Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Russian
    39
    376
    168.0k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • A
      auto2015
      last edited by

      Немного с запозданием отвечаю сам себе на вопрос https://forum.pfsense.org/index.php?topic=59081.msg548629#msg548629 .
      Дело оказалось в наличии в статических маршрутах маршрута в проблемную подсеть через другой шлюз. Маршрут удалил, все работает.

      1 Reply Last reply Reply Quote 0
      • F
        fenix_0
        last edited by

        Доброго времени суток, подскажите пожалуйста. установил с нуля pfsense1 вер.2.2.5 на головной офис, pfsense2 на филиал.

        Сделал всё по этой инструкции(с сертификатами), pfsense2 соединился с pfsense1 но офисы друг друг друга не видят. если пинговать пк с самого pfsense то пинг идет и в ту и в другую сеть, а на прямую пк с офиса1 не может пинговать пк с офиса2

        роутинг сервера

        роутинг клиента

        настройки сервера
        peer to peer ssl/tls
        udp
        tun
        1195
        IPv4 Tunnel Network 10.8.0.0/24
        IPv4 Local Network/s 192.168.20.0/24
        IPv4 Remote Network/s 192.168.30.0/24
        в меню Client Specific Override  Advanced  iroute 192.168.30.0 255.255.255.0

        Настройки клиента
        peer to peer ssl/tls
        udp
        tun
        Server host or address  79.142.56.*
        1195
        IPv4 Tunnel Network 10.8.0.0/24

        готов принять вашу индивидуальную помощь за умеренное вознаграждение, просто очень срочно нужно

        1 Reply Last reply Reply Quote 0
        • P
          pigbrother
          last edited by

          Для начала.
          В настройках
          IPv4 Local Network/s 192.168.20.0/24
          и в меню Client Specific Override  Advanced  iroute 192.168.30.0 255.255.255.0

          А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense  находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

          Если все же сети /24

          Добавьте в Firewall->Rules-Lan правило
          IPv4 * LAN net * 192.168.x.x/x * * none
          где 192.168.x.x - удаленная сеть
          /x - маска этой сети
          И поставьте это правило выше остальных

          У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

          Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            2 fenix_0

            Рекомендую все же сервер-клиент вариант, а не p2p.

            1 Reply Last reply Reply Quote 0
            • F
              fenix_0
              last edited by

              @pigbrother:

              Для начала.
              В настройках
              IPv4 Local Network/s 192.168.20.0/24
              и в меню Client Specific Override  Advanced  iroute 192.168.30.0 255.255.255.0

              А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense  находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

              Если все же сети /24

              Добавьте в Firewall->Rules-Lan правило
              IPv4 * LAN net * 192.168.x.x/x * * none
              где 192.168.x.x - удаленная сеть
              /x - маска этой сети
              И поставьте это правило выше остальных

              У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

              Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

              брендмауэры выключены, pfsense раздает инет, по поводу /16 да все верно это не опечатка, если из за этого то я все переделаю на/24, правила добавлю, о результате отпишусь

              rout_serv.JPG
              rout_serv.JPG_thumb
              rout_client.JPG
              rout_client.JPG_thumb

              1 Reply Last reply Reply Quote 0
              • F
                fenix_0
                last edited by

                @werter:

                2 fenix_0

                Рекомендую все же сервер-клиент вариант, а не p2p.

                в роде так и стоит сервер-клиент  :-\

                1 Reply Last reply Reply Quote 0
                • F
                  fenix_0
                  last edited by

                  @fenix_0:

                  @pigbrother:

                  Для начала.
                  В настройках
                  IPv4 Local Network/s 192.168.20.0/24
                  и в меню Client Specific Override  Advanced  iroute 192.168.30.0 255.255.255.0

                  А на скриншоте маска сети(ей) /16. С маской /16 сети за обоими pfsense  находятся в одной подсети. Если это не опечатка, и сети действительно в /16, тогда вам нужны иные настройки - tap, bridge, т.е. без маршрутизации.

                  Если все же сети /24

                  Добавьте в Firewall->Rules-Lan правило
                  IPv4 * LAN net * 192.168.x.x/x * * none
                  где 192.168.x.x - удаленная сеть
                  /x - маска этой сети
                  И поставьте это правило выше остальных

                  У всех компьютеров шлюзом выставлен соответствующий pfsense? На этих компьютерах отключен\настроен брандмауэр?

                  Скриншоты не открываются, вставляйте их прямо в пост через Attachments and other options->Attach

                  брендмауэры выключены, pfsense раздает инет, по поводу /16 да все верно это не опечатка, если из за этого то я все переделаю на/24, правила добавлю, о результате отпишусь

                  все сделал как сказали, результата 0, все подсети /24 и офис и филиал, есть какие предположения ?
                  может какой то статический маршрут создать нужно??

                  1 Reply Last reply Reply Quote 0
                  • P
                    pigbrother
                    last edited by

                    какой то статический маршрут создать нужно??

