Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN и локальные ресурсы внутри сети

    Scheduled Pinned Locked Moved Russian
    57 Posts 5 Posters 10.1k Views 3 Watching
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M Offline
      marchello @luha
      last edited by

      @luha said in OpenVPN и локальные ресурсы внутри сети:

      @marchello Привет. Недавно настраивал OpenVPN и так же надо было видеть сервера.

      1. В настройках сервера OpenVPN на pf в разделе "Advanced Configuration" в "Custom options" прописываем в какую подсеть могут стучать клиенты OpenVPN - push "route 192.168.1.0 255.255.255.0" (там это даже в подсказке указано и не с проста)
      2. На самом сервере при необходимости разрешить доступ с подсети OpenVPN (с той, которую ты указываешь в настройках сервера OpenVPN).

      ... и всё, должно работать. Может быть ещё включить "заворачивание всего трафика через туннель", но тогда обратить внимание на настройки DNS.

      Удалил все правила включая OpenVPN. Создал новый сервер включив дополнительный маршрут в Custom options, далее выгрузил конфигурацию, загрузил на клиента, проверил подключение к OpenVPN серверу - работает без вопросов. Добавил правило в NAT
      Буфер обмена-1.png

      Перепроверил активность и поднятое состояние OpenVPN интерфейса. По итогу ping с клиента показывает что сервера с прописаным гейтом pfSense отвечают, с иным ip гейта на интерфейсе молчат.

      K 1 Reply Last reply Reply Quote 0
      • L Offline
        luha
        last edited by luha

        Думаю дело не в том какой шлюз указан на "неотвечающем" сервере, а во взаимодействии подсетей. Шлюз это только для выхода в интернет. Учти, прохождение пакетов зависит от каждой из участвующих сторон! Ты же на сервере ведь проверил, слушает он подсеть OpenVPN или нет? От стороны pf твой клиент виден в локалке с адресом подсети VPN... соответственно свичи там разные, компьютеры, сервера, все будут отличные от их подсети пакеты или игнорировать или принимать, зависит от настроек.

        Кстати! А на pf разрешил трафик между подсетями?! Может pf сам не слушает того твоего сервера?

        1 Reply Last reply Reply Quote 0
        • K Offline
          Konstanti @marchello
          last edited by Konstanti

          @marchello
          Можете показать вывод tcpdump на lan интерфейсе при запущенном пинге в направлении нужного сервера ( с настроенным NAT outbound) ?

          1 Reply Last reply Reply Quote 0
          • M Offline
            marchello
            last edited by marchello

            Для следующих поколений оставляю готовый рецепт настройки доступа пользователей из VPN во внутреннюю сеть предприятия без необходимости прописывать на запрашиваемом ресурсе шлюзом pfSense.

            1. Заходите в Interfaces > Interface Assignments добавляете интерфейс OpenVPN и в его свойствах активируете (поднимаете)
              82aabad9-231f-4131-b409-04138fc14a0a-изображение.png

            2. Запоминаем сетку и маску выделенную для тоннеля + галка на ''Redirect IPv4 Gateway'' включена.
              dd0bd314-cbb6-40c7-89e5-600ea30bbbfb-изображение.png

            3. Добавляем принудительно маршрут в локальную сеть предприятия при установке соединения клиентом
              7035b855-b5e7-41d2-ad05-19270e8d3b60-изображение.png

            4. Далее идём в NAT и создаём правило которое позволяет клиентам из сетки VPN ходить в сеть предприятия и обратно.
              aa16ae96-dfbe-4371-bac3-8be26e445923-изображение.png

            Всё будет работать при условии, что сам OpenVPN предварительно был настроен верно и подключение к нему перед этими манипуляциями проверялось. Спасибо Konstanti и Luha в решении проблемы.

            P/S появилась дополнительная проблема, веб сайт к которому получен доступ и который отвечает внутри сети предприятия, делает редирект пользователя за пределы сети предприятия, на другой веб-сервис, попытка дополнительного добавления сети этого нового веб-сервиса (находящемуся за пределами локальной сети предприятия) в NAT и в соответствующее поле VPN к клиенту не помогает.

            L 1 Reply Last reply Reply Quote 1
            • werterW Offline
              werter
              last edited by

              Добрый.

              @marchello

              1. Зачем ВЕСЬ траффик впн-клиентов в туннель-то заворачивать?
              2. В чем проблема указать шлюзом ЛАН-адрес пф на интересующей машине? Зачем "танцы" ?
              M 1 Reply Last reply Reply Quote 0
              • M Offline
                marchello @werter
                last edited by

                @werter said in OpenVPN и локальные ресурсы внутри сети:

                Добрый.

                @marchello

                1. Зачем ВЕСЬ траффик впн-клиентов в туннель-то заворачивать?
                2. В чем проблема указать шлюзом ЛАН-адрес пф на интересующей машине? Зачем "танцы" ?

                Есть причины и найдены последствия. 1 - нужно весь 2 - низя поменять шлюз ресурса (вообще низя ))) )

                1 Reply Last reply Reply Quote 0
                • werterW Offline
                  werter
                  last edited by werter

                  Тогда команда route на этом сервере вас спасет:

                  route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф
                  M 1 Reply Last reply Reply Quote 0
                  • M Offline
                    marchello @werter
                    last edited by

                    @werter said in OpenVPN и локальные ресурсы внутри сети:

                    Тогда команда route на этом сервере вас спасет:

                    route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф

                    Как вариант )

                    M 1 Reply Last reply Reply Quote 0
                    • werterW Offline
                      werter
                      last edited by werter

                      Пробуйте. И удалите костыль с NAT-ом. Иначе он вам еще "покажет" в будущем )

                      Зы. Без особой надобности не объявляйте явно впн-интерфейс. Без. оч. особой.

