Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Разрешить трафик между OpenVpn, IpSec и локальной сетью

    Scheduled Pinned Locked Moved Russian
    105 Posts 4 Posters 20.4k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @dimm56
      last edited by Konstanti

      @dimm56
      К сожалению , не все показали в настройке фазы 2 со стороны Pfsense , но допускаю , что там все верно . В чем тут проблема ?
      Связь 10.0.44.0/192.168.6.0 есть ??? хосты пингуются ??? Изображение с регистраторов есть ?

      1 Reply Last reply Reply Quote 0
      • D
        dimm56
        last edited by

        Хвост от фазы 2
        4.png

        Связь 10.0.44.0/192.168.6.0 - нет... ни пингов ни доступа из браузера

        K 1 Reply Last reply Reply Quote 0
        • K
          Konstanti @dimm56
          last edited by

          @dimm56 Опять не та картинка
          Нужна первая часть экрана , где сети настраиваются
          Туннель устанавливается ???? Или как ?
          Что показывает /Status/IPSEC ?

          1 Reply Last reply Reply Quote 0
          • D
            dimm56
            last edited by

            Фаза 2 сети
            3.png

            статус IpSec
            6.png

            K 1 Reply Last reply Reply Quote 0
            • K
              Konstanti @dimm56
              last edited by

              @dimm56 Так стоп
              Со стороны pf Вы настраиваете IPSEC как для удаленного доступа
              а со стороны zyxel настройки вижу как site to site
              В этом и проблема , фаза 1 установлена , а фаза 2 настроена некорректно

              1 Reply Last reply Reply Quote 0
              • D
                dimm56
                last edited by

                Отлично. Как это поправить?

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @dimm56
                  last edited by

                  @dimm56
                  По ссылкам , что я указал выше

                  https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/configuring-a-site-to-site-ipsec-vpn.html

                  1 Reply Last reply Reply Quote 0
                  • D
                    dimm56
                    last edited by

                    Для тех кто на бронепоезде))) Т.е. для меня. Мне надо туннель настроить получается, а не мобильного клиента, что бы принимать соединения? просто на чтение и перевод с английского уйдет время, а я уже 4 день бьюсь без результата... Скоро подвесят меня на веревке прям в кабинете отдел СБ))) Если можно здесь и по русски кратко обьясни что сделать надо)))

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @dimm56
                      last edited by

                      @dimm56 да , верно
                      удаляете , нафиг , все настройки мобильного клиента IPSEC
                      и создаете туннель pf-zyxel как по инструкции

                      https://it-blackbox.blogspot.com/2016/12/pfsense-ipsec.html

                      D 1 Reply Last reply Reply Quote 0
                      • D
                        dimm56 @Konstanti
                        last edited by

                        @Konstanti блин, а где я возьму адрес удаленного шлюза, т.е. адрес этого модема??? там статики нет, а кое где вообще GSM связь.... и у меня их много по району.... Я пытался уже так сделать... Не вышло... Только мобильный клиент дает возможность сделать настройку без указания удаленного шлюза.... По факту получается что модемы ищут наш адрес в сети и пытаются к нам подключится, если алгоритмы совпадут, то подключаться, если нет, то нет))))

                        Или в удаленный шлюз можно написать 0.0.0.0 )))))

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @dimm56
                          last edited by

                          @dimm56 какая модель zyxel ?
                          или ссылку на инструкцию для него

                          1 Reply Last reply Reply Quote 0
                          • D
                            dimm56
                            last edited by

                            Zyxel 4G (KN-1210)

                            K 1 Reply Last reply Reply Quote 0
                            • K
                              Konstanti @dimm56
                              last edited by Konstanti

                              @dimm56 остался живым диск с Ubuntu ?
                              Можно с него вытащить файл strongswan.conf ?
                              он , скорее всего , лежит в директории /etc/strongswan

                              скажу честно , задача не совсем простая , потому что изначально strongswan в pf не поддерживает опцию any , которая позволяет создать соединение с ip адреса , который может постоянно меняться . Вернее опция поддерживается , но в pf ее использование не предусмотрено. Для этого надо вносить изменения в конфигурационные файлы pfsense.
                              Или , как вариант использовать DynDNS со стороны zyxel

                              1 Reply Last reply Reply Quote 0
                              • D
                                dimm56
                                last edited by

                                Печалька... нет возможности дать адреса удаленным точкам...

                                Конфиги есть у меня. Все.

                                ipsec.conf - strongSwan IPsec configuration file

                                basic configuration

                                config setup

                                strictcrlpolicy=yes

                                uniqueids = no

                                Add connections here.

                                conn %default

                                type=tunnel

                                ikelifetime=60m

                                keylife=20m

                                rekeymargin=3m

                                keyingtries=1

                                keyexchange=ikev2

                                leftauth=psk

                                dpdaction=clear

                                dpddelay=300s

                                leftid=vpnserver1@jelen.tzb

                                auto=add
                                rightdns=8.8.8.8

                                left=192.168.6.3

                                leftsubnet=0.0.0.0/0

                                right=%any

                                conn stanislavskogo # Магазин. Станиславского. Для роутера Zyxel Keenetic Lite III. Можно использовать как шаблон.
                                rightauth=psk
                                rightid=stanislavskogo@video.jelen.tzb
                                rightsubnet=10.0.2.0/24

                                дальше уже идет список точек и их параметры....

                                K 2 Replies Last reply Reply Quote 0
                                • K
                                  Konstanti @dimm56
                                  last edited by Konstanti

                                  @dimm56 said in Разрешить трафик между OpenVpn, IpSec и локальной сетью:

                                  right=%any

                                  Вот оно
                                  right=%any - о чем я писал выше (эта опция как раз в pf и не заложена)

                                  1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @dimm56
                                    last edited by

                                    @dimm56
                                    https://forum.netgate.com/topic/140685/4-wan-%D0%B2-1-lan/45

                                    вот тут я писал , как это можно обойти

                                    1 Reply Last reply Reply Quote 0
                                    • D
                                      dimm56
                                      last edited by

                                      т.е. получается надо просто попасть в файле VPN.inc на pFsense и ручками допилить нужные строчки? Правильно?

                                      K 1 Reply Last reply Reply Quote 0
                                      • K
                                        Konstanti @dimm56
                                        last edited by

                                        @dimm56 верно

                                        1 Reply Last reply Reply Quote 0
                                        • D
                                          dimm56
                                          last edited by

                                          Огромное человеческое спасибо!!! Был бы ты рядом и руку пожал бы и поляну бы накрыл))) сегодня после работы попробую это дело провернуть. Если что - напишу о результатах тут. Уверен, что все должно получиться.

                                          K 1 Reply Last reply Reply Quote 0
                                          • K
                                            Konstanti @dimm56
                                            last edited by

                                            @dimm56 Рекомендация , прежде чем что-то "допиливать" в pf , сохраняйте оригинальные файлы
                                            Если все сделаете верно , то в настройке фазы 1 сможете указывать в поле Remote Gateway параметр any . Тогда pf создаст корректный для Вашего случая strongswan.conf c параметром right =%any

                                            P 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.