OpenVPN microtic - pfsense. Не видна сеть.

rline

Товарищи, мне интуиция тут подсказывает, что дело не в pf а в микротике. Может я правила как-то не так настроил? Взгляните пожалуйста.

pigbrother

@rline said in OpenVPN microtic - pfsense. Не видна сеть.:

Может я правила как-то не так настроил? Взгляните пожалуйста.

Навскидку. Входящее правило в firewall для для ovpn-клиента не нужно. Вы его создвали сами?

rline

@pigbrother said in OpenVPN microtic - pfsense. Не видна сеть.:

Входящее правило в firewall для для ovpn-клиента не нужно. Вы его создвали сами?

Да, я его сам создал. Оно ни на что не повлияло, сейчас его отключил.

pigbrother

@rline когда-то, еще до обновления форума? ЕМНИП, приводил примеры конфигов\настроек для связки MT+PF.
Вот:
https://forum.netgate.com/topic/120219/openvpn-pfsense-%D0%B8-mikrotik/8
У меня так работают несколько филиалов, но пример для одного.

rubic

@rline said in OpenVPN microtic - pfsense. Не видна сеть.:

Простите, я не очень понял. Если 10.0.9.5 неправильный адрес, то почему тогда пинги с мк на pf спокойно ходят?
Если всё-таки 10.0.9.5 придётся поменять на 10.0.9.2, то как это сделать? Ведь этот адрес динамически создаётся.

У вас старый pfSense, в нем по умолчанию в OpenVPN topology net30, поэтому народ не понимает. Можно в Advanced настройках сервера прописать 'topology subnet'. Хотя сущностно это вряд ли что-то изменит, но людям ваш сетап станет как бы понятнее)

rline

Эпопея продолжается. Переустановил pfsense, поставил версию 2.4.4. Микротик сбросил. Перенастроил всё заново с новыми сертификатами. Сам vpn поднимается без проблем, пинги по туннелю 10.0.9.0 ходят и туда и обратно. А вот сети 192.168.1.0 и 192.168.3.0 между собой не пингуются. Подскажите что крутить ФВ или маршруты?
Настройки сейчас выглядят так:

Konstanti

@rline Здр
Ну , так , для напоминания
ICMP - это отдельный протокол ( не TCP и не UDP) - если что , смотрю правила Openvpn интерфейса

правило 2 на lan интерфейсе - "кривое" - никогда работать не будет (на этой закладке правила работают на вход, а Вы хотели сделать исходящее правило)
Оно вообще не нужно , удалите его
вот пример типового правила на lan интерфейсе в понимании PF
pass in quick on $LAN inet proto tcp from 192.168.1.0/24

обратите внимание на слово "in" , которое означает направление движения трафика

werter

@rline
На время теста разрешите всё-всем-везде в fw во вкладках ЛАН и Опенвпн.

Запись в Custom options - лишнее. Вверху для этого пункт есть (Inter-clietn-communication)
И галку на Dynamic ip я бы поставил.

rline

Мне кажется я что-то в микротике недокрутил, но не могу понять что

Mister511

@rline маршрут на микротике 192.168.1.0/24 через интерфейс ovpn
Скрин маршрутов пф

rline