                    Нет, не нужно. Туннель создается, значит ошибки в настройках роутинга. Еще раз пройдитесь по всем директивам route, itoute и пр.

                    подсети /24 и офис и филиал

                    Не забудьте об упомянутом выше правиле
                    IPv4 *    LAN net    *    192.168.x.x/24    *    *    none.

                    IPv4 Remote Network/s  попробуйте оставить пустым, а в Advanced  сервера и клиента добавить
                    route 192.168.x.0 255.255.255.0
                    где 192.168.x.0 - удаленная сеть

                    В pfsense от версии к версии происходят некоторые изменения работы OVPN, 2.2.5 я с нуля не настраивал, такая конфигурация работает, обновленная 2.0.3->2.2.5

                    1 Reply Last reply Reply Quote 0
                    • F
                      fenix_0
                      last edited by

                      @pigbrother:

                      какой то статический маршрут создать нужно??

                      Нет, не нужно. Туннель создается, значит ошибки в настройках роутинга. Еще раз пройдитесь по всем директивам route, itoute и пр.

                      подсети /24 и офис и филиал

                      Не забудьте об упомянутом выше правиле
                      IPv4 *    LAN net    *    192.168.x.x/24    *    *    none.

                      IPv4 Remote Network/s  попробуйте оставить пустым, а в Advanced  сервера и клиента добавить
                      route 192.168.x.0 255.255.255.0
                      где 192.168.x.0 - удаленная сеть

                      В pfsense от версии к версии происходят некоторые изменения работы OVPN, 2.2.5 я с нуля не настраивал, такая конфигурация работает, обновленная 2.0.3->2.2.5

                      сделал как сказали    IPv4 Remote Network/s  попробуйте оставить пустым, а в Advanced  сервера и клиента добавить
                      route 192.168.x.0 255.255.255.0
                      где 192.168.x.0 - удаленная сеть

                      всё заработало  :) :) :) :) :) :) :) :),  огромнейшее спасибо

                      1 Reply Last reply Reply Quote 0
                      • P
                        pigbrother
                        last edited by

                        сделал как сказали    IPv4 Remote Network/s  попробуйте оставить пустым, а в Advanced  сервера и клиента добавить
                        route 192.168.x.0 255.255.255.0
                        где 192.168.x.0 - удаленная сеть
                        В инструкции, которая 1-м постом в этой ветке так, кстати,  и указано.

                        И да, правило
                        IPv4 *    LAN net    *    192.168.x.x/24    *    *    none.
                        использовали?

                        1 Reply Last reply Reply Quote 0
                        • A
                          Ablukov_A.A.
                          last edited by

                          Друзья, товарищи, братья! Творится  какая-то дичь с этим pfSense 2.2.5 (или со мной).

                          Та же ситуация, что и у fenix_0 несколькими постами ранее (https://forum.pfsense.org/index.php?topic=59081.msg575475#msg575475): сети главного и дополнительного офиса не видят друг-друга, в отличие от pfSens'ов, каждый из которых видит другой pfSense, а также свою и удаленную сети.

                          Проделывал все рекомендуемые выше операции, перезагружался, но сети так и не видят друг-друга.

                          1 Reply Last reply Reply Quote 0
                          • P
                            pigbrother
                            last edited by

                            Столкнулся с интересным моментом.
                            В Client Specific Overrides в одном инстансе сервера работает
                            iroute 10.0.3.0 255.255.255 в Advanced
                            В другом - работает только если вписать
                            10.0.3.0/24 в IPv4 Remote Network/s

                            Было поздно, был уставший. Могло и показаться.
                            До кучи - официальный мануал. Упоминаются различия в настройках для 2.1.х и 2.2
                            https://doc.pfsense.org/index.php/OpenVPN_Site-to-Site_PKI_%28SSL%29

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              О! Спасибо за ссылку.

                              Хм, не думал, что в 2.2.х есть различие с более ранними версиями при работе с OpenVPN.

                              1 Reply Last reply Reply Quote 0
                              • werterW
                                werter
                                last edited by

                                @Ablukov_A.A.:

                                Друзья, товарищи, братья! Творится  какая-то дичь с этим pfSense 2.2.5 (или со мной).

                                Та же ситуация, что и у fenix_0 несколькими постами ранее (https://forum.pfsense.org/index.php?topic=59081.msg575475#msg575475): сети главного и дополнительного офиса не видят друг-друга, в отличие от pfSens'ов, каждый из которых видит другой pfSense, а также свою и удаленную сети.

                                Проделывал все рекомендуемые выше операции, перезагружался, но сети так и не видят друг-друга.

                                Покажите настройки Openvpn (все вкладки) на сервере и клиенте.
                                Так же скрины правил fw на сервере и клиенте.

                                И да, у Вас имеется правило fw на LAN сервера и клиента явно разрешающее прохождение трафика из одной сети в другую ?
                                Это обязательно.

                                1 Reply Last reply Reply Quote 0
                                • A
                                  Ablukov_A.A.
                                  last edited by

                                  Вот как-то так.
                                  Кстати, если поднимать OpenVPN сервер в режиме Remote Access, то локальная сеть  сервера видна (правда не работают DNS-имена локальных сайтов).

