Маршрутизация в OpenVPN

rodley · Mar 17, 2019, 9:11 AM

Есть 2 pfSense 2.4.4, один обслуживает подсеть 192.168.1.0/24, на нем поднят OpenVPN с подсетью 10.4.2.0/24, второй обслуживает подсеть 192.168.0.0/24, на нем поднят OpenVPN с подсетью 10.4.10.0/24.
Между ними поднят IPSec тоннель.
Компы из подсетей 192.168.1.0/24 и 192.168.0.1 друг друга видят, компы из подсети 10.4.2.0/24 видят подсеть 192.168.1.0, компы из подсети 10.4.10.0 видят подсеть 192.168.0.0/24. Как заставить OpenVPN клиентов увидеть подсети, сидящие за IPSec?

Konstanti · Mar 17, 2019, 9:53 AM

@rodley
Здр .
Какого вида туннель ? Классический IPSEC или VTI ?
Если классический и имеете доступ к обоим PF , то надо просто добавить еще две фазы 2 на обеих сторонах туннеля
а . 10.4.2.0 <-> 192.168.0.0
б. 192.168.1.0 <-> 10.4.10.0

если VTI , то просто прописать статические маршруты

pigbrother · Mar 17, 2019, 10:16 AM

@rodley said in Маршрутизация в OpenVPN:

Как заставить OpenVPN клиентов увидеть подсети, сидящие за IPSec?

10.4.2.0/24 и 10.4.10.0/24 - это сети мобильных клиентов или как?
Нарисуйте схему.

Общая рекомендация - добавить в фазу2 IPSec нужную подсеть.

rodley · Mar 17, 2019, 10:19 AM

Схема там хитрая, с одной стороны там пока еще роутер стоит, который тоннель держит, а за ним уже pfsense, на котором OpenVPN сервер. Но за подсказку спасибо, буду пробовать.

pigbrother · Mar 17, 2019, 12:28 PM

@konstanti said in Маршрутизация в OpenVPN:

если VTI , то просто прописать статические маршруты

В случае VTI где нужно писать правила (если они нужны)
в Firewall-Rules-IPsec или на интерфейсах ipsecXXXX?
Нужно ли при отсутствии запретов правило вида
Pv4 * * * * * * none в Firewall-Rules-IPsec?

Konstanti · Mar 17, 2019, 12:35 PM

@pigbrother
Хмм , только сегодня об этом читал
в документации написано , мол, пишите правила на закладке IPSEC

Routed IPsec Firewall Rules
Routed IPsec traffic appears to the OS on both the specific IPsec interface and the enc0 interface, which is governed by the rules on the IPsec tab. Though a tab appears for the assigned interface, traffic must be passed on the IPsec tab.

Вот только сейчас с англоговорящим коллегой в соседней ветке пытаемся настроить ему VTI и сталкиваемся с проблемами . VTI я один раз настроил на стенде и больше к этому не возвращался . Не готов .
Один вывод следует - эксперементируя с правилами VTI удаленно будь готов потерять доступ к WebGUI . Всегда нужен план B.

pigbrother · Mar 17, 2019, 12:59 PM

Спасибо за ответ

@konstanti said in Маршрутизация в OpenVPN:

Один вывод следует - эксперементируя с правилами VTI удаленно будь готов потерять доступ к WebGUI . Всегда нужен план B.

Это относится к любой удаленной настройке роутера\файрволла. У Микротк, например, есть фича - администрирование в Safe-режиме. Любой обрыв отменяет все изменения.

У меня на IPsec висит очень важный туннель с б-гмерзким Kerio, на нем, естественно, эксперементировать не буду.

rodley · Mar 17, 2019, 1:19 PM

@konstanti said in Маршрутизация в OpenVPN:

@pigbrother
Хмм , только сегодня об этом читал
в документации написано , мол, пишите правила на закладке IPSEC

Routed IPsec Firewall Rules
Routed IPsec traffic appears to the OS on both the specific IPsec interface and the enc0 interface, which is governed by the rules on the IPsec tab. Though a tab appears for the assigned interface, traffic must be passed on the IPsec tab.

