Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Разрешить трафик между OpenVpn, IpSec и локальной сетью

    Scheduled Pinned Locked Moved Russian
    105 Posts 4 Posters 20.3k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @dimm56
      last edited by

      @dimm56 /etc/inc/vpn.inc

      1 Reply Last reply Reply Quote 0
      • P
        pigbrother @Konstanti
        last edited by

        @Konstanti said in Разрешить трафик между OpenVpn, IpSec и локальной сетью:

        то в настройке фазы 1 сможете указывать в поле Remote Gateway параметр any . Тогда pf создаст корректный для Вашего случая strongswan.conf c параметром right =%any

        @Konstanti, будет ли эта конструкция работать, если IP удаленной стороны "серый"?

        K 1 Reply Last reply Reply Quote 0
        • K
          Konstanti @pigbrother
          last edited by Konstanti

          @pigbrother
          Должна (будет работать через порт 4500, если я Вас правильно понял)
          Я же ничего от себя не добавлял , все есть в strongswan-е изначально . Просто в pf не реализовано. Я этот пробел для себя устранил .

          P 1 Reply Last reply Reply Quote 0
          • P
            pigbrother @Konstanti
            last edited by

            @Konstanti said in Разрешить трафик между OpenVpn, IpSec и локальной сетью:

            Должна (будет работать через порт 4500, если я Вас правильно понял)

            Прошу простить мою невежественность, просто я всегда пребывал в уверенности, что для установки Фазы 1 site-to-site IPSEC нужны "белые" IP-адреса с обеих сторон. У ТС, как я понимаю, со строны Кинетиков 3G\4G, для 3G\4G "белые" IP - большая редкость.

            K 1 Reply Last reply Reply Quote 0
            • K
              Konstanti @pigbrother
              last edited by Konstanti

              @pigbrother said in Разрешить трафик между OpenVpn, IpSec и локальной сетью:

              3G\4G

              Так потом-то они же в инет выходят через белый адрес ) А белый адрес в данном случае будет ANY , те любой . Тут я проблем не вижу , потому что по схожей схеме было и создано это решение (и отлаживалось тоже ) Если посмотреть чуть выше , именно это решение использовал администратор для подключения этих модемов к центральному роутеру .

              P 1 Reply Last reply Reply Quote 0
              • P
                pigbrother @Konstanti
                last edited by

                @Konstanti Тогда единственным ограничением будет необходимость работы IPSEC на стороне PF в режиме responder?

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @pigbrother
                  last edited by

                  @pigbrother Конечно , другого варианта нет .
                  Опять же , смотрим файл вверху
                  auto = add
                  Для тс очень хорошая подсказка , как все должно получиться в итоге

                  1 Reply Last reply Reply Quote 0
                  • D
                    dimm56
                    last edited by

                    Все привет. Файлик поправил. Пару раз накосячил с синтаксисом))) пару раз переустановил pfSense))) вообщем теперь дает возможность написать any. Что дальше?)))

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @dimm56
                      last edited by Konstanti

                      @dimm56 а дальше пробуете создать туннель с любым модемом
                      в фазе 1 ставите remote gateway any,
                      как создадите любое тестовое соединение , покажите тут содержимое файла /var/etc/ipsec/strongswan.conf . Хочу посмотреть , что Вы наваяли
                      И еще , пришлите мне на почту Ваш файл strongswan.conf(кусок которого тут был выложен) , со всеми настройками , чтобы я мог Вас направить в нужном направлении.
                      И еще - верно я понимаю , что настройки модемов Вы не трогали ?

                      1 Reply Last reply Reply Quote 0
                      • D
                        dimm56
                        last edited by

                        А может надо этот файлик? /var/etc/ipsec/ipsec.conf
                        В /var/etc/ipsec/strongswan.conf ничего такого интересного нет)))

                        K 1 Reply Last reply Reply Quote 0
                        • D
                          dimm56
                          last edited by

                          Содержимое /var/etc/ipsec/strongswan.conf

                          Automatically generated config file - DO NOT MODIFY. Changes will be overwritten.

