Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved Russian
    376 Posts 39 Posters 215.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • A
      Ablukov_A.A.
      last edited by

      Друзья, товарищи, братья! Творится  какая-то дичь с этим pfSense 2.2.5 (или со мной).

      Та же ситуация, что и у fenix_0 несколькими постами ранее (https://forum.pfsense.org/index.php?topic=59081.msg575475#msg575475): сети главного и дополнительного офиса не видят друг-друга, в отличие от pfSens'ов, каждый из которых видит другой pfSense, а также свою и удаленную сети.

      Проделывал все рекомендуемые выше операции, перезагружался, но сети так и не видят друг-друга.

      1 Reply Last reply Reply Quote 0
      • P
        pigbrother
        last edited by

        Столкнулся с интересным моментом.
        В Client Specific Overrides в одном инстансе сервера работает
        iroute 10.0.3.0 255.255.255 в Advanced
        В другом - работает только если вписать
        10.0.3.0/24 в IPv4 Remote Network/s

        Было поздно, был уставший. Могло и показаться.
        До кучи - официальный мануал. Упоминаются различия в настройках для 2.1.х и 2.2
        https://doc.pfsense.org/index.php/OpenVPN_Site-to-Site_PKI_%28SSL%29

        1 Reply Last reply Reply Quote 0
        • werterW
          werter
          last edited by

          О! Спасибо за ссылку.

          Хм, не думал, что в 2.2.х есть различие с более ранними версиями при работе с OpenVPN.

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            @Ablukov_A.A.:

            Друзья, товарищи, братья! Творится  какая-то дичь с этим pfSense 2.2.5 (или со мной).

            Та же ситуация, что и у fenix_0 несколькими постами ранее (https://forum.pfsense.org/index.php?topic=59081.msg575475#msg575475): сети главного и дополнительного офиса не видят друг-друга, в отличие от pfSens'ов, каждый из которых видит другой pfSense, а также свою и удаленную сети.

            Проделывал все рекомендуемые выше операции, перезагружался, но сети так и не видят друг-друга.

            Покажите настройки Openvpn (все вкладки) на сервере и клиенте.
            Так же скрины правил fw на сервере и клиенте.

            И да, у Вас имеется правило fw на LAN сервера и клиента явно разрешающее прохождение трафика из одной сети в другую ?
            Это обязательно.

            1 Reply Last reply Reply Quote 0
            • A
              Ablukov_A.A.
              last edited by

              Вот как-то так.
              Кстати, если поднимать OpenVPN сервер в режиме Remote Access, то локальная сеть  сервера видна (правда не работают DNS-имена локальных сайтов).

              M1-GW (клиент)    –> ping -->  M2-RMS (сервер) = Да
              M1-GW (клиент)    --> ping -->  192.168.2.0/24(сеть сервера) = Да
              M2-RMS (сервер)  --> ping -->  M1-GW (клиент) = Да
              M2-RMS (сервер)  --> ping -->  192.168.152.0/24 (сеть клиента) = Да

              192.168.152.0/24 (сеть клиента) --> ping --> 192.168.2.10 = Да
              192.168.152.0/24 (сеть клиента) --> ping --> 192.168.2.0/24 = Нет

              192.168.2.0/24 (сеть сервера) --> ping --> 192.168.152.1 = Нет
              192.168.2.0/24 (сеть сервера) --> ping --> 192.168.152.0/24 = Нет

              Настройки сервера (вкладка Server):

              Server Mode: Peer to Peer (SSL/TLS)
              Protocol: UDP
              Device Mode: tun
              Local port: 1194

              IPv4 Tunnel Network: 10.0.8.0/24
              IPv4 Local Network/s: 192.168.2.0/24
              IPv4 Remote Network/s: пусто

              Advanced configuration: route 192.168.152.0 255.255.255.0

              Настройки сервера (вкладка Client Specific Overrides):

              Tunnel Network:  10.0.8.0/24
              IPv4 Local Network/s: пусто
              IPv4 Remote Network/s: пусто

              Advanced: iroute 192.168.152.0 255.255.255.0

              Настройки клиента (вкладка Client):

              Server Mode: Peer to Peer (SSL/TLS)
              Protocol: UDP
              Device Mode: tun
              Server host or address: ...

