Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN Server не видит сеть за клиентом

    Scheduled Pinned Locked Moved Russian
    18 Posts 4 Posters 4.5k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • P Offline
      pigbrother
      last edited by

      Да, у вас subnet.

      1 Reply Last reply Reply Quote 0
      • F Offline
        fess2005
        last edited by

        Прошу помочь разобраться, почему трафик ходит в одностороннем порядке между сетями, проброшенными через туннель

        Версия pfsense 2.3.3-RELEASE-p1 (amd64)
        built on Thu Mar 09 07:17:41 CST 2017
        FreeBSD 10.3-RELEASE-p17

        Подянт Сервер ОВПН
        Peer to Peer (Shared Key)
        UDP
        tun
        WAN
        1194

        tunnel 10.10.2.0/24

        IPv4 Remote network 192.168.0.0/24

        На клиенте следущее
        Peer to Peer (Shared Key)
        UDP
        tun
        WAN
        local port пусто
        server host xxx.xxx.xxx.xxx
        server port 1194
        tunnel 10.10.2.0/24
        IPv4 Remote network 192.168.2.0/24

        Туннель замечательно поднимается
        настройки файервола на сервере (без учета дефолтных)
        WAN:
        IPv4 UDP * * WAN address 1194 (OpenVPN) * none  
        LAN:
        IPv4* * * * * * none
        OpenVPN:
        IPv4* * * * * * none

        настройки файервола на клиенте (без учета дефолтных)
        WAN:

        LAN:
        IPv4* * * * * * none
        OpenVPN:
        IPv4* * * * * * none

        из сети 192.168.0.0/24 видится сеть 192.168.2.0/24
        а из сети 192.168.2.0/24 не видится сеть 192.168.0.0/24, притом из сети 192.168.2.0 можно пинговать внутренний интерфейс роутера 192.168.0.3
        Трасероуте внутренней машины с оключенным файерволом с клиента
        1  10.10.2.1  81.034 ms  80.888 ms  80.990 ms
        2  192.168.2.5  81.350 ms  81.341 ms  81.275 ms
        Трасероуте внутренней машины с оключенным файерволом(192.168.0.1) с сервера
        1  10.10.2.2  81.029 ms  80.998 ms  80.980 ms
        2  * * *

        Менял ролями клинетскую машину и серверную - какая-то проблема именно с уходом трафика в сеть 192.168.0.0/24, притом, что сама машина с внутренним ип 192.168.0.3 прекрасно пингует всю сеть 192.168.0.0/24

        Подскажите где копать..
        Routing Server
        Destination Gateway Flags Use Mtu Netif Expire
        default xxx.xxx.xxx.xxx UGS 4662 1500 re0
        10.10.2.1 link#8 UHS 0 16384 lo0
        10.10.2.2 link#8 UH 6 1500 ovpns2
        xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx UGHS 0 1500 re0
        127.0.0.1 link#7 UH 24 16384 lo0
        192.168.0.0/24 10.10.2.2 UGS 717 1500 ovpns2
        192.168.2.0/24 link#3 U 135611 1500 re2
        192.168.2.1 link#3 UHS 0 16384 lo0
        xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx UGHS 0 1500 re0
        xxx.xxx.xxx.xxx/30 link#1 U 5837 1500 re0
        xxx.xxx.xxx.xxx link#1 UHS 0 16384 lo0

        Routing client
        Destination Gateway Flags Use Mtu Netif Expire
        default xxx.xxx.xxx.xxx UGS 32010 1500 re0
        10.10.2.1 link#8 UH 18 1500 ovpnc1
        10.10.2.2 link#8 UHS 0 16384 lo0
        127.0.0.1 link#7 UH 2423 16384 lo0
        192.168.0.0/24 link#3 U 6123 1500 re2
        192.168.0.3 link#3 UHS 0 16384 lo0
        192.168.2.0/24 10.10.2.1 UGS 7 1500 ovpnc1
        xxx.xxx.xxx.xxx/30 link#1 U 25194 1500 re0
        xxx.xxx.xxx.xxx link#1 UHS 0 16384 lo0

        1 Reply Last reply Reply Quote 0
        • werterW Offline
          werter
          last edited by

          Доброе.
          В кач-ве клиента pf ?
          1. Шлюзом у всех машин в обеих сетях должны быть их pf. Проверяйте.
          2. При Peer to Peer (Shared Key) сеть за клиентом видна не будет. Переходите на Remote access . После перехода - добавляйте директиву iroute на сервере в Client specific overrides.

          В гугле это звучит так - Не видно сеть за клиентом Openvpn.

