Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Проблемы с OpenVPN на pfSense 2.3.4

    Scheduled Pinned Locked Moved Russian
    18 Posts 3 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • P
      pigbrother
      last edited by

      push "route-gateway 10.8.0.1";
      Странно, обычно если default GW сети - машина с pfSense такого делать не требуется.

      Тогда уж попробуйте тогда совместить два правила, вместо
      push "route 192.168.0.0 255.255.255.0";
      push "route-gateway 10.8.0.1";

      передавать одно:
      push "route 192.168.0.0 255.255.255.0 10.8.0.1";

      https://unix.stackexchange.com/questions/91071/openvpn-push-a-route-to-client-with-a-different-gateway

      Сервер на другом порте подниму Site-to-Site PKI, там тоже придётся добавлять маршруты? И их подсети тоже придётся добавить в текущий конфиг, чтоб были маршруты, с одиночных клиентов или как?

      На "центральном" сервере - route (или IPv4 Local network(s) ) в эти сети,
      Клиентам -  добавить push "route… в эти сети.

      и да:
      если добавляю на сервере в админке FreePBX адрес 10.0.8.0/24
      и
      push "route-gateway 10.8.0.1"

      ?

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        Доброе.

        всё-же вписывал свою подсеть 192.168.0.0/24

        Отвратительно. Миллион раз говорено - не использовать эту сеть на работе. Меняйте адресацию. Проблем не оберетесь, когда у клиентов сеть будет (а она будет) с такой же адресацией.

        route 192.168.0.0 255.255.255.0;
        push "route 192.168.0.0 255.255.255.0";

        Зачем Вы объявляете сетям за pf (директива route …) и клиентам (директива push "route …" ) одну и туже подсеть 192.168.0.0/24 ?  Бред же. Если надо клиентам передать маршрут в сеть за пф, то достаточно только push "route …" . Удаляйте лишнее.

        в локальной сети сервер на Centos 6 (asterisk) - если добавляю на сервере в админке FreePBX

        https://www.freepbx.org/downloads/ Есть повод обновиться. Изменения - глобальные.

        собственно поставил в голове всей сети сервер (Intel(R) Xeon(TM) CPU 3.20GHz 4 CPUs: 2 package(s) x 1 core(s) x 2 HTT threads)

        Использовать такие мощности только для пф - это как топить печь ассигнациями. Виртуализируйте (https://forum.pfsense.org/index.php?topic=136398.0) . Сплошные плюсы же. Всю вашу инфаст-ру можно уместить на этом сервере.

        1 Reply Last reply Reply Quote 0
        • M
          MythOfTheLight
          last edited by

          @werter:

          Доброе.

          всё-же вписывал свою подсеть 192.168.0.0/24

          Отвратительно. Миллион раз говорено - не использовать эту сеть на работе. Меняйте адресацию. Проблем не оберетесь, когда у клиентов сеть будет (а она будет) с такой же адресацией.

          route 192.168.0.0 255.255.255.0;
          push "route 192.168.0.0 255.255.255.0";

          Зачем Вы объявляете сетям за pf (директива route …) и клиентам (директива push "route …" ) одну и туже подсеть 192.168.0.0/24 ?  Бред же. Если надо клиентам передать маршрут в сеть за пф, то достаточно только push "route …" . Удаляйте лишнее.

          в локальной сети сервер на Centos 6 (asterisk) - если добавляю на сервере в админке FreePBX

          https://www.freepbx.org/downloads/ Есть повод обновиться. Изменения - глобальные.

          собственно поставил в голове всей сети сервер (Intel(R) Xeon(TM) CPU 3.20GHz 4 CPUs: 2 package(s) x 1 core(s) x 2 HTT threads)

          Использовать такие мощности только для пф - это как топить печь ассигнациями. Виртуализируйте (https://forum.pfsense.org/index.php?topic=136398.0) . Сплошные плюсы же. Всю вашу инфаст-ру можно уместить на этом сервере.

          Спасибо - сеть действительно поменяю (правда перевод будет долгим и тяжким - 35 телефонов надо будет перенастроить на новый IP сервера, да и есть часть компов со статикой и таблицы маршрутизации), по push "route …" ) убрал, работать осталось =)) просто нашёл в соседнем посте по похожей проблеме данное решение.

