Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN и локальные ресурсы внутри сети

    Scheduled Pinned Locked Moved Russian
    57 Posts 5 Posters 10.1k Views 3 Watching
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M Offline
      marchello @Konstanti
      last edited by

      @Konstanti said in OpenVPN и локальные ресурсы внутри сети:

      @marchello
      На вашей картинке прописано , tcp для интерфейса lan . Откуда any ?

      Это два правила касающиеся двух портов на двух разных серверах на которые заходят клиенты из вне, это не имеет отношения к нашему VPN )))

      K L 2 Replies Last reply Reply Quote 0
      • K Offline
        Konstanti @marchello
        last edited by

        @marchello тогда у Вас нет нужно правила на lan интерфейсе

        M 1 Reply Last reply Reply Quote 0
        • L Offline
          luha @marchello
          last edited by

          @marchello Привет. Недавно настраивал OpenVPN и так же надо было видеть сервера.

          1. В настройках сервера OpenVPN на pf в разделе "Advanced Configuration" в "Custom options" прописываем в какую подсеть могут стучать клиенты OpenVPN - push "route 192.168.1.0 255.255.255.0" (там это даже в подсказке указано и не с проста)
          2. На самом сервере при необходимости разрешить доступ с подсети OpenVPN (с той, которую ты указываешь в настройках сервера OpenVPN).

          ... и всё, должно работать. Может быть ещё включить "заворачивание всего трафика через туннель", но тогда обратить внимание на настройки DNS.

          M 1 Reply Last reply Reply Quote 0
          • M Offline
            marchello @Konstanti
            last edited by

            @Konstanti said in OpenVPN и локальные ресурсы внутри сети:

            @marchello тогда у Вас нет нужно правила на lan интерфейсе

            В порядке эксперимента добавил правило на эхо, и всё равно не работает.
            Буфер обмена-1.png

            K 1 Reply Last reply Reply Quote 0
            • K Offline
              Konstanti @marchello
              last edited by

              @marchello
              Тогда только остается включать tcpdump и смотреть , что происходит в момент пинга
              tcpdump -netti имя_lan_интерфейса icmp and host ip_адрес_сервера

              и проверять
              1 отрабатывает ли nat outbound (те изменился ли ip адрес источника)
              2 и приходят ли ответные пакеты

              1 Reply Last reply Reply Quote 0
              • M Offline
                marchello @luha
                last edited by

                @luha said in OpenVPN и локальные ресурсы внутри сети:

                @marchello Привет. Недавно настраивал OpenVPN и так же надо было видеть сервера.

                1. В настройках сервера OpenVPN на pf в разделе "Advanced Configuration" в "Custom options" прописываем в какую подсеть могут стучать клиенты OpenVPN - push "route 192.168.1.0 255.255.255.0" (там это даже в подсказке указано и не с проста)
                2. На самом сервере при необходимости разрешить доступ с подсети OpenVPN (с той, которую ты указываешь в настройках сервера OpenVPN).

                ... и всё, должно работать. Может быть ещё включить "заворачивание всего трафика через туннель", но тогда обратить внимание на настройки DNS.

                Удалил все правила включая OpenVPN. Создал новый сервер включив дополнительный маршрут в Custom options, далее выгрузил конфигурацию, загрузил на клиента, проверил подключение к OpenVPN серверу - работает без вопросов. Добавил правило в NAT
                Буфер обмена-1.png

                Перепроверил активность и поднятое состояние OpenVPN интерфейса. По итогу ping с клиента показывает что сервера с прописаным гейтом pfSense отвечают, с иным ip гейта на интерфейсе молчат.

                K 1 Reply Last reply Reply Quote 0
                • L Offline
                  luha
                  last edited by luha

                  Думаю дело не в том какой шлюз указан на "неотвечающем" сервере, а во взаимодействии подсетей. Шлюз это только для выхода в интернет. Учти, прохождение пакетов зависит от каждой из участвующих сторон! Ты же на сервере ведь проверил, слушает он подсеть OpenVPN или нет? От стороны pf твой клиент виден в локалке с адресом подсети VPN... соответственно свичи там разные, компьютеры, сервера, все будут отличные от их подсети пакеты или игнорировать или принимать, зависит от настроек.

