Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PSK: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved Russian
    180 Posts 32 Posters 102.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • P
      pigbrother
      last edited by

      @Igor:

      Ссылки на скриншоты в инструкции умерли  :-\

      Недавно тоже обращался к этому каноническому посту - картинок нет. Пришлось вспоминать.

      1 Reply Last reply Reply Quote 0
      • R
        rubic
        last edited by

        приаттачил к первому посту

        1 Reply Last reply Reply Quote 0
        • T
          trooto
          last edited by

          А можно еще картинки "как инет пустить туда"

          1 Reply Last reply Reply Quote 0
          • P
            pigbrother
            last edited by

            Выпускать компьютеры удаленного офиса через интернет основного?
            Хотите - пробуйте.
            Стандартные шаги - объявление Open VPN интерфейсом, редактирование Outbound NAT, использование директивы redirect-gateway def1
            Предположу, что для режима  PSK: Site-to-Site это проблематично\невозможно.

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by

              Доброе.
              @pigbrother:

              объявление Open VPN интерфейсом

              Зачем явно создавать впн-интерфейс? Достаточно redirect-gateway def1 (галку поставить)

              1 Reply Last reply Reply Quote 0
              • P
                pigbrother
                last edited by

                Зачем явно создавать впн-интерфейс? Достаточно redirect-gateway def1 (галку поставить)
                Исходя из опыта использования коммерческого OpenVPN предположу, что тогда не заработает Outbound NAT через OpenVPN  . Не будет NAT -  не будет интернета через OpenVPN.

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by

                  Доброе.
                  Попробуйте. Без интерфейса.

                  1 Reply Last reply Reply Quote 0
                  • U
                    ufojun
                    last edited by

                    Спасибо за мануал. Подскажите , чтобы клиенты двух сетей использовали имена dns сервера головного офиса. Т.е. всего 1 сервер. А то  у меня клиенты пингуються только по ip

                    Спасибо.

                    1 Reply Last reply Reply Quote 0
                    • P
                      PbIXTOP
                      last edited by

                      @ufojun:

                      Спасибо за мануал. Подскажите , чтобы клиенты двух сетей использовали имена dns сервера головного офиса. Т.е. всего 1 сервер. А то  у меня клиенты пингуються только по ip

                      Спасибо.

                      В настройках DNS Forwader —  опция domain overwrite

                      1 Reply Last reply Reply Quote 0
                      • U
                        ufojun
                        last edited by

                        @PbIXTOP:

                        @ufojun:

                        Спасибо за мануал. Подскажите , чтобы клиенты двух сетей использовали имена dns сервера головного офиса. Т.е. всего 1 сервер. А то  у меня клиенты пингуються только по ip

                        Спасибо.

                        В настройках DNS Forwader —  опция domain overwrite

                        Это надо делать на стороне сервера и клиента ? 
                        на стороне сервера пишет:
                        The following input errors were detected:
                        An interface IP address must be specified for the DNS query source.

                        делал по этому мануалу - http://www.arnan.me/2020/pfsense-openvpn-site-site-dns-resolving/

                        1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by

                          Доброе.
                          Клиенты в своих сетях настройки по dhcp получают ?

                          1 Reply Last reply Reply Quote 0
                          • U
                            ufojun
                            last edited by

                            @werter:

                            Доброе.
                            Клиенты в своих сетях настройки по dhcp получают ?

                            Привет. Да за  сервером - windows dhcp, а в сети за клиентом - силами самого pfsense. ( поднял на нем )

                            В сети за клиентом 20 машин.
                            Ещё сам не определился как лучше сделать или tap или tun. Пока работает на tun уровне.
                            Подскажите как лучше. Хотел бы все в единой ифраструктуре . сорри за нубство. Впервые два офиса подключаются и по ходу посыпались вопросы

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              Выдавайте ip необходимого вам dns сервера головного офиса клиентам по DHCP.

                              1 Reply Last reply Reply Quote 0
                              • U
                                ufojun
                                last edited by

                                @werter:

                                Выдавайте ip необходимого вам dns сервера головного офиса клиентам по DHCP.

                                Это тоже ? - В настройках DNS Forwader —  опция domain overwrite

                                1 Reply Last reply Reply Quote 0
                                • U
                                  ufojun
                                  last edited by

                                  @ufojun:

                                  @werter:

                                  Выдавайте ip необходимого вам dns сервера головного офиса клиентам по DHCP.

