OpenVPN PSK: Site-to-Site инструкция для обсуждения

rubic

Нужно выбрать направление пакетов - out

derwin

Нужно выбрать направление пакетов - out

поясните. Я не понял о чём речь.
М.б. вы об этом…...

![2016-02-11 14-35-50 win7 test 1 [????????] - Oracle VM VirtualBox.png](/public/imported_attachments/1/2016-02-11 14-35-50 win7 test 1 [????????] - Oracle VM VirtualBox.png)
![2016-02-11 14-35-50 win7 test 1 [????????] - Oracle VM VirtualBox.png_thumb](/public/imported_attachments/1/2016-02-11 14-35-50 win7 test 1 [????????] - Oracle VM VirtualBox.png_thumb)

derwin

проблема в шлюзе по умолчанию для основной таблицы маршрутизации у pf-а!!
Если выставить основным шлюзом OpenVPN интерфейс НА ОБОИХ pfsense - всё работает без нареканий!!!

Как с этим бороться?

werter

2 derwin

1. Не нужно создавать руками отдельно Openvpn-интерфейсы.
2. Не трогайте флоатинг рулез - настраивайте обычные на интерфейсах. Потом с ними разберетесь.
3. При создании правил на LAN для доступа к сетям впн не надо указывать gw.

rubic

Вы чего добиться-то пытаетесь? Того, что в этой ссылке: https://forum.pfsense.org/index.php?topic=58846.msg316063#msg316063 ? Тогда там floating rule с gateway и direction out
Я тоже перестал что либо понимать

Angel_19

Создал соединение по первой инструкции.
Тунели поднимаются, но компы двух локалок не видят друг друга! Но если пробовать на самом pfSense из филиала пинговать компы цент. офиса, то пинги идут, аналогично и наоборот, на pfSense из центр. офиса пинги идут до компов филиала.

Что не так?

werter

Поищите статьи по OpenVPN на ixbt. Там на русском.

Уже занянчили, если честно, элементарными вопросами по OpenVPN.

Angel_19

IPSec туннели по тем же маршрутам нужно именно выключить, а не переводить их в состояние когда они не могут подключиться! (Я делал именно так.)
Все работает. 8)

Если у меня в центр. офисе там где сервер OpenVPN используются два провайдера интернета, то я могу на клиенте добавить второй IP для подключения так:

remote 4.3.2.1 1194

в секции Advanced?

werter

Поищите статьи по OpenVPN на ixbt. Там на русском.

Здравствуйте.
Сегодня решил обновить фаервол на филиале.
никак не получается настроить чтобы pfsense на филиале смог пробиться в интернет за обновлениями.
Все правила создавал как в инструкции. За одним исключением. У меня в головном офисе VLANы сделаны. То есть по одному оптоволокну идет и VPN и INternet. Соответственно с тегами сделаны виртуальные интерфейсы. Я уже пробовал и на VPN занатить в головном офисе и на Internet. Ничего не получается.

И второй вопрос:
Назрел вариант установки домен контроллера для всех подсетей. А так как у меня сейчас настройки типа TUN, то надо будет создавать разные леса, а этого не хотелось бы. Как можно поменять интерфейс с TUN на TAP, чтобы все было в одной подсети, и какие подводные камни. Я пересмотрел кучу мануалов, но так и не понял как это должно работать. Понял только, что надо будет добавлять Brige режим.

Catwoolfii

Доброго времени суток. Я настроил по инструкции из 1-го поста, но у меня локальные подсети маршрутизаторов были недоступны друг для друга. Проблема заключалась в том, что "Remote network" надо указывать не свою локальную подсеть, а удаленную! Грубо говоря, на сервере надо ввести 192.168.10.0/24 в качестве "Remote network", а на клиенте соответсвенно 192.168.20.0/24. Исправьте инструкцию, пожалуйста.

P.S. Еще раз посмотрел первый пост, разобрался.

werter

Доброе
В инс-ции на 1-й странице все верно указано. Проверяйте у себя.

Igor Filth

Ссылки на скриншоты в инструкции умерли :-\

pigbrother

@Igor:

Ссылки на скриншоты в инструкции умерли :-\

Недавно тоже обращался к этому каноническому посту - картинок нет. Пришлось вспоминать.

rubic

приаттачил к первому посту

trooto

А можно еще картинки "как инет пустить туда"

pigbrother

Выпускать компьютеры удаленного офиса через интернет основного?
Хотите - пробуйте.
Стандартные шаги - объявление Open VPN интерфейсом, редактирование Outbound NAT, использование директивы redirect-gateway def1
Предположу, что для режима PSK: Site-to-Site это проблематично\невозможно.

werter

Доброе.
@pigbrother:

объявление Open VPN интерфейсом

Зачем явно создавать впн-интерфейс? Достаточно redirect-gateway def1 (галку поставить)

pigbrother

Зачем явно создавать впн-интерфейс? Достаточно redirect-gateway def1 (галку поставить)
Исходя из опыта использования коммерческого OpenVPN предположу, что тогда не заработает Outbound NAT через OpenVPN . Не будет NAT - не будет интернета через OpenVPN.

werter

Доброе.
Попробуйте. Без интерфейса.