              IPv4 Tunnel Network: 10.0.8.0/24
              IPv4 Remote Network/s: пусто

              Advanced configuration: route 192.168.2.0 255.255.255.0

              Настройки фаервола на сервере:


              Настройки фаервола на клиенте:

              1 Reply Last reply Reply Quote 0
              • R
                rubic
                last edited by

                В актуальной версии pfSense не нужно ничего прописывать в Advanced. Для того, что туда писалось, разработчики сделали специальные поля, пользуйтесь ими:

                Настройки сервера

                IPv4 Remote Network/s: 192.168.152.0/24 == route 192.168.152.0 255.255.255.0

                и на сервере в Client Specific Overrides:

                IPv4 Remote Network/s: 192.168.152.0/24 == iroute 192.168.152.0 255.255.255.0

                сеть туннеля в Client Specific Overrides указывать не нужно, если уже указали в настройках сервера, Common Name в настройках Client Specific Overrides должно совпадать с CN сертификата клиента

                1 Reply Last reply Reply Quote 0
                • A
                  Ablukov_A.A.
                  last edited by

                  @rubic:

                  Common Name в настройках Client Specific Overrides должно совпадать с CN сертификата клиента

                  Проверил еще раз – совпадает.

                  В актуальной версии pfSense не нужно ничего прописывать в Advanced. Для того, что туда писалось, разработчики сделали специальные поля, пользуйтесь ими:

                  Сделал по вашему совету, но, к сожалению, ситуация не изменилась.

                  Попробую полностью удалить настройки сервера и клиента и настроить заново OpenVPN-туннель.

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by

                    2  Ablukov_A.A

                    Настраивайте в режиме клиент-сервер, а не p2p.

                    1 Reply Last reply Reply Quote 0
                    • S
                      skyter
                      last edited by

                      По данной инструкции соединил два филиала и все прекрасно работало.
                      Но недавно пришло письмо от провайдера, о том, что необходимо изменить настройки сети, т.к. у них меняются ip-адреса. Я изменил настройки в главном офисе и все ок. Но когда настройки поменял на сервере филиала, то туннель перестал работать. Из другой сети к офису можно подключиться.
                      Может ли это быть связано, что в офисе и филиале один провайдер у которого шлюз и днс адреса одинаковые, отличие только в ip-адресах. IP естественно статические и там и там.

                      1 Reply Last reply Reply Quote 0
                      • P
                        pigbrother
                        last edited by

                        Может ли это быть связано, что в офисе и филиале один провайдер у которого шлюз и днс адреса одинаковые, отличие только в ip-адресах. IP естественно статические и там и там.

                        Маловероятно. У меня центральный офис и 2 филиала - в той же ситуации, но работе это не мешает.

                        Пинг\трейс между филиалом и офисом по внешним IP ходят? Не блокирует ли провайдер порт, который слушает сервер?

                        1 Reply Last reply Reply Quote 0
                        • S
                          skyter
                          last edited by

                          Порты провайдер не блокирует. Кстати с виндового впн я могу подключиться к офису.
                          А на сервере филиала статус клиента OpenVPN down.

                          Вот лог:
                          [UNDEF] Inactivity timeout (–ping-restart), restarting
                          SIGUSR1[soft,ping-restart] received, process restarting
                          WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
                          NOTE: the current –script-security setting may allow this configuration to call user-defined scripts
                          UDPv4 link local (bound): [AF_INET]xxx.xxx.xxx.xxx
                          UDPv4 link remote: [AF_INET]xxx.xxx.xxx.xxx:1194

                          1 Reply Last reply Reply Quote 0
                          • P
                            pigbrother
                            last edited by

                            WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.

                            Это, вроде, не критическая ошибка, у меня с ней работало.
                            Включите более детальный лог, verb 4, например.

                            И что в логе сервера при неудачном коннекте?

                            1 Reply Last reply Reply Quote 0
                            • S
                              skyter
                              last edited by

                              В логах сервера нет ничего.

                              Но когда я подключался с виндового клиента, то лог такой:

                              xxx.xxx.xxx.xxx:61544 [cert1] Peer Connection Initiated with [AF_INET]xxx.xxx.xxx.xxx:61544
                              cert1/xxx.xxx.xxx.xxx:61544 MULTI_sva: pool returned IPv4=10.0.8.6, IPv6=(Not enabled)
                              cert1/xxx.xxx.xxx.xxx:61544 send_push_reply(): safe_cap=940
                              cert1/xxx.xxx.xxx.xxx:61544 [cert1] Inactivity timeout (–ping-restart), restarting

                              1 Reply Last reply Reply Quote 0
                              • P
                                pigbrother
                                last edited by

                                В логах сервера нет ничего.