                  Кстати! А на pf разрешил трафик между подсетями?! Может pf сам не слушает того твоего сервера?

                  1 Reply Last reply Reply Quote 0
                  • K Offline
                    Konstanti @marchello
                    last edited by Konstanti

                    @marchello
                    Можете показать вывод tcpdump на lan интерфейсе при запущенном пинге в направлении нужного сервера ( с настроенным NAT outbound) ?

                    1 Reply Last reply Reply Quote 0
                    • M Offline
                      marchello
                      last edited by marchello

                      Для следующих поколений оставляю готовый рецепт настройки доступа пользователей из VPN во внутреннюю сеть предприятия без необходимости прописывать на запрашиваемом ресурсе шлюзом pfSense.

                      1. Заходите в Interfaces > Interface Assignments добавляете интерфейс OpenVPN и в его свойствах активируете (поднимаете)
                        82aabad9-231f-4131-b409-04138fc14a0a-изображение.png

                      2. Запоминаем сетку и маску выделенную для тоннеля + галка на ''Redirect IPv4 Gateway'' включена.
                        dd0bd314-cbb6-40c7-89e5-600ea30bbbfb-изображение.png

                      3. Добавляем принудительно маршрут в локальную сеть предприятия при установке соединения клиентом
                        7035b855-b5e7-41d2-ad05-19270e8d3b60-изображение.png

                      4. Далее идём в NAT и создаём правило которое позволяет клиентам из сетки VPN ходить в сеть предприятия и обратно.
                        aa16ae96-dfbe-4371-bac3-8be26e445923-изображение.png

                      Всё будет работать при условии, что сам OpenVPN предварительно был настроен верно и подключение к нему перед этими манипуляциями проверялось. Спасибо Konstanti и Luha в решении проблемы.

                      P/S появилась дополнительная проблема, веб сайт к которому получен доступ и который отвечает внутри сети предприятия, делает редирект пользователя за пределы сети предприятия, на другой веб-сервис, попытка дополнительного добавления сети этого нового веб-сервиса (находящемуся за пределами локальной сети предприятия) в NAT и в соответствующее поле VPN к клиенту не помогает.

                      L 1 Reply Last reply Reply Quote 1
                      • werterW Offline
                        werter
                        last edited by

                        Добрый.

                        @marchello

                        1. Зачем ВЕСЬ траффик впн-клиентов в туннель-то заворачивать?
                        2. В чем проблема указать шлюзом ЛАН-адрес пф на интересующей машине? Зачем "танцы" ?
                        M 1 Reply Last reply Reply Quote 0
                        • M Offline
                          marchello @werter
                          last edited by

                          @werter said in OpenVPN и локальные ресурсы внутри сети:

                          Добрый.

                          @marchello

                          1. Зачем ВЕСЬ траффик впн-клиентов в туннель-то заворачивать?
                          2. В чем проблема указать шлюзом ЛАН-адрес пф на интересующей машине? Зачем "танцы" ?

                          Есть причины и найдены последствия. 1 - нужно весь 2 - низя поменять шлюз ресурса (вообще низя ))) )

                          1 Reply Last reply Reply Quote 0
                          • werterW Offline
                            werter
                            last edited by werter

                            Тогда команда route на этом сервере вас спасет:

                            route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф
                            M 1 Reply Last reply Reply Quote 0
                            • M Offline
                              marchello @werter
                              last edited by

                              @werter said in OpenVPN и локальные ресурсы внутри сети:

                              Тогда команда route на этом сервере вас спасет:

                              route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф

                              Как вариант )

                              M 1 Reply Last reply Reply Quote 0
                              • werterW Offline
                                werter
                                last edited by werter

                                Пробуйте. И удалите костыль с NAT-ом. Иначе он вам еще "покажет" в будущем )

                                Зы. Без особой надобности не объявляйте явно впн-интерфейс. Без. оч. особой.

