.255.0

Настройки клиента
peer to peer ssl/tls
udp
tun
Server host or address 79.142.56.*
1195
IPv4 Tunnel Network 10.8.0.0/24

готов принять вашу индивидуальную помощь за умеренное вознаграждение, просто очень срочно нужно

pigbrother

Для начала.
В настройках
IPv4 Local Network/s 192.168.20.0/24
и в меню Client Specific Override Advanced iroute 192.168.30.0 255.255.255.0

А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

Если все же сети /24

Добавьте в Firewall->Rules-Lan правило
IPv4 * LAN net * 192.168.x.x/x * * none
где 192.168.x.x - удаленная сеть
/x - маска этой сети
И поставьте это правило выше остальных

У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

werter

2 fenix_0

Рекомендую все же сервер-клиент вариант, а не p2p.

fenix_0

@pigbrother:

Для начала.
В настройках
IPv4 Local Network/s 192.168.20.0/24
и в меню Client Specific Override Advanced iroute 192.168.30.0 255.255.255.0

А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

Если все же сети /24

Добавьте в Firewall->Rules-Lan правило
IPv4 * LAN net * 192.168.x.x/x * * none
где 192.168.x.x - удаленная сеть
/x - маска этой сети
И поставьте это правило выше остальных

У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

брендмауэры выключены, pfsense раздает инет, по поводу /16 да все верно это не опечатка, если из за этого то я все переделаю на/24, правила добавлю, о результате отпишусь

rout_serv.JPG_thumb

rout_client.JPG_thumb

fenix_0

@werter:

2 fenix_0

Рекомендую все же сервер-клиент вариант, а не p2p.

в роде так и стоит сервер-клиент :-\

fenix_0

@fenix_0:

@pigbrother:

Для начала.
В настройках
IPv4 Local Network/s 192.168.20.0/24
и в меню Client Specific Override Advanced iroute 192.168.30.0 255.255.255.0

А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

Если все же сети /24

Добавьте в Firewall->Rules-Lan правило
IPv4 * LAN net * 192.168.x.x/x * * none
где 192.168.x.x - удаленная сеть
/x - маска этой сети
И поставьте это правило выше остальных

У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

брендмауэры выключены, pfsense раздает инет, по поводу /16 да все верно это не опечатка, если из за этого то я все переделаю на/24, правила добавлю, о результате отпишусь

все сделал как сказали, результата 0, все подсети /24 и офис и филиал, есть какие предположения ?
может какой то статический маршрут создать нужно??

pigbrother

какой то статический маршрут создать нужно??

Нет, не нужно. Туннель создается, значит ошибки в настройках роутинга. Еще раз пройдитесь по всем директивам route, itoute и пр.

подсети /24 и офис и филиал

Не забудьте об упомянутом выше правиле
IPv4 * LAN net * 192.168.x.x/24 * * none.

IPv4 Remote Network/s попробуйте оставить пустым, а в Advanced сервера и клиента добавить
route 192.168.x.0 255.255.255.0
где 192.168.x.0 - удаленная сеть

В pfsense от версии к версии происходят некоторые изменения работы OVPN, 2.2.5 я с нуля не настраивал, такая конфигурация работает, обновленная 2.0.3->2.2.5

fenix_0

@pigbrother:

какой то статический маршрут создать нужно??

Нет, не нужно. Туннель создается, значит ошибки в настройках роутинга. Еще раз пройдитесь по всем директивам route, itoute и пр.

подсети /24 и офис и филиал

Не забудьте об упомянутом выше правиле
IPv4 * LAN net * 192.168.x.x/24 * * none.

IPv4 Remote Network/s попробуйте оставить пустым, а в Advanced сервера и клиента добавить
route 192.168.x.0 255.255.255.0
где 192.168.x.0 - удаленная сеть

В pfsense от версии к версии происходят некоторые изменения работы OVPN, 2.2.5 я с нуля не настраивал, такая конфигурация работает, обновленная 2.0.3->2.2.5

сделал как сказали IPv4 Remote Network/s попробуйте оставить пустым, а в Advanced сервера и клиента добавить
route 192.168.x.0 255.255.255.0
где 192.168.x.0 - удаленная сеть

всё заработало :) :) :) :) :) :) :) :), огромнейшее спасибо

pigbrother

сделал как сказали IPv4 Remote Network/s попробуйте оставить пустым, а в Advanced сервера и клиента добавить
route 192.168.x.0 255.255.255.0
где 192.168.x.0 - удаленная сеть
В инструкции, которая 1-м постом в этой ветке так, кстати, и указано.

И да, правило
IPv4 * LAN net * 192.168.x.x/24 * * none.
использовали?

Ablukov_A.A.

Друзья, товарищи, братья! Творится какая-то дичь с этим pfSense 2.2.5 (или со мной).

Та же ситуация, что и у fenix_0 несколькими постами ранее (https://forum.pfsense.org/index.php?topic=59081.msg575475#msg575475): сети главного и дополнительного офиса не видят друг-друга, в отличие от pfSens'ов, каждый из которых видит другой pfSense, а также свою и удаленную сети.

