mikrotik+openvpn+Pfsense

DIMADUR

Ура, поехало. Компрессию Preference нужно было.

pigbrother

@dimadur said in mikrotik+openvpn+Pfsense:

Компрессию Preference нужно было.

А точнее?

DIMADUR

@pigbrother
Включил omit preference - компрессию. и поехало.
Осталось настроить маршруты в сети.

werter

Включил omit preference - компрессию. и поехало.

МТ не умеет сжимать трафик (?) Печалька (

DIMADUR

@werter
Вообще , мне кажется хваленые МТ много чего не умеют :-(

pigbrother

@werter said in mikrotik+openvpn+Pfsense:

МТ не умеет сжимать трафик (?) Печалька (

Много раз упоминалось.

@dimadur said in mikrotik+openvpn+Pfsense:

@werter
Вообще , мне кажется хваленые МТ много чего не умеют :-(

Между тем конкретно в плане VPN, МТ предлагают более чем достаточно, как межплатформенные решения, так и проприетарные eoip, ipip.
Стоит добвавить также - МТ одни из немногих устройств умеющих работать с SSTP.

@dimadur said in mikrotik+openvpn+Pfsense:

Осталось настроить маршруты в сети.

При правильной настройке маршруты поднимаются сами, полноценный Site-to-Site без вских NAT, ручного добавления маршрутов и т.п.

DIMADUR

@pigbrother
Я не имел ввиду, что МТ такой "плохой".
Но вот в моем случае, коллеги мне его так расхвалили, мол это дешевое , производительное решение всех задач из коробки.
Я ранее с МТ сталкивался "посколько-постольку" настроить инет и все на этом.
Но на этот раз задача чуть более сложнее.
И так имеется Pf. на нем поднято уже 4 тунеля ОпенВпн с другими Pf и с одним зукселем. особо проблем не было, только вопросы с особыми способами доступа в разные сети.
Вот и с МТ начался танец, бубен не доставал, думал - "решение из коробки и все такое. щас подымим"
Не зная в принципе про микротик известные ньюансы типа нет поддержки UDP в опенвпн, убил час. Честно даже не думал что он не поддерживает, потом нашел хлопнул полбу. Едем дальше, выше переписка следующей проблемы по поводу компресии . тоже пол дня. Ну ладно тоже в принципе давно известный факт. Т.к. решением этой задачи я занимаюсь в свободное время, на сегодня с этим МТ выяснилос- канал поднялся , я с самого МТ пингую все сети за Pf что мне нужны, но !!! как я недавно выяснил - за МТ клиенты эти сети не видят!! Блин опять что то не донастроенно.!!
Так вот я подвожу итог, как мне расхвалили микротик особенно про то что ЭТО РЕШЕНИЕ ИЗ КОРОБКИ - я с ЭТИМ категорически не согласен . Не зная ньюансов МТ из коробки только ТАНЕЦ С БУБНОМ. Ну в итоге конечно же все выяснится и заработает, но осадок от "решения с коробки" останется.

Konstanti

@dimadur
Маршрутизация не настроена на pfsense . Он ничего не знает о сетях за МТ
Либо ручками прописать статический маршрут , или в разделе client specific overrides заполнить раздел про удаленные сети , чтобы они появились в таблице маршрутизации PF.

DIMADUR

@konstanti
В таблице пф без настройки "client specific overrides"
есть маршрут 10.168.30.0/24 10.0.6.2 UGS 0 1500 ovpns4...
Я читал что "client specific overrides" нужно было заполнить для того что бы клиенты за Пф могли видеть сети за МТ.
При чем пишут , что нужно сети указывать в обратном порядке. типа сеть удаленнаая это сеть за ПФ а локальная это сеть за мт.
Парни , подскажите в поле Common Name в меню "client specific overrides" это тоже что и Common Name при создании сертификата?

Konstanti

@dimadur сорри , не углядел на картинках ,что все настроено на стороне сервера (для сети 10.168.30.0)

если mikrotik все пингует , значит , про сети за PF знает
а из какой сети не пингуется PF ? 10.168 или 192.168 ??
и еще , в обратную сторону можете пинговать ???
попробуйте tcpdump-ом проверить , где пакеты теряются
и правила на openvpn интрефейсе PF тоже проверьте . Разрешен ли доступ из удаленных сетей к сетям за PF
B

DIMADUR

У меня сети 192.168. нет.
Схема такая. За МТ (адрес от ОпенВпн получает 10.0.6.2 ) сеть 10.168.30.0 - это сеть за МТ.
За PF сеть 10.168.45.0

Клиенты за МТ не видят сеть за ПФ(10.168.30.0). так же клиенты не видят адрес 10.0.6.1 (это адрес Пф в тунеле.) ..
Правила в норме . У меня еще 4 тунеля с другими сетями давно работают в них все ок.
Мне кажется проблема где то на стороне МТ.

