Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved Russian
    376 Posts 39 Posters 215.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • A
      Ablukov_A.A.
      last edited by

      @rubic:

      Common Name в настройках Client Specific Overrides должно совпадать с CN сертификата клиента

      Проверил еще раз – совпадает.

      В актуальной версии pfSense не нужно ничего прописывать в Advanced. Для того, что туда писалось, разработчики сделали специальные поля, пользуйтесь ими:

      Сделал по вашему совету, но, к сожалению, ситуация не изменилась.

      Попробую полностью удалить настройки сервера и клиента и настроить заново OpenVPN-туннель.

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        2  Ablukov_A.A

        Настраивайте в режиме клиент-сервер, а не p2p.

        1 Reply Last reply Reply Quote 0
        • S
          skyter
          last edited by

          По данной инструкции соединил два филиала и все прекрасно работало.
          Но недавно пришло письмо от провайдера, о том, что необходимо изменить настройки сети, т.к. у них меняются ip-адреса. Я изменил настройки в главном офисе и все ок. Но когда настройки поменял на сервере филиала, то туннель перестал работать. Из другой сети к офису можно подключиться.
          Может ли это быть связано, что в офисе и филиале один провайдер у которого шлюз и днс адреса одинаковые, отличие только в ip-адресах. IP естественно статические и там и там.

          1 Reply Last reply Reply Quote 0
          • P
            pigbrother
            last edited by

            Может ли это быть связано, что в офисе и филиале один провайдер у которого шлюз и днс адреса одинаковые, отличие только в ip-адресах. IP естественно статические и там и там.

            Маловероятно. У меня центральный офис и 2 филиала - в той же ситуации, но работе это не мешает.

            Пинг\трейс между филиалом и офисом по внешним IP ходят? Не блокирует ли провайдер порт, который слушает сервер?

            1 Reply Last reply Reply Quote 0
            • S
              skyter
              last edited by

              Порты провайдер не блокирует. Кстати с виндового впн я могу подключиться к офису.
              А на сервере филиала статус клиента OpenVPN down.

              Вот лог:
              [UNDEF] Inactivity timeout (–ping-restart), restarting
              SIGUSR1[soft,ping-restart] received, process restarting
              WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
              NOTE: the current –script-security setting may allow this configuration to call user-defined scripts
              UDPv4 link local (bound): [AF_INET]xxx.xxx.xxx.xxx
              UDPv4 link remote: [AF_INET]xxx.xxx.xxx.xxx:1194

              1 Reply Last reply Reply Quote 0
              • P
                pigbrother
                last edited by

                WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.

                Это, вроде, не критическая ошибка, у меня с ней работало.
                Включите более детальный лог, verb 4, например.

                И что в логе сервера при неудачном коннекте?

                1 Reply Last reply Reply Quote 0
                • S
                  skyter
                  last edited by

                  В логах сервера нет ничего.

                  Но когда я подключался с виндового клиента, то лог такой:

                  xxx.xxx.xxx.xxx:61544 [cert1] Peer Connection Initiated with [AF_INET]xxx.xxx.xxx.xxx:61544
                  cert1/xxx.xxx.xxx.xxx:61544 MULTI_sva: pool returned IPv4=10.0.8.6, IPv6=(Not enabled)
                  cert1/xxx.xxx.xxx.xxx:61544 send_push_reply(): safe_cap=940
                  cert1/xxx.xxx.xxx.xxx:61544 [cert1] Inactivity timeout (–ping-restart), restarting

                  1 Reply Last reply Reply Quote 0
                  • P
                    pigbrother
                    last edited by

                    В логах сервера нет ничего.

                    Совсем никаких следов попытки подключения?