                      1 Reply Last reply Reply Quote 0
                      • L Offline
                        luha @marchello
                        last edited by luha

                        @marchello Как я уже выше писал если ты весь трафик принудительно пропускаешь от клиента через сервер VPN то нужно проверить настройки DNS, а иначе так и получится.

                        Не знаю как организовано в твоей рабочей (будем её называть локальной) сети, к которой ты получаешь доступ. У меня в локальной сети настроен свой сервер DNS, в нём прописаны домены на локальных серверах и правильные внутренние IP для этих имён.

                        Что надо сделать чтобы корректно работало:

                        1. В самом pf указать внешние DNS сервера для каждого WAN и внутренний DNS для него самого ( System / General Setup / DNS Server Settings )
                        2. В настройках OpenVPN сервера в разделе "Advanced Client Settings" включить опцию "DNS Server enable" и указать как "DNS Server 1" внутренний DNS локалки и как "DNS Server 2" внешний (может быть 8.8.8.8).
                        M 1 Reply Last reply Reply Quote 0
                        • M Offline
                          marchello @luha
                          last edited by

                          @luha said in OpenVPN и локальные ресурсы внутри сети:

                          @marchello Как я уже выше писал если ты весь трафик принудительно пропускаешь от клиента через сервер VPN то нужно проверить настройки DNS, а иначе так и получится.

                          Не знаю как организовано в твоей рабочей (будем её называть локальной) сети, к которой ты получаешь доступ. У меня в локальной сети настроен свой сервер DNS, в нём прописаны домены на локальных серверах и правильные внутренние IP для этих имён.

                          Что надо сделать чтобы корректно работало:

                          1. В самом pf указать DNS сервера для каждого WAN и для него самого ( System / General Setup / DNS Server Settings )
                          2. В настройках OpenVPN сервера в разделе "Advanced Client Settings" включить опцию "DNS Server enable" и указать как "DNS Server 1" внутренний DNS локалки и как "DNS Server 2" внешний (может быть 8.8.8.8).

                          Конечно же поднят в сети DNS сервер и в самом OpenVPN он тоже указан в принудительную раздачу клиентам. Я просто не стал об этом упоминать думаю кто будет настраивать сам определится, возможно у него будет иная схема сетки.

                          1 Reply Last reply Reply Quote 0
                          • M Offline
                            marchello @marchello
                            last edited by marchello

                            @marchello said in OpenVPN и локальные ресурсы внутри сети:

                            @werter said in OpenVPN и локальные ресурсы внутри сети:

                            Тогда команда route на этом сервере вас спасет:

                            route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф

                            Как вариант )
                            92251a56-5473-4536-bb9b-9dd3bc9af681-изображение.png

                            freebsd не понравилась наша идея ))) Пойду вот сюда впихаю )))

                            4aeea9ca-f34a-4a99-8cf2-d49f4a277fa1-изображение.png

                            K 1 Reply Last reply Reply Quote 0
                            • werterW Offline
                              werter
                              last edited by werter

                              @marchello
                              Зачем вы роут на пф добавляете-то? Добавляйте роут на сервер, к-ый БЕЗ шлюза.
                              Строку дал для Win.

                              M 1 Reply Last reply Reply Quote 0
                              • K Offline
                                Konstanti @marchello
                                last edited by

                                @marchello
                                Речь идет о добавлении статического маршрута на сервере

                                1 Reply Last reply Reply Quote 0
                                • M Offline
                                  marchello @werter
                                  last edited by

                                  @werter said in OpenVPN и локальные ресурсы внутри сети:

                                  @marchello
                                  Зачем вы роут на пф добавляете-то? Добавляйте роут на сервер, к-ый БЕЗ шлюза.
                                  Строку дал для Win.

                                  Сервер с шлюзом но его значение нельзя изменять на другое.

                                  1 Reply Last reply Reply Quote 0
                                  • werterW Offline
                                    werter
                                    last edited by werter

                                    Тогда метрику добавьте:

                                    route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф METRIC 10
                                    1 Reply Last reply Reply Quote 0
                                    • L Offline
                                      luha
                                      last edited by

                                      Маршруты это когда для пакетов нет дороги. А когда неправильно разрешается хост то это к DNS-ам вопрос.

                                      Так вот я что-то уже запутался. Что вы хотите сделать и в чём беда? Не проходят маршруты? Или имена не верно разрешаются?! О_о

                                      K 1 Reply Last reply Reply Quote 0
                                      • werterW Offline
                                        werter
                                        last edited by werter

                                        @luha
                                        Как понял я
                                        @marchello said in OpenVPN и локальные ресурсы внутри сети:

                                        Возможно ли клиентам OpenVPN сделать доступным сервер находящийся за pfSense но у которого шлюзом не прописан pfSense ?

                                        1 Reply Last reply Reply Quote 0
                                        • K Offline
                                          Konstanti @luha
                                          last edited by Konstanti

                                          @luha
                                          По-моему , просто путают друг друга
                                          Решения было у задачи всего 2

                                          1. создание статического маршрута на сервере
                                            или
                                          2. создания правила Nat Outbound на PF

                                          оба решения не предполагают смены шлюза на сервере

                                          1 Reply Last reply Reply Quote 0
                                          • werterW Offline
                                            werter
                                            last edited by werter

                                            @Konstanti
                                            Тогда на кой ВЕСЬ трафик клиентов в туннель заворачивать для этого?

                                            K 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.