Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN и локальные ресурсы внутри сети

    Scheduled Pinned Locked Moved Russian
    57 Posts 5 Posters 10.1k Views 3 Watching
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • L Offline
      luha
      last edited by luha

      Думаю дело не в том какой шлюз указан на "неотвечающем" сервере, а во взаимодействии подсетей. Шлюз это только для выхода в интернет. Учти, прохождение пакетов зависит от каждой из участвующих сторон! Ты же на сервере ведь проверил, слушает он подсеть OpenVPN или нет? От стороны pf твой клиент виден в локалке с адресом подсети VPN... соответственно свичи там разные, компьютеры, сервера, все будут отличные от их подсети пакеты или игнорировать или принимать, зависит от настроек.

      Кстати! А на pf разрешил трафик между подсетями?! Может pf сам не слушает того твоего сервера?

      1 Reply Last reply Reply Quote 0
      • K Offline
        Konstanti @marchello
        last edited by Konstanti

        @marchello
        Можете показать вывод tcpdump на lan интерфейсе при запущенном пинге в направлении нужного сервера ( с настроенным NAT outbound) ?

        1 Reply Last reply Reply Quote 0
        • M Offline
          marchello
          last edited by marchello

          Для следующих поколений оставляю готовый рецепт настройки доступа пользователей из VPN во внутреннюю сеть предприятия без необходимости прописывать на запрашиваемом ресурсе шлюзом pfSense.

          1. Заходите в Interfaces > Interface Assignments добавляете интерфейс OpenVPN и в его свойствах активируете (поднимаете)
            82aabad9-231f-4131-b409-04138fc14a0a-изображение.png

          2. Запоминаем сетку и маску выделенную для тоннеля + галка на ''Redirect IPv4 Gateway'' включена.
            dd0bd314-cbb6-40c7-89e5-600ea30bbbfb-изображение.png

          3. Добавляем принудительно маршрут в локальную сеть предприятия при установке соединения клиентом
            7035b855-b5e7-41d2-ad05-19270e8d3b60-изображение.png

          4. Далее идём в NAT и создаём правило которое позволяет клиентам из сетки VPN ходить в сеть предприятия и обратно.
            aa16ae96-dfbe-4371-bac3-8be26e445923-изображение.png

          Всё будет работать при условии, что сам OpenVPN предварительно был настроен верно и подключение к нему перед этими манипуляциями проверялось. Спасибо Konstanti и Luha в решении проблемы.

          P/S появилась дополнительная проблема, веб сайт к которому получен доступ и который отвечает внутри сети предприятия, делает редирект пользователя за пределы сети предприятия, на другой веб-сервис, попытка дополнительного добавления сети этого нового веб-сервиса (находящемуся за пределами локальной сети предприятия) в NAT и в соответствующее поле VPN к клиенту не помогает.

          L 1 Reply Last reply Reply Quote 1
          • werterW Offline
            werter
            last edited by

            Добрый.

            @marchello

            1. Зачем ВЕСЬ траффик впн-клиентов в туннель-то заворачивать?
            2. В чем проблема указать шлюзом ЛАН-адрес пф на интересующей машине? Зачем "танцы" ?
            M 1 Reply Last reply Reply Quote 0
            • M Offline
              marchello @werter
              last edited by

              @werter said in OpenVPN и локальные ресурсы внутри сети:

              Добрый.

              @marchello

              1. Зачем ВЕСЬ траффик впн-клиентов в туннель-то заворачивать?
              2. В чем проблема указать шлюзом ЛАН-адрес пф на интересующей машине? Зачем "танцы" ?

              Есть причины и найдены последствия. 1 - нужно весь 2 - низя поменять шлюз ресурса (вообще низя ))) )

              1 Reply Last reply Reply Quote 0
              • werterW Offline
                werter
                last edited by werter

                Тогда команда route на этом сервере вас спасет:

                route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф
                M 1 Reply Last reply Reply Quote 0
                • M Offline
                  marchello @werter
                  last edited by

                  @werter said in OpenVPN и локальные ресурсы внутри сети:

                  Тогда команда route на этом сервере вас спасет:

                  route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф

                  Как вариант )

                  M 1 Reply Last reply Reply Quote 0
                  • werterW Offline
                    werter
                    last edited by werter

                    Пробуйте. И удалите костыль с NAT-ом. Иначе он вам еще "покажет" в будущем )

                    Зы. Без особой надобности не объявляйте явно впн-интерфейс. Без. оч. особой.

                    1 Reply Last reply Reply Quote 0
                    • L Offline
                      luha @marchello
                      last edited by luha

                      @marchello Как я уже выше писал если ты весь трафик принудительно пропускаешь от клиента через сервер VPN то нужно проверить настройки DNS, а иначе так и получится.

