Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    PfSense OpenVPN Server + Linux-client

    Scheduled Pinned Locked Moved Russian
    76 Posts 5 Posters 16.1k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • T
      timon12
      last edited by

      Tano!

      Но как мне кажется проблема именно на PFSENSE, поскольку на ней тормозится трасировка и нет переброски пакетов из сети 10.0.0.0\24 в сеть 10.87.0.0/24

      Если в Firewall -> Rules -> OpenVPN есть
      IPv4 * * * * * * none

      То в теории проблем не должно быть

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        2 timon12

        Вот, может кому и пригодиться "для брачных контрактов разных систем":
        https://habrahabr.ru/post/246953/

        Этой статьей и руководствовался.

        P.s. OpenVPN one-click install  - https://habrahabr.ru/company/infobox/blog/248445/  Проверил - работает.

        1 Reply Last reply Reply Quote 0
        • T
          timon12
          last edited by

          2 werter

          P.s. OpenVPN one-click install  - https://habrahabr.ru/company/infobox/blog/248445/  Проверил - работает.

          Благодарю. Попробую.

          1 Reply Last reply Reply Quote 0
          • P
            pigbrother
            last edited by

            @pigbrother:

            После, переподкл. клиентом и проверить скорость передачи в туннеле. Есть вариант, что она вас удивит.

            Проверю вечером, отпишусь.

            Да, скорость ощутимо выросла. Процессор при этом ожидаемо нагружается не меньше, скорее даже еще сильнее.
            Чтож, хотите скоростей - не жалейте заварки ;)
            Читал, что с выходом OpenVPN 3.0 появится поддержка AES-NI.
            https://ru.wikipedia.org/wiki/%D0%A0%D0%B0%D1%81%D1%88%D0%B8%D1%80%D0%B5%D0%BD%D0%B8%D0%B5_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D1%8B_%D0%BA%D0%BE%D0%BC%D0%B0%D0%BD%D0%B4_AES
            Авторы pfSense обещают полную поддержку для IPsec и, частичную, для OpenVPN

            1 Reply Last reply Reply Quote 0
            • T
              Tano
              last edited by

              Я типа упертый и хочу все же настроить  и хочу научиться настраивать openvpn.
              Теории уже много начитался и ранее и за этот топик.
              Начал с того, что отключил openvpn сервер Peer to peer ssl/tls.
              Оставил только openvpn Remote access SSL/TLS, подключил к нему роутер на прошивке TOMATO shibby v.133
              Роутер получил маршруты в главную сеть - lan - 192.168.1.0/24 и во вторую lan 192.168.12.0/24.
              Из сети за роутером все машины могут обращаться к ресурсам главной сети, типа RDP на терминальный сервер или NAS.
              Из главной сети НЕТ доступа в сеть за роутером.
              Client specific overrides для роутера указываю в
              IPv4 Local Network/s - 192.168.1.0/24, 192.168.12.0/24
              IPv4 Remote Network/s - 192.168.87.0/24
              Для пущей страсти там же в Advanced - iroute 192.168.87.0 255.255.255.0;
              Но в таблице маршрутов PFSENSE только вот такие маршруты связанные с OVPNS2
              IPv4
              Destination Gateway Flags Use Mtu Netif Expire
              default 10.78.112.1 UGS 1423882 1500 em1
              10.78.112.0/21 link#2 U 79994 1500 em1
              10.78.113.65 link#2 UHS 0 16384 lo0
              12.0.0.0/24 12.0.0.2 UGS 1586 1500 ovpns2
              12.0.0.1 link#10 UHS 0 16384 lo0
              12.0.0.2 link#10 UH 0 1500 ovpns2
              127.0.0.1 link#6 UH 3166 16384 lo0
              172.16.1.40 00:0c:29:b8:e3:82 UHS 23760 1500 em1
              172.16.1.41 00:0c:29:b8:e3:82 UHS 23778 1500 em1
              192.168.1.0/24 link#1 U 1425318 1500 em0
              192.168.1.1 link#1 UHS 0 16384 lo0
              192.168.12.0/24 link#3 U 21357 1500 em2
              192.168.12.1 link#3 UHS 0 16384 lo0

              Что у меня не так? Почему не поднимается маршрут в сеть 192.168.87.0/24 через туннель 12.0.0.0/24
              Такой маршрут у меня автоматом появляется только если я создаю сервер по типу Peer to peer SSL/TLS, который я временно для эксперимента отключил, как написал в начале.

              1 Reply Last reply Reply Quote 0
              • T
                timon12
                last edited by

                @Tano:

                @timon12:

                На LAN работают правила, относящиеся только к LAN.

                Тоже верно, но на всякий случай проверить стоило, мое мнение.