                                1 Reply Last reply Reply Quote 0
                                • L Offline
                                  luha @marchello
                                  last edited by luha

                                  @marchello Как я уже выше писал если ты весь трафик принудительно пропускаешь от клиента через сервер VPN то нужно проверить настройки DNS, а иначе так и получится.

                                  Не знаю как организовано в твоей рабочей (будем её называть локальной) сети, к которой ты получаешь доступ. У меня в локальной сети настроен свой сервер DNS, в нём прописаны домены на локальных серверах и правильные внутренние IP для этих имён.

                                  Что надо сделать чтобы корректно работало:

                                  1. В самом pf указать внешние DNS сервера для каждого WAN и внутренний DNS для него самого ( System / General Setup / DNS Server Settings )
                                  2. В настройках OpenVPN сервера в разделе "Advanced Client Settings" включить опцию "DNS Server enable" и указать как "DNS Server 1" внутренний DNS локалки и как "DNS Server 2" внешний (может быть 8.8.8.8).
                                  M 1 Reply Last reply Reply Quote 0
                                  • M Offline
                                    marchello @luha
                                    last edited by

                                    @luha said in OpenVPN и локальные ресурсы внутри сети:

                                    @marchello Как я уже выше писал если ты весь трафик принудительно пропускаешь от клиента через сервер VPN то нужно проверить настройки DNS, а иначе так и получится.

                                    Не знаю как организовано в твоей рабочей (будем её называть локальной) сети, к которой ты получаешь доступ. У меня в локальной сети настроен свой сервер DNS, в нём прописаны домены на локальных серверах и правильные внутренние IP для этих имён.

                                    Что надо сделать чтобы корректно работало:

                                    1. В самом pf указать DNS сервера для каждого WAN и для него самого ( System / General Setup / DNS Server Settings )
                                    2. В настройках OpenVPN сервера в разделе "Advanced Client Settings" включить опцию "DNS Server enable" и указать как "DNS Server 1" внутренний DNS локалки и как "DNS Server 2" внешний (может быть 8.8.8.8).

                                    Конечно же поднят в сети DNS сервер и в самом OpenVPN он тоже указан в принудительную раздачу клиентам. Я просто не стал об этом упоминать думаю кто будет настраивать сам определится, возможно у него будет иная схема сетки.

                                    1 Reply Last reply Reply Quote 0
                                    • M Offline
                                      marchello @marchello
                                      last edited by marchello

                                      @marchello said in OpenVPN и локальные ресурсы внутри сети:

                                      @werter said in OpenVPN и локальные ресурсы внутри сети:

                                      Тогда команда route на этом сервере вас спасет:

                                      route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф

                                      Как вариант )
                                      92251a56-5473-4536-bb9b-9dd3bc9af681-изображение.png

                                      freebsd не понравилась наша идея ))) Пойду вот сюда впихаю )))

                                      4aeea9ca-f34a-4a99-8cf2-d49f4a277fa1-изображение.png

                                      K 1 Reply Last reply Reply Quote 0
                                      • werterW Offline
                                        werter
                                        last edited by werter

                                        @marchello
                                        Зачем вы роут на пф добавляете-то? Добавляйте роут на сервер, к-ый БЕЗ шлюза.
                                        Строку дал для Win.

                                        M 1 Reply Last reply Reply Quote 0
                                        • K Offline
                                          Konstanti @marchello
                                          last edited by

                                          @marchello
                                          Речь идет о добавлении статического маршрута на сервере

                                          1 Reply Last reply Reply Quote 0
                                          • M Offline
                                            marchello @werter
                                            last edited by

                                            @werter said in OpenVPN и локальные ресурсы внутри сети:

                                            @marchello
                                            Зачем вы роут на пф добавляете-то? Добавляйте роут на сервер, к-ый БЕЗ шлюза.
                                            Строку дал для Win.

                                            Сервер с шлюзом но его значение нельзя изменять на другое.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.