                    Установите на сервере принудительно verb 3  или verb 4

                    1 Reply Last reply Reply Quote 0
                    • S
                      skyter
                      last edited by

                      Вот еще лог:

                      openvpn[14527]: MANAGEMENT: Client connected from /var/etc/openvpn/server1.sock
                      openvpn[14527]: MANAGEMENT: CMD 'status 2'
                      openvpn[14527]: MANAGEMENT: CMD 'quit'
                      openvpn[14527]: MANAGEMENT: Client disconnected
                      openvpn[14527]: event_wait : Interrupted system call (code=4)
                      openvpn[14527]: /sbin/route delete -net 10.0.8.0 10.0.8.2 255.255.255.0
                      openvpn[14527]: /sbin/route delete -net 192.168.1.0 10.0.8.2 255.255.255.0
                      openvpn[14527]: Closing TUN/TAP interface
                      openvpn[14527]: /usr/local/sbin/ovpn-linkdown ovpns1 1500 1557 10.0.8.1 10.0.8.2 init
                      openvpn[14527]: SIGTERM[hard,] received, process exiting
                      openvpn[30007]: OpenVPN 2.3.6 amd64-portbld-freebsd10.1 [SSL (OpenSSL)] [LZO] [MH] [IPv6] built on Dec 1 2014
                      openvpn[30007]: library versions: OpenSSL 1.0.1k-freebsd 8 Jan 2015, LZO 2.08
                      openvpn[30076]: NOTE: the current –script-security setting may allow this configuration to call user-defined scripts
                      openvpn[30076]: Control Channel Authentication: using '/var/etc/openvpn/server1.tls-auth' as a OpenVPN static key file
                      openvpn[30076]: TUN/TAP device ovpns1 exists previously, keep at program end
                      openvpn[30076]: TUN/TAP device /dev/tun1 opened
                      openvpn[30076]: do_ifconfig, tt->ipv6=1, tt->did_ifconfig_ipv6_setup=0
                      openvpn[30076]: /sbin/ifconfig ovpns1 10.0.8.1 10.0.8.2 mtu 1500 netmask 255.255.255.255 up
                      openvpn[30076]: /usr/local/sbin/ovpn-linkup ovpns1 1500 1557 10.0.8.1 10.0.8.2 init
                      openvpn[30076]: UDPv4 link local (bound): [AF_INET]xxx.xxx.xxx.xxx:1194
                      openvpn[30076]: UDPv4 link remote: [undef]
                      openvpn[30076]: Initialization Sequence Completed

                      1 Reply Last reply Reply Quote 0
                      • S
                        skyter
                        last edited by

                        Проблема решена. Оказывается провайдер заблокировал

                        1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by

                          @skyter:

                          Проблема решена. Оказывается провайдер заблокировал

                          Вешайте openvpn на стандартный порт типа 80 tcp ,443 tcp, 53 tcp\udp

                          1 Reply Last reply Reply Quote 0
                          • P
                            pigbrother
                            last edited by

                            @skyter:

                            Проблема решена. Оказывается провайдер заблокировал

                            Страницей назад вас спрашивал:

                            Пинг\трейс между филиалом и офисом по внешним IP ходят? Не блокирует ли провайдер порт, который слушает сервер?

                            Вы отвечаете:

                            Порты провайдер не блокирует.

                            1 Reply Last reply Reply Quote 0
                            • S
                              skyter
                              last edited by

                              Я звонил в техподдержку, они ответили, что ничего не блокируют, а когда я им написал на support, то все сразу же решилось.

                              1 Reply Last reply Reply Quote 0
                              • S
                                skyter
                                last edited by

                                Уважаемые эксперты!

                                Подскажите, пожалуйста, что нужно сделать, чтобы подключить второй филиал?
                                Соединение есть, второй клиент подключается, но ping не идет. Вероятно, что-то с маршрутами.
                                Пробовал экспериментировать с маршрутами, но ничего не вышло. Кто знает, что нужно сделать?

                                Заранее благодарен

                                1 Reply Last reply Reply Quote 0
                                • P
                                  pigbrother
                                  last edited by

                                  @skyter:

                                  Уважаемые эксперты!

                                  Подскажите, пожалуйста, что нужно сделать, чтобы подключить второй филиал?
                                  Соединение есть, второй клиент подключается, но ping не идет. Вероятно, что-то с маршрутами.
                                  Пробовал экспериментировать с маршрутами, но ничего не вышло. Кто знает, что нужно сделать?