                                Совсем никаких следов попытки подключения?

                                Установите на сервере принудительно verb 3  или verb 4

                                1 Reply Last reply Reply Quote 0
                                • S
                                  skyter
                                  last edited by

                                  Вот еще лог:

                                  openvpn[14527]: MANAGEMENT: Client connected from /var/etc/openvpn/server1.sock
                                  openvpn[14527]: MANAGEMENT: CMD 'status 2'
                                  openvpn[14527]: MANAGEMENT: CMD 'quit'
                                  openvpn[14527]: MANAGEMENT: Client disconnected
                                  openvpn[14527]: event_wait : Interrupted system call (code=4)
                                  openvpn[14527]: /sbin/route delete -net 10.0.8.0 10.0.8.2 255.255.255.0
                                  openvpn[14527]: /sbin/route delete -net 192.168.1.0 10.0.8.2 255.255.255.0
                                  openvpn[14527]: Closing TUN/TAP interface
                                  openvpn[14527]: /usr/local/sbin/ovpn-linkdown ovpns1 1500 1557 10.0.8.1 10.0.8.2 init
                                  openvpn[14527]: SIGTERM[hard,] received, process exiting
                                  openvpn[30007]: OpenVPN 2.3.6 amd64-portbld-freebsd10.1 [SSL (OpenSSL)] [LZO] [MH] [IPv6] built on Dec 1 2014
                                  openvpn[30007]: library versions: OpenSSL 1.0.1k-freebsd 8 Jan 2015, LZO 2.08
                                  openvpn[30076]: NOTE: the current –script-security setting may allow this configuration to call user-defined scripts
                                  openvpn[30076]: Control Channel Authentication: using '/var/etc/openvpn/server1.tls-auth' as a OpenVPN static key file
                                  openvpn[30076]: TUN/TAP device ovpns1 exists previously, keep at program end
                                  openvpn[30076]: TUN/TAP device /dev/tun1 opened
                                  openvpn[30076]: do_ifconfig, tt->ipv6=1, tt->did_ifconfig_ipv6_setup=0
                                  openvpn[30076]: /sbin/ifconfig ovpns1 10.0.8.1 10.0.8.2 mtu 1500 netmask 255.255.255.255 up
                                  openvpn[30076]: /usr/local/sbin/ovpn-linkup ovpns1 1500 1557 10.0.8.1 10.0.8.2 init
                                  openvpn[30076]: UDPv4 link local (bound): [AF_INET]xxx.xxx.xxx.xxx:1194
                                  openvpn[30076]: UDPv4 link remote: [undef]
                                  openvpn[30076]: Initialization Sequence Completed

                                  1 Reply Last reply Reply Quote 0
                                  • S
                                    skyter
                                    last edited by

                                    Проблема решена. Оказывается провайдер заблокировал

                                    1 Reply Last reply Reply Quote 0
                                    • werterW
                                      werter
                                      last edited by

                                      @skyter:

                                      Проблема решена. Оказывается провайдер заблокировал

                                      Вешайте openvpn на стандартный порт типа 80 tcp ,443 tcp, 53 tcp\udp

                                      1 Reply Last reply Reply Quote 0
                                      • P
                                        pigbrother
                                        last edited by

                                        @skyter:

                                        Проблема решена. Оказывается провайдер заблокировал

                                        Страницей назад вас спрашивал:

                                        Пинг\трейс между филиалом и офисом по внешним IP ходят? Не блокирует ли провайдер порт, который слушает сервер?

                                        Вы отвечаете:

                                        Порты провайдер не блокирует.

                                        1 Reply Last reply Reply Quote 0
                                        • S
                                          skyter
                                          last edited by

                                          Я звонил в техподдержку, они ответили, что ничего не блокируют, а когда я им написал на support, то все сразу же решилось.

                                          1 Reply Last reply Reply Quote 0
                                          • S
                                            skyter
                                            last edited by

                                            Уважаемые эксперты!

                                            Подскажите, пожалуйста, что нужно сделать, чтобы подключить второй филиал?
                                            Соединение есть, второй клиент подключается, но ping не идет. Вероятно, что-то с маршрутами.
                                            Пробовал экспериментировать с маршрутами, но ничего не вышло. Кто знает, что нужно сделать?

                                            Заранее благодарен

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.