OpenVPN PSK: Site-to-Site инструкция для обсуждения

Igor Filth

Ссылки на скриншоты в инструкции умерли :-\

pigbrother

@Igor:

Ссылки на скриншоты в инструкции умерли :-\

Недавно тоже обращался к этому каноническому посту - картинок нет. Пришлось вспоминать.

rubic

приаттачил к первому посту

trooto

А можно еще картинки "как инет пустить туда"

pigbrother

Выпускать компьютеры удаленного офиса через интернет основного?
Хотите - пробуйте.
Стандартные шаги - объявление Open VPN интерфейсом, редактирование Outbound NAT, использование директивы redirect-gateway def1
Предположу, что для режима PSK: Site-to-Site это проблематично\невозможно.

werter

Доброе.
@pigbrother:

объявление Open VPN интерфейсом

Зачем явно создавать впн-интерфейс? Достаточно redirect-gateway def1 (галку поставить)

pigbrother

Зачем явно создавать впн-интерфейс? Достаточно redirect-gateway def1 (галку поставить)
Исходя из опыта использования коммерческого OpenVPN предположу, что тогда не заработает Outbound NAT через OpenVPN . Не будет NAT - не будет интернета через OpenVPN.

werter

Доброе.
Попробуйте. Без интерфейса.

ufojun

Спасибо за мануал. Подскажите , чтобы клиенты двух сетей использовали имена dns сервера головного офиса. Т.е. всего 1 сервер. А то у меня клиенты пингуються только по ip

Спасибо.

PbIXTOP

@ufojun:

Спасибо за мануал. Подскажите , чтобы клиенты двух сетей использовали имена dns сервера головного офиса. Т.е. всего 1 сервер. А то у меня клиенты пингуються только по ip

Спасибо.

В настройках DNS Forwader — опция domain overwrite

ufojun

@PbIXTOP:

@ufojun:

Спасибо за мануал. Подскажите , чтобы клиенты двух сетей использовали имена dns сервера головного офиса. Т.е. всего 1 сервер. А то у меня клиенты пингуються только по ip

Спасибо.

В настройках DNS Forwader — опция domain overwrite

Это надо делать на стороне сервера и клиента ?
на стороне сервера пишет:
The following input errors were detected:
An interface IP address must be specified for the DNS query source.

делал по этому мануалу - http://www.arnan.me/2020/pfsense-openvpn-site-site-dns-resolving/

werter

Доброе.
Клиенты в своих сетях настройки по dhcp получают ?

ufojun

@werter:

Доброе.
Клиенты в своих сетях настройки по dhcp получают ?

Привет. Да за сервером - windows dhcp, а в сети за клиентом - силами самого pfsense. ( поднял на нем )

В сети за клиентом 20 машин.
Ещё сам не определился как лучше сделать или tap или tun. Пока работает на tun уровне.
Подскажите как лучше. Хотел бы все в единой ифраструктуре . сорри за нубство. Впервые два офиса подключаются и по ходу посыпались вопросы

werter

Выдавайте ip необходимого вам dns сервера головного офиса клиентам по DHCP.

ufojun

@werter:

Выдавайте ip необходимого вам dns сервера головного офиса клиентам по DHCP.

Это тоже ? - В настройках DNS Forwader — опция domain overwrite

ufojun

@ufojun:

@werter:

Выдавайте ip необходимого вам dns сервера головного офиса клиентам по DHCP.

Это тоже ? - В настройках DNS Forwader — опция domain overwrite

Все Ура!. починил, ну как починил ).
Обнаружил, что dns-server в главном офисе не пингуеться, начал трайсерить, - все резалось на впн-клиенте, хотя некоторые машины пинговались (туда-сюда).
Увидел в списке роутов на клиенте - левый маршрут, он создавался , когда я с дуру прописывал главный dns в general settings на клиенте ( ну там же написано, что все прописанные здесь dns-ки использует dhcp и прочие сервисы.)Но даже при удалении этого конфига, роут оставался, поэтому я как бы удалял настройки, а роут висел , соответсвенно dns не только не пинговался , но и не обслуживал клиентов.

Спасибо за быстрые ответы. это очень вдохновляло, не оставался один_на_один с проблемой.

ufojun

Добрый день.

здесь писал, когда поднимал peer to peer. Теперь все работает.
Но возникло желание подключаться к данному openvpn туннелю с помощью remote access сервера. Поднятого на одной из сторон туннеля
сеть выглядит
Peer_to_Peer состоит:
pfsense сервера (Lan 1 - 192.168.0.0/24 , DNS сервер)
pfsense client (lan 2 - 192.168.1.0/24 IP peer_to_peer туннеля - 10.0.10.0/24 В туннеле все ip пингуються , днс работает

На стороне lan2 поднят remote access сервер 172.16.1.0/27

И вот при подключении к данному серверу, я могу пинговать сетку за сервером ( lan 2 - 192.168.1.0/24), но не могу пинговать хосты из сетки (Lan 1 - 192.168.0.0/24 ) , и соответственно не резолвяться по имени , так как в этой же сети расположен DNS сервер

Уже не знаю что делать
и Client Specific Override прописывал iroute 192.168.0.0 255.255.255.0; ( IP4 удаленная сеть)

что делать ? куда копать route?

Гуру сетей выручайте советом, словом.

спасибо!

werter

Доброе.
Схему рисуйте.

ufojun

Добрый день
Сильно не пинайте за схему
конечно могу дополнить .

спасибо.

![?????? ???? .jpg](/public/imported_attachments/1/?????? ???? .jpg)
![?????? ???? .jpg_thumb](/public/imported_attachments/1/?????? ???? .jpg_thumb)

werter

Доброе.

1. Если клиенты имеют свой собственный локальный ip вида 192.168.0.х, то ничего не выйдет. Т.е. им wi-fi роутер, напр., может такой ip выдавать. Учтите этот момент обязательно.

2. Добавить в настр. впн-сервера (172.16.х.х) директиву push "route 192.168.0.0 255.255.255.0"; (альтернатива - добавить 192.168.0.0/24 в Local network в настр. впн-сервера) . Или же в конфиг. файл моб. клиенту(-ам) руками добавить директиву route 192.168.0.0 255.255.255.0
Но у вас же исп. p2p openvpn между сетями. Может и не получиться с маршрутизацией (сменить тип впн на remote access между сетями ? ).

Зачем вам такой огород с двумя впн-серверами разных типов? Оставьте только один - remote access. Пусть и удаленная сеть и моб. клиенты подкл. к одному и тому же впн.
P.s. Как вариант, связать удаленные сети с пом. ipsec. А моб. клиентам оставить remote access openvpn.