DIMADUR

@konstanti said in mikrotik+openvpn+Pfsense:

tcpdump-ом

Пора учится пользоватся tcpdump-ом :-)
А в Pf есть что нибудь подобное?

Konstanti

@dimadur

На картинках чуть выше сервер передает маршрут 10.168.45.0/24 - как сеть за pf
и получает инфу 10.168.30.0/24 - что это удаленная сеть за туннелем.
а Вы сейчас пишете 192.168 ))) ошибка , видимо . про 192.168 я углядел в настройках МТ ( eth 2)
p.s. /diagnostics/packet capture

если клиенты не могут пинговать 10.0.6.1 - возможно , есть какое-то правило со стороны МТ , блокирующее эти пакеты (в обратную сторону пингуются хосты ?? 10.168.45->10.168.30 ? )

DIMADUR

@konstanti
Упс секунду поправлю.
Да на картинках все верно

DIMADUR

@konstanti said in mikrotik+openvpn+Pfsense:

видимо . про 192.168 я углядел в настройках МТ ( eth 2)

Да , это eth 1 . это интерфейс интернета , МТ просто включен за домашним роутером.

DIMADUR

@konstanti said in mikrotik+openvpn+Pfsense:

если клиенты не могут пинговать 10.0.6.1 - возможно , есть какое-то правило со стороны МТ , блокирующее эти пакеты (в обратную сторону пингуются хосты ?? 10.168.45->10.168.30 ? )

В том то и дело что правил вообще никаких нету.

Konstanti

@dimadur

Packet capture на openvpn интерфейсе PF запустите и гляньте , приходят ли icmp пакеты ?

DIMADUR

@konstanti said in mikrotik+openvpn+Pfsense:

@dimadur
Packet capture на openvpn интерфейсе PF запустите и гляньте , приходят ли icmp пакеты ?

Уже, не приходят. их МТ не отправляет

pigbrother

@dimadur said in mikrotik+openvpn+Pfsense:

@konstanti said in mikrotik+openvpn+Pfsense:
@dimadur
Packet capture на openvpn интерфейсе PF запустите и гляньте , приходят ли icmp пакеты ?
Уже, не приходят. их МТ не отправляет

Я же привел выше ссылку на рабочие конфиги. И для PF и для МТ, с нумерацией сетей.

Никаких правил на МТ ни firewall, ни NAT создавать не надо.

@dimadur said in mikrotik+openvpn+Pfsense:

Я читал что "client specific overrides" нужно было заполнить для того что бы клиенты за Пф могли видеть сети за МТ.

Да, и это обязательное условие для доступа в сеть за любым клиентом Open VPN.

@dimadur said in mikrotik+openvpn+Pfsense:

МТ просто включен за домашним роутером.

А что для домашней сети является default GW? МТ или домашний роутер?

@dimadur said in mikrotik+openvpn+Pfsense:

Парни , подскажите в поле Common Name в меню "client specific overrides" это тоже что и Common Name при создании сертификата?

Да

@dimadur said in mikrotik+openvpn+Pfsense:

При чем пишут , что нужно сети указывать в обратном порядке. типа сеть удаленнаая это сеть за ПФ а локальная это сеть за мт.

Сети рассматриваются со стороны сервера. Поэтому в
CSC в IPv4 Local Network/s указывается сеть за PF\сети, к котрым PF имеет маршруты.
А в IPv4 Remote Network/s - сеть за клиентом.

Konstanti

@pigbrother Доброе утро
Насколько я понял , глядя на картинку , сетей 2
Одна 192.168.2.0/24 - напрямую подключена к домашнему маршрутизатору и к МТ(ether1) . А вот 10.168.30.0/24 уже напрямую подключена только к MT (ether2) . Т е для этой сети MT должен являться шлюзом по умолчанию , единственным и неповторимым .
Тс , а 10.0.6.2 пингуется из сети 10.168 ????