                          starter {
                          load_warning = no
                          config_file = /var/etc/ipsec/ipsec.conf
                          }

                          charon {

                          number of worker threads in charon

                          threads = 16
                          ikesa_table_size = 32
                          ikesa_table_segments = 4
                          init_limit_half_open = 1000
                          install_routes = no
                          load_modular = yes
                          ignore_acquire_ts = yes
                          
                          
                          cisco_unity = no
                          
                          
                          
                          syslog {
                          	identifier = charon
                          	# log everything under daemon since it ends up in the same place regardless with our syslog.conf
                          	daemon {
                          		ike_name = yes
                          		dmn = 1
                          		mgr = 1
                          		ike = 2
                          		chd = 2
                          		job = 1
                          		cfg = 2
                          		knl = 1
                          		net = 1
                          		asn = 1
                          		enc = 1
                          		imc = 1
                          		imv = 1
                          		pts = 1
                          		tls = 1
                          		esp = 1
                          		lib = 1
                          
                          	}
                          	# disable logging under auth so logs aren't duplicated
                          	auth {
                          		default = -1
                          	}
                          }
                          
                          plugins {
                          	# Load defaults
                          	include /var/etc/ipsec/strongswan.d/charon/*.conf
                          
                          	stroke {
                          		secrets_file = /var/etc/ipsec/ipsec.secrets
                          	}
                          
                          	unity {
                          		load = no
                          	}
                          
                          }
                          

                          }

                          1 Reply Last reply Reply Quote 0
                          • K
                            Konstanti @dimm56
                            last edited by

                            @dimm56 Нет , мне нужен именно файл strongswan.conf
                            Создаете соединение ( фаза 1 + фаза 2 ) - сохраняете и показываете файл
                            и мне очень желательно на почту прислать тот файл , который вам оставил предыдущий админ (или это Ваш файл , не знаю)

                            D 2 Replies Last reply Reply Quote 0
                            • D
                              dimm56 @Konstanti
                              last edited by

                              @Konstanti

                              Automatically generated config file - DO NOT MODIFY. Changes will be overwritten.

                              starter {
                              load_warning = no
                              config_file = /var/etc/ipsec/ipsec.conf
                              }

                              charon {

                              number of worker threads in charon

                              threads = 16
                              ikesa_table_size = 32
                              ikesa_table_segments = 4
                              init_limit_half_open = 1000
                              install_routes = no
                              load_modular = yes
                              ignore_acquire_ts = yes
                              
                              
                              cisco_unity = no
                              
                              
                              
                              syslog {
                              	identifier = charon
                              	# log everything under daemon since it ends up in the same place regardless with our syslog.conf
                              	daemon {
                              		ike_name = yes
                              		dmn = 1
                              		mgr = 1
                              		ike = 2
                              		chd = 2
                              		job = 1
                              		cfg = 2
                              		knl = 1
                              		net = 1
                              		asn = 1
                              		enc = 1
                              		imc = 1
                              		imv = 1
                              		pts = 1
                              		tls = 1
                              		esp = 1
                              		lib = 1
                              
                              	}
                              	# disable logging under auth so logs aren't duplicated
                              	auth {
                              		default = -1
                              	}
                              }
                              
                              plugins {
                              	# Load defaults
                              	include /var/etc/ipsec/strongswan.d/charon/*.conf
                              
                              	stroke {
                              		secrets_file = /var/etc/ipsec/ipsec.secrets
                              	}
                              
                              	unity {
                              		load = no
                              	}
                              
                              }
                              

                              }

                              K 1 Reply Last reply Reply Quote 0
                              • K
                                Konstanti @dimm56
                                last edited by

                                @dimm56 прошу прощения
                                ipsec.conf

                                1 Reply Last reply Reply Quote 0
                                • D
                                  dimm56 @Konstanti
                                  last edited by

                                  This file is automatically generated. Do not edit

                                  config setup
                                  uniqueids = yes

                                  conn bypasslan
                                  leftsubnet = 192.168.6.0/24
                                  rightsubnet = 192.168.6.0/24
                                  authby = never
                                  type = passthrough
                                  auto = route

                                  conn con1000
                                  fragmentation = yes
                                  keyexchange = ikev2
                                  reauth = yes
                                  forceencaps = no
                                  mobike = no