          1 Reply Last reply Reply Quote 0
          • F Offline
            fess2005
            last edited by

            @werter:

            Доброе.
            В кач-ве клиента pf ?
            1. Шлюзом у всех машин в обеих сетях должны быть их pf. Проверяйте.
            2. При Peer to Peer (Shared Key) сеть за клиентом видна не будет. Переходите на Remote access . После перехода - добавляйте директиву iroute на сервере в Client specific overrides.

            В гугле это звучит так - Не видно сеть за клиентом Openvpn.

            Добрый день!
            клиентские машины с ОС WIN во внутренних сетях с каждой стороны туннеля.
            1: шлюзами у них выступают pf в своих сетях
            Офис: ОС Вин1 192.168.0.254/24 gw(адрес pf1) 192.168.0.3/24
            Филиал: ОС Вин2 192.168.2.5/24 gw(адрес pf2) 192.168.2.1/24
            2: буду пробовать

            Пробовалось 3 варианты работы с/без вариантами записей в Client specific overrides:
            1: pf1 - server OpenVPN, pf2 - client OpenVPN
            2: двойной туннель - каждый pf и клиент и сервер
            3: pf1 - client OpenVPN, pf2 - server OpenVPN

            Интерес ситуации в том, что во всех вариантах ОС Вин1 допингивается и трассируется до ОС Вин2,
            а вот наоборот ОС Вин2 не видит ОС Вин1. пинги глохнут, трассерт доходит до внутреннего адреса туннеля со стороны ОС Вин1 и далее глохнет. Зато 192.168.0.3 пингуется и трассируется.(Сам 192.168.0.3 пингует все машины своей сети и ОС Вин1 в частности)
            Уже думаем, что косяк в машине на стороне офиса, хотя железо новое, опробую сначала старенькую машинку с тем же конфигом pf закинуть на сторону офиса. Далее уже буду пробовать вторую рекомендацию.
            Спасибо за ответ. Отпишусь как что получится

            1 Reply Last reply Reply Quote 0
            • P Offline
              pigbrother
              last edited by

              На всякий случай - брандмауэр на проблемной машине выключен?

              1 Reply Last reply Reply Quote 0
              • F Offline
                fess2005
                last edited by

                @pigbrother:

                На всякий случай - брандмауэр на проблемной машине выключен?

                Выключен. Пробовалось, притом, до 5-и разных ПК.

                1 Reply Last reply Reply Quote 0
                • P Offline
                  pigbrother
                  last edited by

                  Попробуйте на LAN каждого PF добавить выше остальных  по правилу:
                  IPv4 * LAN net * a.a.a.0/24 * * none
                  где
                  x.x.x.x/24 - сеть за удаленным pf.

                  1 Reply Last reply Reply Quote 0
                  • F Offline
                    fess2005
                    last edited by

                    @fess2005:

                    @pigbrother:

                    На всякий случай - брандмауэр на проблемной машине выключен?

                    Выключен. Пробовалось, притом, до 5-и разных ПК.

                    Доброго вечера!
                    Как мне и представлялось - решение было очень простым и не стоило за ним лезть сюда на форум…
                    Косяк мой оказался в том, что я отключение виндовозного брандмауэра почему-то приравнял к включению сетевого обнаружения для всех профилей (доменный, частный, публичный), а все 5 машин - винда 7... Вот когда его на самом деле отрубил - все заработало.
                    Так что всех с Пасхой и отвечавшим спасибо за помощь. Действующий конфиг оказался рабочим.

                    В дополнение добавлю, что со включенным брандмауэром в винде пинги стали ходить, если включить во входящих политиках "Общий доступ к файлам и принтерам..." - все вкладки в дефолте, а во вкладке Область в поле "удаленный IP адрес" добавить внутреннюю подсеть туннеля"

                    1 Reply Last reply Reply Quote 0
                    • P Offline
                      pigbrother
                      last edited by

                      в поле "удаленный IP адрес" добавить внутреннюю подсеть туннеля"

                      По идее - должна быть указана сеть за удаленным pfSense.

                      1 Reply Last reply Reply Quote 0
                      • F Offline
                        fess2005
                        last edited by

                        @pigbrother:

                        в поле "удаленный IP адрес" добавить внутреннюю подсеть туннеля"

                        По идее - должна быть указана сеть за удаленным pfSense.

                        Да, верное уточнение. Проверял с удаленного pfSense - он автоматом выбрал более близкую сеть - ВПН. Её прописал и успокоился =), а если у него же источником выбирать LAN, то на конечном ПК нужно прописывать сеть за удаленным pfSense, что именно и требуется…

                        1 Reply Last reply Reply Quote 0
                        • P Offline
                          pigbrother
                          last edited by

                          Адресами сети туннеля в случае site-to-site без необходимости пользоваться не стоит.

                          1 Reply Last reply Reply Quote 0
                          • First post
                            Last post
                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.