                                  Это тоже ? - В настройках DNS Forwader —  опция domain overwrite

                                  Все Ура!. починил, ну как починил ).
                                  Обнаружил, что dns-server  в главном офисе не пингуеться, начал трайсерить, - все резалось на впн-клиенте, хотя некоторые машины пинговались (туда-сюда).
                                  Увидел в списке роутов на клиенте - левый маршрут, он создавался , когда я с дуру прописывал главный dns в general settings на клиенте ( ну там же написано, что все прописанные здесь dns-ки использует dhcp и прочие сервисы.)Но даже при удалении этого конфига, роут оставался, поэтому я как бы удалял настройки, а роут висел , соответсвенно dns не только не пинговался , но и не обслуживал клиентов.

                                  Спасибо за быстрые ответы. это очень вдохновляло, не оставался один_на_один с проблемой.

                                  1 Reply Last reply Reply Quote 0
                                  • U
                                    ufojun
                                    last edited by

                                    Добрый день.

                                    здесь писал, когда поднимал peer to peer.  Теперь все работает.
                                    Но возникло желание подключаться  к данному openvpn туннелю  с помощью  remote access сервера. Поднятого на одной из сторон туннеля 
                                    сеть выглядит
                                    Peer_to_Peer состоит:
                                    pfsense сервера  (Lan 1 - 192.168.0.0/24 , DNS сервер)
                                    pfsense client  (lan 2 - 192.168.1.0/24        IP peer_to_peer туннеля - 10.0.10.0/24            В туннеле все ip пингуються , днс работает

                                    На стороне lan2 поднят remote access сервер 172.16.1.0/27

                                    И вот при подключении к данному серверу, я могу пинговать  сетку за сервером ( lan 2 - 192.168.1.0/24), но не могу пинговать хосты из сетки (Lan 1 - 192.168.0.0/24 ) , и соответственно не резолвяться по имени , так как в этой же сети расположен DNS сервер

                                    Уже не знаю что делать
                                    и Client Specific Override прописывал iroute 192.168.0.0 255.255.255.0; ( IP4 удаленная сеть)

                                    что делать ? куда копать  route?

                                    Гуру сетей выручайте советом, словом.

                                    спасибо!

                                    1 Reply Last reply Reply Quote 0
                                    • werterW
                                      werter
                                      last edited by

                                      Доброе.
                                      Схему рисуйте.

                                      1 Reply Last reply Reply Quote 0
                                      • U
                                        ufojun
                                        last edited by

                                        Добрый день
                                        Сильно не пинайте за схему
                                        конечно могу дополнить .

                                        спасибо.

                                        ![?????? ???? .jpg](/public/imported_attachments/1/?????? ???? .jpg)
                                        ![?????? ???? .jpg_thumb](/public/imported_attachments/1/?????? ???? .jpg_thumb)

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by

                                          Доброе.

                                          1. Если клиенты имеют свой собственный локальный ip вида 192.168.0.х, то ничего не выйдет. Т.е. им wi-fi роутер, напр., может такой ip выдавать. Учтите этот момент обязательно.

                                          2. Добавить в настр. впн-сервера (172.16.х.х) директиву push "route 192.168.0.0 255.255.255.0"; (альтернатива - добавить 192.168.0.0/24 в Local network в настр. впн-сервера) . Или же в конфиг. файл моб. клиенту(-ам) руками добавить директиву route 192.168.0.0 255.255.255.0
                                          Но у вас же исп. p2p openvpn между сетями. Может и не получиться с маршрутизацией (сменить тип впн на remote access между сетями ? ).

                                          Зачем вам такой огород с двумя впн-серверами разных типов? Оставьте только один - remote access. Пусть и удаленная сеть и моб. клиенты подкл. к одному и тому же впн.
                                          P.s. Как вариант, связать удаленные сети с пом. ipsec. А моб. клиентам оставить remote access openvpn.

                                          1 Reply Last reply Reply Quote 0
                                          • U
                                            ufojun
                                            last edited by

                                            просто есть два офиса , хотел соединить все одну логическую сеть ,
                                            а клиенты (работники) уже из дома бы подключались конкретно, когда им надо в виде клиента remote access

                                            Добавлял в конфиг сервера  и local network и просто прописывал push не помогает

                                            однажды кстати заработало , но потом "пришел враг хорошего" , - хотел еще что то накрутить и сломал, теперь не могу вернуть

                                            про первый пункт не совсем понял , сети то разные то разные у меня в p2p/

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.