                Tano!
                На скрине Routes-tomato router1.JPG нет маршрута к сети мобильных клиентов, по идее пф-ка должна была выдать томато еще и такой маршрут (при поднятии коннекта между офисами):
                Destination        Gateway        Subnet    Metric    Inteface

                192.168.1.0      10.87.0.5      /24            0            tun11  - этот маршрут у томато есть
                10.0.0.0            10.87.0.5      /24            0            tun11  - а вот этого не хватает

                Как вариант, можно дописать в настройках "впн-сервера между офисами" Tunnel Settings -> IPv4 Local Network/s - сеть мобильных клиетнов (10.0.0.0\24), или в client cpecific overrides (что менее практично, и для томато я бы тоже удалил настройки в client cpecific overrides)

                Поскольку мне нужно организовать двухстороний обмен я решил пока оставить client cpecific overrides для роутера и в поле IPv4 Local Network/s добавил 10.0.0.0\24, перегрузил канал, роутер получил еще одно правило - 10.0.0.0 10.87.0.5 255.255.255.0 0 tun11
                Из FW LAN убрал два ненужных правила.
                Проверить что изменилось смогу только ближе к вечеру.
                Но как мне кажется проблема именно на PFSENSE, поскольку на ней тормозится трасировка и нет переброски пакетов из сети 10.0.0.0\24 в сеть 10.87.0.0/24

                Для справки - проверяли или нет?

                1 Reply Last reply Reply Quote 0
                • T
                  Tano
                  last edited by

                  @timon12:

                  Для справки - проверяли или нет?

                  Да проверял, не помогло, поэтом решил радикально поступить и типа с начала начать.
                  Кстати вот 5 минут назад удалось соединить две сети, в режиме remote accesse SSL/TLS. Ура, есть обмен данными в обе стороны.
                  Завелось это все у меня только с такими настройками:
                  на сервере IPv4 Local Network/s 192.168.1.0/24, 192.168.12.0/24
                  и в Advanced
                  route 192.168.87.0 255.255.255.0; - это для сервера
                  push "route 192.168.87.0 255.255.255.0"; - это для других мобильных клиентов.
                  а в  client specifi для роутера
                  Tunnel Network - пусто.
                  IPv4 Local Network/s 192.168.1.0/24, 192.168.12.0/24
                  IPv4 Remote Network/s 192.168.87.0/24
                  и в Advanced
                  iroute 192.168.87.0. 255.255.255.0
                  Server Definitions Prevent this client from receiving any server-defined client settings. - НЕ УСТАНОВЛЕНА

                  Теперь только мобильные клиенты не могут получить доступ в удаленную сеть, а в главную имеют, хотя маршрут в удаленную сеть мобильный клиент получил.
                  имеем следующий затык, мобильный клинет получив маршрут в сеть 87.0/24 отправляет пакеты в туннель 12.0.0.0/24
                  после 12.0.0.1 ступор, а это согласно NET30 адрес PFSENSE вот тут красиво все разрисовано https://forum.pfsense.org/index.php?topic=59081.msg317265#msg317265.
                  Что куда дописать?

                  1 Reply Last reply Reply Quote 0
                  • T
                    timon12
                    last edited by

                    Разница между режимами работы только в количестве настроек - по большому счету
                    Попробуйте от обратного - с удаленного офиса увидеть мобильного клиента - при этом подтяните еще и знания по маршрутизации
                    Если уж совсем не прокатит то отпишитесь - предоставлю свою схему работы под ваш вариант офиса-оборудования
                    Как по мне - то надо тренировать ТОМАТО и при этом практически все настройки чтоб отдавал ему pfsense,  со всей необходимой маршрутизацией. Как делать - было выше но на микротиках.
                    На ссылке, что указали, там Peer-to-Peer а не Remoute Access, и плюс там pfsense+pfsense, а у вас pfsense+tomato

                    1 Reply Last reply Reply Quote 0
                    • T
                      Tano
                      last edited by

                      @timon12:

                      Разница между режимами работы только в количестве настроек - по большому счету
                      Попробуйте от обратного - с удаленного офиса увидеть мобильного клиента - при этом подтяните еще и знания по маршрутизации
                      Если уж совсем не прокатит то отпишитесь - предоставлю свою схему работы под ваш вариант офиса-оборудования
                      Как по мне - то надо тренировать ТОМАТО и при этом практически все настройки чтоб отдавал ему pfsense,  со всей необходимой маршрутизацией. Как делать - было выше но на микротиках.

                      Все победа, в этот раз надо было лишь включить на сервере галку на разрешение обмена данными между подключенными клиентами.
                      Большое всем спасибо.
                      Следующий этап это подключение еще одной удаленной сети, на базе еще одного роутера, думаю опять на томато, поскольку на zyxel как то все мудрено получается и организация связи между всеми участниками.

                      1 Reply Last reply Reply Quote 0
                      • T
                        timon12
                        last edited by

                        Теперь вы подключаясь мобильным клиентом к главному офису ходите в сеть главного офиса через удаленный офис, так как написали, что мобильный клиент получил адрес из .87.0/24?

                        1 Reply Last reply Reply Quote 0
                        • T
                          Tano
                          last edited by

                          @timon12:

                          Теперь вы подключаясь мобильным клиентом к главному офису ходите в сеть главного офиса через удаленный офис, так как написали, что мобильный клиент получил адрес из .87.0/24?

                          Нет я иначе написал:
                          @Tano:

                          имеем следующий затык, мобильный клинет получив маршрут в сеть 87.0/24 отправляет пакеты в туннель 12.0.0.0/24
                          после 12.0.0.1 ступор,

                          Нет, я может не так выразился, мобильный клиент подключается в главную сеть, сервер только здесь, он (мобильный клиент) получает от сервера-  PFSENSE маршрут в удаленную сеть 87.0/24

                          1 Reply Last reply Reply Quote 0
                          • First post
                            Last post
                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.