Маршрутизация OpenVPN

werter

@werter
то есть на shared key работать не будет? Ща попробуем на сертификатах...

Я этого не сказал.

Desroze

Я этого не сказал.

Ну тем не менее оно почему-то на shared key не роутит.
Итак, я правильно понял, на сервере и на клиенте я создаю одинаковый (в смысле содержимого Certificate data и Certificate Private Key) Certificate Authorities, создаю на сервере Server Certificate и User Certificate.
Затем содержимое User Certificate с сервера копирую на клиента, и при создании туннеля указываю его клиенту, при этом снимаю галку с TLS authentication.
Все верно?

Desroze

В целом, я думаю, будет все гораздо проще если вы меня ткнете мануалом как все это дело настраивается, ато я чет туплю походу, до этого между одинаковыми версиями IPSec нормально работал, и OpenVPN я не пользовал, а ща почему-то разобраться не выходит

Desroze

блин, вот тут чувак как раз создает еще один интерфейс, но при этом маршрутов руками не прописывает, и у него все работает, а у меня точно так же не работает... ЧЯДНТ?

Desroze

Блин, вот вторая тема от меня на этом форуме, и уже на вторую тему мне не могут дать ответ или как-то помочь, вот ведь беда

pigbrother

Вот каноническая инструкция от rubic:
https://forum.netgate.com/topic/53251/openvpn-pki-site-to-site-%D0%B8%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D1%8F-%D0%B4%D0%BB%D1%8F-%D0%BE%D0%B1%D1%81%D1%83%D0%B6%D0%B4%D0%B5%D0%BD%D0%B8%D1%8F
Одно плохо - переезд форума на новый движок покорежил разметку.

@desroze said in Маршрутизация OpenVPN:

чувак как раз создает еще один интерфейс

Интерфейс для OpenVPN, в частности и для вашего случая site-to-site не нужен.

Desroze

@pigbrother said in Маршрутизация OpenVPN:

Вот каноническая инструкция от rubic:
https://forum.netgate.com/topic/53251/openvpn-pki-site-to-site-%D0%B8%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D1%8F-%D0%B4%D0%BB%D1%8F-%D0%BE%D0%B1%D1%81%D1%83%D0%B6%D0%B4%D0%B5%D0%BD%D0%B8%D1%8F
Одно плохо - переезд форума на новый движок покорежил разметку.

@desroze said in Маршрутизация OpenVPN:

чувак как раз создает еще один интерфейс

Интерфейс для OpenVPN, в частности и для вашего случая site-to-site не нужен.

вот то то и оно, не особо разборчива эта инструкция без картинок, на них там половина нагрузки смысловой

pigbrother

@desroze Вот копия из вебархива
https://web.archive.org/web/20130925085058/http://forum.pfsense.org/index.php/topic,59081.0.html
Картинок, правда, тоже нет, но читается лучше.

Desroze

@pigbrother said in Маршрутизация OpenVPN:

@desroze Вот копия из вебархива
https://web.archive.org/web/20130925085058/http://forum.pfsense.org/index.php/topic,59081.0.html
Картинок, правда, тоже нет, но читается лучше.

да видел я это. Там ведь в картинках то описаны настройки сервера, настройки Client Specific Overrides и других пунктов. Были бы они продублированы текстом - не вопрос, а так то толку...

werter

Добрый.

Отличное видео от самого произ-ля для понимания настройки OpenVPN на pfsense. Рекомендую.
Не поленитесь просмотреть до конца.

https://www.youtube.com/watch?v=ku-fNfJJV7w

Desroze

В общем таки разобрался, туннель таки взлетел, но одна проблема таки осталась, может вы чего подскажете, ибо гугл внятного не подсказал (либо я не понял).
Дано:

OpenVPN Server
IP 192.168.72.1
Tunnel IP 192.168.100.1
Сеть за сервером 192.168.72.0/24

OpenVPN Client 
IP 192.168.166.1
Tunnel IP 192.168.100.2
Сеть за сервером 192.168.166.0/24

С самих PF'ов сети я прекрасно пингую в обе стороны. А вот с сетей за ними пинги ходят только до адресов туннеля, дальше туннеля не хотят.
Руками на PF'ах никаких маршрутов не прописывал, хотел было прописать на Centos'е из подсети 166, но что-то пошло не так

[root@aster]# route add -net 192.168.72.0/24 gw 192.168.100.1
SIOCADDRT: Нет такого процесса

при том что с этой машины IP противоположного (тот самый 192.168.100.1) конца я прекрасно пингую. Если пускаю пинг с самого 192.168.166.1 до какого либо из хостов подсети 72 - все ок.
Что я делаю не так?

werter

Добрый.