                                  Заранее благодарен

                                  По идее
                                  достаточно добавить route a.b.с.d 255.255.255.0 в Advanced configuration или, что то же самое -  a.b.с.d/24 в IPv4 Local Network/s в настройках каждого сервера.
                                  a.b.с.d 255.255.255.0  - сеть за "дружественным" OVPN-сервером.
                                  и
                                  iroute c.d.f.e 255.255.255 или или, что то же самое -  c.d.f.e/24 в IPv4 Remote Network/s для передачи серверу маршрута в сеть за клиентом, это, предпложу, у вас для работющей пары клиент-сервер уже настроено.
                                  Для передачи клиенту маршрута в сеть за другим сервером - push "route …  или, что то же самое - добавляем сеть в IPv4 Local Network/s
                                  Это делается в Client Specific Overrides

                                  Руками никакие маршруты в System: Static Routes добавлять не следует, так же, как добавлять не следует явные OVPN-интерфейсы в меню Interfaces: Assign.

                                  1 Reply Last reply Reply Quote 0
                                  • S
                                    skyter
                                    last edited by

                                    pigbrother, спасибо Вам огромное за помощь. Пожалуйста, помогите еще решить один вопрос.

                                    На pfsense 1 (сервер openvpn) убрал из remote network адрес 192.168.5.0, а в advanced добавил два адреса:
                                    route 192.168.5.0 255.255.255.0; route 192.168.10.0 255.255.255.0

                                    Теперь из главного офиса вижу сеть 192.168.5.0 и 192.168.10.0 и они видят офисную сеть 192.168.1.0, но как сделать так, чтобы сети 192.168.5.0 и 192.168.10.0 видели друг друга?

                                    В client specific overrides добавлял push route, но что-то не получилось, может не так что делаю?

                                    1 Reply Last reply Reply Quote 0
                                    • P
                                      pigbrother
                                      last edited by

                                      1.На LAN интерфейсах pfSense есть ли правило(а)

                                      IPv4 * LAN net * 192.168.х.0/24 * * none

                                      192.168.х.0/24 - удаленные сети за другими pfSense

                                      2.  pfSense - шлюз по умолчанию?
                                      3. Брандмауэр Windows блокирует все пакеты из чужих сетей

                                      1 Reply Last reply Reply Quote 0
                                      • S
                                        skyter
                                        last edited by

                                        1. Правило везде есть
                                        2. если вы имеете ввиду в general setup use gateway, то везде установлено none
                                        3. Брандмауэр отключен.

                                        p.s. также пробовал пинговать с самого pfsense. Получается следующее: с pfsense 1 пингуется и pfsense 2 и pfsense 3. А вот с pfsense 2 пингуется только первый, также и с pfsense 3 пингуется только pfsense 1. Я думаю дело в маршруте

                                        1 Reply Last reply Reply Quote 0
                                        • P
                                          pigbrother
                                          last edited by

                                          если вы имеете ввиду в general setup use gateway, то везде установлено none

                                          Нет, я имел в виду pfSense - шлюз для всех компьютеров своей сети.

                                          Не знаю причину у вас - у меня все сети за OVPN видят друг друга без дополнительных усилий,

                                          route на всех серверах в дружественные сети
                                          iroute и push route в client specific overrides

                                          достаточно, клиенты - либо Микротик, либо одиночные пользователи на разных платформах.

                                          1 Reply Last reply Reply Quote 0
                                          • S
                                            skyter
                                            last edited by

                                            pigbrother, если не трудно, можно подробнее объяснить. Возможно, я что-то делаю не так.
                                            Сервер OVPN - сеть 192.168.1.0
                                            Клиент 1 - сеть 192.168.5.0
                                            Клиент 2 - сеть 192.168.10.0

                                            Если не затруднит, можно поподробнее описать настройки сервера и client specific override. Я имею ввиду поля advanced и где route, iroute и push route

                                            Заранее благодарен

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.