                                  M1-GW (клиент)    –> ping -->  M2-RMS (сервер) = Да
                                  M1-GW (клиент)    --> ping -->  192.168.2.0/24(сеть сервера) = Да
                                  M2-RMS (сервер)  --> ping -->  M1-GW (клиент) = Да
                                  M2-RMS (сервер)  --> ping -->  192.168.152.0/24 (сеть клиента) = Да

                                  192.168.152.0/24 (сеть клиента) --> ping --> 192.168.2.10 = Да
                                  192.168.152.0/24 (сеть клиента) --> ping --> 192.168.2.0/24 = Нет

                                  192.168.2.0/24 (сеть сервера) --> ping --> 192.168.152.1 = Нет
                                  192.168.2.0/24 (сеть сервера) --> ping --> 192.168.152.0/24 = Нет

                                  Настройки сервера (вкладка Server):

                                  Server Mode: Peer to Peer (SSL/TLS)
                                  Protocol: UDP
                                  Device Mode: tun
                                  Local port: 1194

                                  IPv4 Tunnel Network: 10.0.8.0/24
                                  IPv4 Local Network/s: 192.168.2.0/24
                                  IPv4 Remote Network/s: пусто

                                  Advanced configuration: route 192.168.152.0 255.255.255.0

                                  Настройки сервера (вкладка Client Specific Overrides):

                                  Tunnel Network:  10.0.8.0/24
                                  IPv4 Local Network/s: пусто
                                  IPv4 Remote Network/s: пусто

                                  Advanced: iroute 192.168.152.0 255.255.255.0

                                  Настройки клиента (вкладка Client):

                                  Server Mode: Peer to Peer (SSL/TLS)
                                  Protocol: UDP
                                  Device Mode: tun
                                  Server host or address: ...

                                  IPv4 Tunnel Network: 10.0.8.0/24
                                  IPv4 Remote Network/s: пусто

                                  Advanced configuration: route 192.168.2.0 255.255.255.0

                                  Настройки фаервола на сервере:


                                  Настройки фаервола на клиенте:

                                  1 Reply Last reply Reply Quote 0
                                  • R
                                    rubic
                                    last edited by

                                    В актуальной версии pfSense не нужно ничего прописывать в Advanced. Для того, что туда писалось, разработчики сделали специальные поля, пользуйтесь ими:

                                    Настройки сервера

                                    IPv4 Remote Network/s: 192.168.152.0/24 == route 192.168.152.0 255.255.255.0

                                    и на сервере в Client Specific Overrides:

                                    IPv4 Remote Network/s: 192.168.152.0/24 == iroute 192.168.152.0 255.255.255.0

                                    сеть туннеля в Client Specific Overrides указывать не нужно, если уже указали в настройках сервера, Common Name в настройках Client Specific Overrides должно совпадать с CN сертификата клиента

                                    1 Reply Last reply Reply Quote 0
                                    • A
                                      Ablukov_A.A.
                                      last edited by

                                      @rubic:

                                      Common Name в настройках Client Specific Overrides должно совпадать с CN сертификата клиента

                                      Проверил еще раз – совпадает.

                                      В актуальной версии pfSense не нужно ничего прописывать в Advanced. Для того, что туда писалось, разработчики сделали специальные поля, пользуйтесь ими:

                                      Сделал по вашему совету, но, к сожалению, ситуация не изменилась.

                                      Попробую полностью удалить настройки сервера и клиента и настроить заново OpenVPN-туннель.

                                      1 Reply Last reply Reply Quote 0
                                      • werterW
                                        werter
                                        last edited by

                                        2  Ablukov_A.A

                                        Настраивайте в режиме клиент-сервер, а не p2p.

                                        1 Reply Last reply Reply Quote 0
                                        • S
                                          skyter
                                          last edited by

                                          По данной инструкции соединил два филиала и все прекрасно работало.
                                          Но недавно пришло письмо от провайдера, о том, что необходимо изменить настройки сети, т.к. у них меняются ip-адреса. Я изменил настройки в главном офисе и все ок. Но когда настройки поменял на сервере филиала, то туннель перестал работать. Из другой сети к офису можно подключиться.
                                          Может ли это быть связано, что в офисе и филиале один провайдер у которого шлюз и днс адреса одинаковые, отличие только в ip-адресах. IP естественно статические и там и там.

                                          1 Reply Last reply Reply Quote 0
                                          • P
                                            pigbrother
                                            last edited by

                                            Может ли это быть связано, что в офисе и филиале один провайдер у которого шлюз и днс адреса одинаковые, отличие только в ip-адресах. IP естественно статические и там и там.

                                            Маловероятно. У меня центральный офис и 2 филиала - в той же ситуации, но работе это не мешает.

                                            Пинг\трейс между филиалом и офисом по внешним IP ходят? Не блокирует ли провайдер порт, который слушает сервер?

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post