          По поводу виртуализации - организация хоть и не большая, но для всего выделяется своё железо (в наличии 6 стоечных и 1 fulltower серверов), так сказать если сдохнет - то что-то одно (хотя вариант собрать отказоустойчивую виртуализацию, но тут уже иная история)

          Астериск обновлять не планируем - т.к. возникли в последней версии проблемы с нашими телефонами - отваливается регистрация (без причин в логах) до перезагрузки аппарата. Сидим на фрипбиксе STABLE (LEGACY) 10.13.66-64bit

          Возник другой вопрос - пока сетью управлял наш недостопочтенный контроллер домена Великийсофт ActiveDirectory (он же DHCP + DNS сервер + NAT (на нём был WAN с белым IP от провайдера))  - проблем с DNS не было - точнее имея один внешний айпишник, при запросе у сервера admin.тут имя моего домена.ru запросы улетали на сервер астериска, при запросах dell1.тут имя моего домена.ru и dell2.тут имя моего домена.ru улетали на соответствующие сервера (соответственно с поддоменами например царьибогadmin.dell1.тут имя моего домена.ru)

          Как мне реализовать данную возможность на PF? Ощущаю всеми фибрами своей души, что копать нужно в dns forwarder или resolver, но вот не могу даже правильно сформулировать запрос для поиска в гугле…

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            Доброе.

            По поводу виртуализации - организация хоть и не большая, но для всего выделяется своё железо (в наличии 6 стоечных и 1 fulltower серверов), так сказать если сдохнет - то что-то одно (хотя вариант собрать отказоустойчивую виртуализацию, но тут уже иная история)

            Если что-то сдохнет и нет бэкапов - крайним окажитесь Вы. И за простОй - тоже Вы. И за то, что не организовали отказоустойчивость\быстрое восстановление.

            Выберите самый мощный из серверов, разверните на нем Proxmox и мигрируйте всё на него.

            Proxmox умеет асинхронную кластеризацию, т.е по расписанию (да хоть каждые 5-10-xx минут!) ВМ с одного хоста прозрачно мигрирует на другой. Лишь бы сеть позволяла это делать быстро.

            Задумайтесь. Отвечать-то Вам.

            Зы. Вот так у меня выглядит бэкап по расписанию. Могу восстановить полностью ВМ за 10-20 мин.

            ![2017-10-10 17_11_53.png](/public/imported_attachments/1/2017-10-10 17_11_53.png)
            ![2017-10-10 17_11_53.png_thumb](/public/imported_attachments/1/2017-10-10 17_11_53.png_thumb)

            1 Reply Last reply Reply Quote 0
            • M
              MythOfTheLight
              last edited by

              @werter:

              Доброе.

              По поводу виртуализации - организация хоть и не большая, но для всего выделяется своё железо (в наличии 6 стоечных и 1 fulltower серверов), так сказать если сдохнет - то что-то одно (хотя вариант собрать отказоустойчивую виртуализацию, но тут уже иная история)

              Если что-то сдохнет и нет бэкапов - крайним окажитесь Вы. И за простОй - тоже Вы. И за то, что не организовали отказоустойчивость\быстрое восстановление.

              Выберите самый мощный из серверов, разверните на нем Proxmox и мигрируйте всё на него.

              Proxmox умеет асинхронную кластеризацию, т.е по расписанию (да хоть каждые 5-10-xx минут!) ВМ с одного хоста прозрачно мигрирует на другой. Лишь бы сеть позволяла это делать быстро.

              Задумайтесь. Отвечать-то Вам.

              Зы. Вот так у меня выглядит бэкап по расписанию. Могу восстановить полностью ВМ за 10-20 мин.

              у меня бюджетная организация, и по этому я отвечаю только за работу "в целом" а за выход конкретной единицы оборудования - извините, денег нет но вы держитесь не моя проблема =) к тому же каждый сервер имеет бекап в виде второго сервера и регулярных копий БД, сделано колхозно но пашет Т_Т я только заменил маршрутизатор Длинк на помощнее ))

              1 Reply Last reply Reply Quote 0
              • P
                pigbrother
                last edited by

                я только заменил маршрутизатор Длинк на помощнее )

                Длинк поднимает соединение  (PPPOE\etc) и стоит перед WAN pfSense?
                Золотой стандарт - перевести  его (как и любой другой роутер) в режим бриджа т поднимать линк непосредственно на pfSense. Тогда "мощность" роутера практически не имеет значения, он превращается в тупой преобразователь среды +отсутствие двойного NAT и т.п.