Вот только сейчас с англоговорящим коллегой в соседней ветке пытаемся настроить ему VTI и сталкиваемся с проблемами . VTI я один раз настроил на стенде и больше к этому не возвращался . Не готов .
Один вывод следует - эксперементируя с правилами VTI удаленно будь готов потерять доступ к WebGUI . Всегда нужен план B.

Ну у меня проблема именно в маршрутизации трафика с openvpn. И там у меня обычный IPSec. А потерять доступ нельзя, до роутера 6 часов лёту :)

pigbrother · Mar 17, 2019, 1:19 PM

@rodley said in Маршрутизация в OpenVPN:

А потерять доступ нельзя, до роутера 6 часов лёту :)

Тогда либо резервный канал с доступом к чему-то типа Тимвьювер, а плюс к этому желателен относительно квалифицированный помощник на удаленной площадке.

Konstanti · Mar 17, 2019, 1:27 PM

@pigbrother SSH всегда есть на нестандартном порту)))) . Или Openvpn настроенный

pigbrother · Mar 17, 2019, 1:29 PM

@konstanti said in Маршрутизация в OpenVPN:

SSH всегда есть на нестандартном порту)))) . Или Openvpn настроен ,

Запасной канал у меня есть. )))
Один раз меня подвел конкретно PF. Удаленно создавал L2TP. В PF был (есть?) баг - при привязке L2TP к физическому интерфейсу PF может уйти в циклический ребут.

Konstanti · Mar 17, 2019, 1:44 PM

@pigbrother Не знаю , не слышал про такое .
Вот почему все-таки многие админы старой закалки предпочитают интерфейс командной строки , когда сами контролируют , что и как загружается. Т е настроил тот же mpd в связке с Freebsd , не прописывая в автозагрузку , проверил , потерстировал . Бац , и в продакшн )))

werter · Mar 17, 2019, 2:21 PM

Добрый.

@rodley

Между ними поднят IPSec тоннель.

Чем обусловлен выбор ipsec ? Я к тому, что Openvpn и гибче и удобнее в управлении и умеет аппаратно AES.

У меня на IPsec висит очень важный туннель с б-гмерзким Kerio, на нем, естественно, эксперементировать не буду.

И на др. конце тоже это "чудо" ? Или в Керио изобрели собственный сетевой протокол и уйти от него никак нельзя?

pigbrother · Mar 17, 2019, 3:40 PM

@werter said in Маршрутизация в OpenVPN:

И на др. конце тоже это "чудо" ? Или в Керио изобрели собственный сетевой протокол и уйти от него никак нельзя?

Мы с вами это уже обсуждали 3 года назад. Напомню ваш совет:

Все же обдумайте предложение встретить "повелителя" Керио вечером после работы эээ… не с букетом цветов ::)

*Добрым словом и кольтом можно добиться гораздо большего, чем только добрым словом" (Аль Капоне)*

Один конец - наш PF. С другой Керио самостоятельной компании. У них своя политика, свои взгляды на IT. С нашей стороны влияние на них невозможно.

Хорошо еще, что Керио стал(о) (довольно давно, будем честными) поддерживать стандартный ipsec. Я, кстати, тут отписывался как настроить связку c PF, инфы в сети было на удивление мало.

pigbrother · Mar 17, 2019, 3:54 PM

@konstanti said in Маршрутизация в OpenVPN:

Не знаю , не слышал про такое .

Ошибка очень похожа на эту:
https://redmine.pfsense.org/issues/4510

https://forum.netgate.com/topic/84218/%D0%BD%D0%B5-%D0%B7%D0%B0%D0%BF%D1%83%D1%81%D0%BA%D0%B0%D0%B5%D1%82%D1%81%D1%8F-pfsense-%D0%B8%D0%B7-%D0%B7%D0%B0-%D0%BE%D1%88%D0%B8%D0%B1%D0%BA%D0%B8-%D0%B2-%D0%BA%D0%BE%D0%BD%D1%84%D0%B8%D0%B3%D0%B5

По второй ссылке как раз практически мой случай.

Используя идею по этой же ссылке наколхозил быстрый способ восстановления незагружаемой PF из single user mode