mikrotik+openvpn+Pfsense

DIMADUR

Парни, всем привет.
Прошу направить на путь истеный :-)
Пытаюсь микротиком (МТ) как клиентом подключится к серверу OpenVPN (Pfsense)
Делаю вот по этому топику https://forum.netgate.com/topic/97011/solved-site-to-site-openvpn-between-pfsense-and-mikrotik

Тунель поднимается, но сеть невидно ни туда ни сюда. При этом даже адреса самого тунеля типа (Pfsense-10.0.6.1 и МТ-10.0.6.2 ) не пингуются :-( ... Чувствую где то подвох в микротике.
Модель МТ hEX..

pigbrother

@dimadur Связка рабочая и вовсю используется.
Ранее (давно) приводил в теме конфиги PF и Микротика.
Попробуйте найти поиском.

Вот, нашел. Для 2.3.х. В 2.4 могут быть небольшие отличия.
https://forum.netgate.com/topic/135133/mikrotik-pfsense-openvpn/15
Редактировать конфиг pfSense вручную не надо, приведен просто для справки, после настроек в GUI вы должны получить подобный.

DIMADUR

@pigbrother
Очень странно. Но у меня не поднимается..
Вернее туннель поднимается но трафик не ходит в обе стороны.

pigbrother

@dimadur Что-то явно не настроено или настроено неверно. Поднимите для теста клиента с теми же настройками на любом другом устройстве, на Windows например.

Разрешающее правило

Firewall-Rules-OpenVPN

IPv4 * * * * * * none

Создано?

PF и Микротик - шлюзы по умолчанию в своих сетях?
Брандмауэры на целевых компьютерах отключены?

Konstanti

@dimadur
Доброго дня
Таблицы маршрутизации с обеих сторон покажите для начала, и настройки увидеть тоже было бы желательно

DIMADUR

https://hkar.ru/XBBM
https://hkar.ru/XBBN
https://hkar.ru/XBBO
https://hkar.ru/XBBP

Скриншоты настроек

Konstanti

@dimadur
И есть ли таблица маршрутизации pf?
И какие правила openvpn интерфейсе?

pigbrother

@konstanti said in mikrotik+openvpn+Pfsense:

И какие правила openvpn интерфейсе?

Я об этом первым делом спросил. Проблема, похоже, в самом туннеле.

@DIMADUR , вставляйте картинки прямо в тему.
Профиль PPP на Микротике создавать не надо.

На PF:
похоже, неверно создан\выбран сертификат сервера (оно же пишет - Server:NO). Вероятно - создан User вместо Server.

Попробуйте:
Compression сменить на No LZO compression [Legacy....]

NCP Algorithms - попробуйте None

DH Parameter Length - 1024

@dimadur said in mikrotik+openvpn+Pfsense:

Тунель поднимается, но сеть невидно ни туда ни сюда.

А что в логах Open VPN на PF?

DIMADUR

pfsense
10.0.6.0/24 10.0.6.2 UGS 0 1500 ovpns4
10.0.6.1 link#11 UHS 0 16384 lo0
10.0.6.2 link#11 UH 0 1500 ovpns4

И МТ

DST-ADDRESS PREF-SRC GATEWAY DISTANCE

0 A S 0.0.0.0/0 192.168.2.1 1
1 ADC 10.0.6.0/24 10.0.6.2 ovpn-out5 0
2 ADC 10.168.30.0/24 10.168.30.1 bridge5 0
3 ADS 10.168.45.0/24 10.0.6.1 1
4 ADC 192.168.2.0/24 192.168.2.150 ether1 0

DIMADUR

@pigbrother
Я тоже дуамю, что не правильно в PF настроенно, особенно с сертификатами что то неверно

pigbrother

@dimadur said in mikrotik+openvpn+Pfsense:

Я тоже дуамю, что не правильно в PF настроенно, особенно с сертификатами что то неверно

Так что мешает исправить?

DIMADUR

поправил. да действительно сертификат был -юзер.
сделал серверным.
но пока безрезультатно

pigbrother

@dimadur said in mikrotik+openvpn+Pfsense:

но пока безрезультатно

@pigbrother said in mikrotik+openvpn+Pfsense:

что в логах Open VPN на PF?

И в логе МТ?

Указанные выше настройки менять пробовали?

DIMADUR

@pigbrother
да настройки сменил
Вот в логах PF есть
WARNING: 'link-mtu' is used inconsistently, local='link-mtu 1560', remote='link-mtu 1559'
WARNING: 'comp-lzo' is present in local config but missing in remote config, local='comp-lzo'
Это критично?

DIMADUR

Лог подключения на PF
Mar 12 18:44:40 openvpn 10047 TCP connection established with [AF_INET]188.242.193.129:47714
Mar 12 18:44:41 openvpn 10047 188.242.XXX.XXX:47714 WARNING: 'link-mtu' is used inconsistently, local='link-mtu 1560', remote='link-mtu 1559'
Mar 12 18:44:41 openvpn 10047 188.242.XXX.XXX:47714 WARNING: 'comp-lzo' is present in local config but missing in remote config, local='comp-lzo'
Mar 12 18:44:41 openvpn 10047 188.242.XXX.XXX:47714 [www.XXXX.ru] Peer Connection Initiated with [AF_INET]188.242.193.129:47714
Mar 12 18:44:41 openvpn 10047 www.XXXX.ru/188.242.XXX.XXX:47714 MULTI_sva: pool returned IPv4=10.0.6.2, IPv6=(Not enabled)
Mar 12 18:44:41 openvpn 10047 www.XXXXX.ru/188.242.XXX.XXX:47714 Bad compression stub decompression header byte: 69