Никаких маршрутов руками на клиентах. Достаточно указания шлюза в настр. сети (ip пф). И правил на интерфейсах пф (если необходимо). Удаляйте.

На форуме ixbt есть ветка по openvpn. Там на русском хорошо описаны директивы.

P.s. В правилах fw на LAN сервера попробуйте разрешить явно хождение в удаленную сеть. Хотя в 2.4.3 это вроде и не нужно, но все же.

Desroze

@werter said in Маршрутизация OpenVPN:

Добрый.

Никаких маршрутов руками на клиентах. Достаточно указания шлюза в настр. сети (ip пф). И правил на интерфейсах пф (если необходимо). Удаляйте.

На форуме ixbt есть ветка по openvpn. Там на русском хорошо описаны директивы.

P.s. В правилах fw на LAN сервера попробуйте разрешить явно хождение в удаленную сеть. Хотя в 2.4.3 это вроде и не нужно, но все же.

Шлюз указан корректно, в правилах fw два правила, Anti-Lockout Rule и Default allow LAN to any rule. И тем не менее до целевой подсети связи нет

werter

"На форуме ixbt есть ветка по openvpn. Там на русском хорошо описаны директивы. "

Подскажу, для того, чтобы сеть за сервером увидела сеть за клиентом на сервере нужна директива route (ее роль выполняет пункт remote network в настройках сервера)
Наоборот - директива iroute на сервере в настройках Client specific overrides.

Выше описанное касается только туннеля, построенного на сертификатах.

PTZ-M

То же наступил на такие грабли, ток сервером у меня PfSense с сертификатами, а клиентом Zyxel на NDIS.
С Zyxel в сетку за PfSense ходит прекрасно (видать сам OpenVPN разруливает маршруты), а вот в обратку никак.

pigbrother

@ptz-m said in Маршрутизация OpenVPN:

Zyxel

Как написано выше - про route и iroute для клиента на Zyxel не забыли?
Плюс иногда помогает правило на LAN pfSense :
IPv4 * LAN net * a.b.с.d/24 *
a.b.с.d/24 - сеть за Zyxel
Правило поставить повыше, затем reset states перезакрузка.

PTZ-M

Ох как туго мозг включается после отпуска, да ещё и интерфейс форума переделали...

@pigbrother
Насколько помню iroute в OpenVPN давным давно "грохнули" как атавизм, и без него норм работает на новых версиях.
LAN правило - м-м, оно вместо статического маршрута работает?

P.S. ещё вроде как tap на TCP надо переходить, а то с MultiWAN будут проблемы при UDP

P.S.S. кста, в видео, что выше, чувак делает точка-точка, а у меня точка-многоточка!

pigbrother

@ptz-m said in Маршрутизация OpenVPN:

Насколько помню iroute в OpenVPN давным давно “грохнули” как атавизм, и без него норм работает на новых версиях.

Нет, это не так.
route говорит серверу - у тебя есть маршрут в a.b.с.d/24
iroute говорит серверу, что сеть a.b.с.d/24 находится за конкретным клиентом.

@ptz-m said in Маршрутизация OpenVPN:

LAN правило - м-м, оно вместо статического маршрута работает?

Нет, в pfSense иногда проявляется особенность, заставлюющая это правило создавать (если интересно - гуглите ветку на предмет negate rules)

@ptz-m said in Маршрутизация OpenVPN:

P.S. ещё вроде как tap на TCP надо переходить, а то с MultiWAN будут проблемы при UDP

Про это не слышал

werter

@ptz-m said in Маршрутизация OpenVPN:

P.S. ещё вроде как tap на TCP надо переходить, а то с MultiWAN будут проблемы при UDP

Ерунда какая.
Не вводите др. участников в заблуждение.

P.s. Навскидку, TAP исп-ся, если необходим широковещательный домен - единая сеть с единой адресацией в ней.
В ютубе есть офиц. канал Netgate. Рекомендую видео по OpenVPN (и не только) там. Оч. доходчиво снято.

PTZ-M

@pigbrother said in Маршрутизация OpenVPN:

Про это не слышал

Да суть в технологии TCP/UDP, если VPN не ответственный (не касса или канал банка) то и х с ним. В противном случае где-то тут писалось, что тупить начинает - не понимает, что канал лёг и держит сессию. Реально может стать проблемой, если настроено кол-во подключений - слоты забиваются и до свидос.