Проделывал все рекомендуемые выше операции, перезагружался, но сети так и не видят друг-друга.

pigbrother

Столкнулся с интересным моментом.
В Client Specific Overrides в одном инстансе сервера работает
iroute 10.0.3.0 255.255.255 в Advanced
В другом - работает только если вписать
10.0.3.0/24 в IPv4 Remote Network/s

Было поздно, был уставший. Могло и показаться.
До кучи - официальный мануал. Упоминаются различия в настройках для 2.1.х и 2.2
https://doc.pfsense.org/index.php/OpenVPN_Site-to-Site_PKI_%28SSL%29

werter

О! Спасибо за ссылку.

Хм, не думал, что в 2.2.х есть различие с более ранними версиями при работе с OpenVPN.

werter

@Ablukov_A.A.:

Друзья, товарищи, братья! Творится какая-то дичь с этим pfSense 2.2.5 (или со мной).

Та же ситуация, что и у fenix_0 несколькими постами ранее (https://forum.pfsense.org/index.php?topic=59081.msg575475#msg575475): сети главного и дополнительного офиса не видят друг-друга, в отличие от pfSens'ов, каждый из которых видит другой pfSense, а также свою и удаленную сети.

Проделывал все рекомендуемые выше операции, перезагружался, но сети так и не видят друг-друга.

Покажите настройки Openvpn (все вкладки) на сервере и клиенте.
Так же скрины правил fw на сервере и клиенте.

И да, у Вас имеется правило fw на LAN сервера и клиента явно разрешающее прохождение трафика из одной сети в другую ?
Это обязательно.

Ablukov_A.A.

Вот как-то так.
Кстати, если поднимать OpenVPN сервер в режиме Remote Access, то локальная сеть сервера видна (правда не работают DNS-имена локальных сайтов).

M1-GW (клиент) –> ping --> M2-RMS (сервер) = Да
M1-GW (клиент) --> ping --> 192.168.2.0/24(сеть сервера) = Да
M2-RMS (сервер) --> ping --> M1-GW (клиент) = Да
M2-RMS (сервер) --> ping --> 192.168.152.0/24 (сеть клиента) = Да

192.168.152.0/24 (сеть клиента) --> ping --> 192.168.2.10 = Да
192.168.152.0/24 (сеть клиента) --> ping --> 192.168.2.0/24 = Нет

192.168.2.0/24 (сеть сервера) --> ping --> 192.168.152.1 = Нет
192.168.2.0/24 (сеть сервера) --> ping --> 192.168.152.0/24 = Нет

Настройки сервера (вкладка Server):

Server Mode: Peer to Peer (SSL/TLS)
Protocol: UDP
Device Mode: tun
Local port: 1194

IPv4 Tunnel Network: 10.0.8.0/24
IPv4 Local Network/s: 192.168.2.0/24
IPv4 Remote Network/s: пусто

Advanced configuration: route 192.168.152.0 255.255.255.0

Настройки сервера (вкладка Client Specific Overrides):

Tunnel Network: 10.0.8.0/24
IPv4 Local Network/s: пусто
IPv4 Remote Network/s: пусто

Advanced: iroute 192.168.152.0 255.255.255.0

Настройки клиента (вкладка Client):

Server Mode: Peer to Peer (SSL/TLS)
Protocol: UDP
Device Mode: tun
Server host or address: ...

IPv4 Tunnel Network: 10.0.8.0/24
IPv4 Remote Network/s: пусто

Advanced configuration: route 192.168.2.0 255.255.255.0

Настройки фаервола на сервере:

Настройки фаервола на клиенте:

rubic

В актуальной версии pfSense не нужно ничего прописывать в Advanced. Для того, что туда писалось, разработчики сделали специальные поля, пользуйтесь ими:

Настройки сервера

IPv4 Remote Network/s: 192.168.152.0/24 == route 192.168.152.0 255.255.255.0

и на сервере в Client Specific Overrides:

IPv4 Remote Network/s: 192.168.152.0/24 == iroute 192.168.152.0 255.255.255.0

сеть туннеля в Client Specific Overrides указывать не нужно, если уже указали в настройках сервера, Common Name в настройках Client Specific Overrides должно совпадать с CN сертификата клиента

Ablukov_A.A.

@rubic:

Common Name в настройках Client Specific Overrides должно совпадать с CN сертификата клиента

Проверил еще раз – совпадает.

В актуальной версии pfSense не нужно ничего прописывать в Advanced. Для того, что туда писалось, разработчики сделали специальные поля, пользуйтесь ими:

Сделал по вашему совету, но, к сожалению, ситуация не изменилась.

Попробую полностью удалить настройки сервера и клиента и настроить заново OpenVPN-туннель.

werter

2 Ablukov_A.A

Настраивайте в режиме клиент-сервер, а не p2p.

skyter

По данной инструкции соединил два филиала и все прекрасно работало.
Но недавно пришло письмо от провайдера, о том, что необходимо изменить настройки сети, т.к. у них меняются ip-адреса. Я изменил настройки в главном офисе и все ок. Но когда настройки поменял на сервере филиала, то туннель перестал работать. Из другой сети к офису можно подключиться.
Может ли это быть связано, что в офисе и филиале один провайдер у которого шлюз и днс адреса одинаковые, отличие только в ip-адресах. IP естественно статические и там и там.

pigbrother

Может ли это быть связано, что в офисе и филиале один провайдер у которого шлюз и днс адреса одинаковые, отличие только в ip-адресах. IP естественно статические и там и там.

Маловероятно. У меня центральный офис и 2 филиала - в той же ситуации, но работе это не мешает.

Пинг\трейс между филиалом и офисом по внешним IP ходят? Не блокирует ли провайдер порт, который слушает сервер?