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by

                  Доброе.

                  @MythOfTheLight:

                  у меня бюджетная организация, и по этому я отвечаю только за работу "в целом" а за выход конкретной единицы оборудования - извините, денег нет но вы держитесь не моя проблема =) к тому же каждый сервер имеет бекап в виде второго сервера и регулярных копий БД, сделано колхозно но пашет Т_Т я только заменил маршрутизатор Длинк на помощнее ))

                  Отговорки. (Очень) зря вы. Это ж еще и опыт(!) получите. Я карьеру начинал тоже в госструктуре и только самообучение мне помогло набраться опыта. Иначе так бы и "подавал бы ключи" до сих пор.

                  P.s. После того как ушел из госсектора, лет через 7 встретил бывшего коллегу. Начал я спрашивать про виртуализацию, про *nix, про что нового-интересного внедрили - тот только плечами пожимал  :-\

                  Подумайте. Пока есть время и возможность.

                  1 Reply Last reply Reply Quote 0
                  • M
                    MythOfTheLight
                    last edited by

                    @pigbrother:

                    я только заменил маршрутизатор Длинк на помощнее )

                    Длинк поднимает соединение  (PPPOE\etc) и стоит перед WAN pfSense?
                    Золотой стандарт - перевести  его (как и любой другой роутер) в режим бриджа т поднимать линк непосредственно на pfSense. Тогда "мощность" роутера практически не имеет значения, он превращается в тупой преобразователь среды +отсутствие двойного NAT и т.п.

                    так собственно и сделал - на длинке просто поднят PPPoE раздаётся вайфай для моего мобильника и сразу pfSense, в длинке pf запихал в DMZ и всё, просто из-за большого количества компов работающих с сетью длинк потупливал, да интерфейсы на нём 100мбит, и 4 коммутатора были воткнуты в него напрямую…. т.е. весь трафик в сети летал через бедолагу за 600 рублей.

                    PF подключил напрямую к Dlink DGS-1510-52 из него пока езернет в ещё два таких же, позже оптику поставлю между DGSами

                    По поводу опыта - потихоньку набираюсь, итак уже один из всех подведомственных организациях цифровую телефонию внедрил полностью сам с нуля, хоть и на простом FreePBX из коробки, MS AD поднял и настроил вместе с средствами защиты от несанкционированного доступа, все с eToken ходят, даже аттестацию ФСТЭК провели =)

                    Пока ещё не дошли руки связать pf + MS AD, пока просто pf раздаёт в качестве DNS сервера IP от сервака с доменом, а на том статика на яндекс и резерв гугл.

                    1 Reply Last reply Reply Quote 0
                    • P
                      pigbrother
                      last edited by

                      так собственно и сделал - на длинке просто поднят PPPoE раздаётся вайфай

                      Я предлагал как раз обратное - поднимать PPPoE НЕ на роутере, а на pfSense, и указал чем это предпочтительнее.
                      Единственный плюс вашего решения - возможность использовать Wi-Fi роутера.

                      Пока ещё не дошли руки связать pf + MS AD
                      Если не планируете использовать прокси с авторизацией\управлением доступом в интернет\VPN и т.п - связь  pf + MS AD вам ничего особенного не даст.

                      1 Reply Last reply Reply Quote 0
                      • M
                        MythOfTheLight
                        last edited by

                        @pigbrother:

                        так собственно и сделал - на длинке просто поднят PPPoE раздаётся вайфай

                        Я предлагал как раз обратное - поднимать PPPoE НЕ на роутере, а на pfSense, и указал чем это предпочтительнее.
                        Единственный плюс вашего решения - возможность использовать Wi-Fi роутера.

                        Пока ещё не дошли руки связать pf + MS AD
                        Если не планируете использовать прокси с авторизацией\управлением доступом в интернет\VPN и т.п - связь  pf + MS AD вам ничего особенного не даст.

                        Вот как раз в целях опыта и хочу связать =) больше знаю меньше сплю так сказать ))) отрабатываю разные варианты применения

                        1 Reply Last reply Reply Quote 0
                        • First post
                          Last post
                        Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.