                                  rekey = yes
                                  installpolicy = yes
                                  type = tunnel
                                  dpdaction = restart
                                  dpddelay = 10s
                                  dpdtimeout = 60s
                                  auto = route
                                  left = 95.105.115.197
                                  right = 
                                  leftid = 95.105.115.197
                                  ikelifetime = 3600s
                                  lifetime = 3600s
                                  ike = aes128-sha256-modp1024!
                                  esp = aes128-sha256!
                                  leftauth = psk
                                  rightauth = psk
                                  rightsubnet = 10.0.44.1
                                  leftsubnet = 192.168.6.0/24
                                  
                                  K 1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @dimm56
                                    last edited by Konstanti

                                    @dimm56 said in Разрешить трафик между OpenVpn, IpSec и локальной сетью:

                                    l

                                    1 Не вижу right = %any
                                    2 rightsubnet - ошибка , скорее всего 10.0.44.0/24 должно быть так
                                    3 посмотрите Ваш файл (параметры leftid,rightid)
                                    4 auto = add ( должно быть так)

                                    D 1 Reply Last reply Reply Quote 0
                                    • D
                                      dimm56
                                      last edited by

                                      вот кусок старого конфига:

                                      ipsec.conf - strongSwan IPsec configuration file

                                      basic configuration

                                      config setup

                                      strictcrlpolicy=yes

                                      uniqueids = no

                                      Add connections here.

                                      conn %default

                                      type=tunnel

                                      ikelifetime=60m

                                      keylife=20m

                                      rekeymargin=3m

                                      keyingtries=1

                                      keyexchange=ikev2

                                      leftauth=psk

                                      dpdaction=clear

                                      dpddelay=300s

                                      leftid=vpnserver1@jelen.tzb

                                      auto=add
                                      rightdns=8.8.8.8

                                      left=192.168.6.3

                                      leftsubnet=0.0.0.0/0

                                      right=%any

                                      conn stanislavskogo # Магазин. Станиславского. Для роутера Zyxel Keenetic Lite III. Можно использовать как шаблон.
                                      rightauth=psk
                                      rightid=stanislavskogo@video.jelen.tzb
                                      rightsubnet=10.0.2.0/24

                                      conn tzb
                                      rightauth=psk
                                      rightid=tzb@video.jelen.tzb

                                      rightsubnet=10.0.1.0/24

                                      conn vasnecova
                                      rightauth=psk
                                      rightid=vasnecova@video.jelen.tzb

                                      rightsubnet=10.0.9.0/24

                                      conn luch
                                      rightauth=psk
                                      rightid=luch@video.jelen.tzb

                                      rightsubnet=10.0.15.0/24

                                      conn apteka
                                      rightauth=psk
                                      rightid=apteka@video.jelen.tzb

                                      rightsubnet=10.0.10.0/24

                                      conn ryabina
                                      rightauth=psk
                                      rightid=ryabina@video.jelen.tzb

                                      K 1 Reply Last reply Reply Quote 0
                                      • K
                                        Konstanti @dimm56
                                        last edited by Konstanti

                                        @dimm56
                                        Вот и сравните Ваши
                                        right, leftid,rightid,auto,leftsubnet с такими же настройками в файле
                                        Напишите Ваш е-мейл
                                        я пришлю свое видение настроек , часа через 2

                                        1 Reply Last reply Reply Quote 0
                                        • D
                                          dimm56 @Konstanti
                                          last edited by

                                          @Konstanti said in Разрешить трафик между OpenVpn, IpSec и локальной сетью:

                                          1 Не вижу right = %any
                                          2 rightsubnet - ошибка , скорее всего 10.0.44.0/24 должно быть так
                                          3 посмотрите Ваш файл (параметры leftid,rightid)
                                          4 auto = add ( должно быть так)

                                          1. Скорее всего он тут должен был появиться после того как мы изменили содержимое /etc/inc/vpn.inc. Правильно?

                                          2. Да поправил.

                                          3. leftid=vpnserver1@jelen.tzb т.е. email. pfsense не дает выбрать e-mail идентификатором, поэтому оставил, то что есть. Тем более что на модеме идентификатор удаленного шлюза стоит - любой.

                                          4. Как это сделать? Где это auto прячется))))

                                          1 Reply Last reply Reply Quote 0
                                          • D
                                            dimm56
                                            last edited by

                                            shibanov@mail.ru

                                            K 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.