                      Не знаю как организовано в твоей рабочей (будем её называть локальной) сети, к которой ты получаешь доступ. У меня в локальной сети настроен свой сервер DNS, в нём прописаны домены на локальных серверах и правильные внутренние IP для этих имён.

                      Что надо сделать чтобы корректно работало:

                      1. В самом pf указать внешние DNS сервера для каждого WAN и внутренний DNS для него самого ( System / General Setup / DNS Server Settings )
                      2. В настройках OpenVPN сервера в разделе "Advanced Client Settings" включить опцию "DNS Server enable" и указать как "DNS Server 1" внутренний DNS локалки и как "DNS Server 2" внешний (может быть 8.8.8.8).
                      M 1 Reply Last reply Reply Quote 0
                      • M Offline
                        marchello @luha
                        last edited by

                        @luha said in OpenVPN и локальные ресурсы внутри сети:

                        @marchello Как я уже выше писал если ты весь трафик принудительно пропускаешь от клиента через сервер VPN то нужно проверить настройки DNS, а иначе так и получится.

                        Не знаю как организовано в твоей рабочей (будем её называть локальной) сети, к которой ты получаешь доступ. У меня в локальной сети настроен свой сервер DNS, в нём прописаны домены на локальных серверах и правильные внутренние IP для этих имён.

                        Что надо сделать чтобы корректно работало:

                        1. В самом pf указать DNS сервера для каждого WAN и для него самого ( System / General Setup / DNS Server Settings )
                        2. В настройках OpenVPN сервера в разделе "Advanced Client Settings" включить опцию "DNS Server enable" и указать как "DNS Server 1" внутренний DNS локалки и как "DNS Server 2" внешний (может быть 8.8.8.8).

                        Конечно же поднят в сети DNS сервер и в самом OpenVPN он тоже указан в принудительную раздачу клиентам. Я просто не стал об этом упоминать думаю кто будет настраивать сам определится, возможно у него будет иная схема сетки.

                        1 Reply Last reply Reply Quote 0
                        • M Offline
                          marchello @marchello
                          last edited by marchello

                          @marchello said in OpenVPN и локальные ресурсы внутри сети:

                          @werter said in OpenVPN и локальные ресурсы внутри сети:

                          Тогда команда route на этом сервере вас спасет:

                          route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф

                          Как вариант )
                          92251a56-5473-4536-bb9b-9dd3bc9af681-изображение.png

                          freebsd не понравилась наша идея ))) Пойду вот сюда впихаю )))

                          4aeea9ca-f34a-4a99-8cf2-d49f4a277fa1-изображение.png

                          K 1 Reply Last reply Reply Quote 0
                          • werterW Offline
                            werter
                            last edited by werter

                            @marchello
                            Зачем вы роут на пф добавляете-то? Добавляйте роут на сервер, к-ый БЕЗ шлюза.
                            Строку дал для Win.

                            M 1 Reply Last reply Reply Quote 0
                            • K Offline
                              Konstanti @marchello
                              last edited by

                              @marchello
                              Речь идет о добавлении статического маршрута на сервере

                              1 Reply Last reply Reply Quote 0
                              • M Offline
                                marchello @werter
                                last edited by

                                @werter said in OpenVPN и локальные ресурсы внутри сети:

                                @marchello
                                Зачем вы роут на пф добавляете-то? Добавляйте роут на сервер, к-ый БЕЗ шлюза.
                                Строку дал для Win.

                                Сервер с шлюзом но его значение нельзя изменять на другое.

                                1 Reply Last reply Reply Quote 0
                                • werterW Offline
                                  werter
                                  last edited by werter

                                  Тогда метрику добавьте:

                                  route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф METRIC 10
                                  1 Reply Last reply Reply Quote 0
                                  • L Offline
                                    luha
                                    last edited by

                                    Маршруты это когда для пакетов нет дороги. А когда неправильно разрешается хост то это к DNS-ам вопрос.

                                    Так вот я что-то уже запутался. Что вы хотите сделать и в чём беда? Не проходят маршруты? Или имена не верно разрешаются?! О_о

                                    K 1 Reply Last reply Reply Quote 0
                                    • werterW Offline
                                      werter
                                      last edited by werter

                                      @luha
                                      Как понял я
                                      @marchello said in OpenVPN и локальные ресурсы внутри сети:

                                      Возможно ли клиентам OpenVPN сделать доступным сервер находящийся за pfSense но у которого шлюзом не прописан pfSense ?

                                      1 Reply Last reply Reply Quote 0
                                      • K Offline
                                        Konstanti @luha
                                        last edited by Konstanti

                                        @luha
                                        По-моему , просто путают друг друга
                                        Решения было у задачи всего 2

                                        1. создание статического маршрута на сервере
                                          или
                                        2. создания правила Nat Outbound на PF

                                        оба решения не предполагают смены шлюза на сервере

                                        1 Reply Last reply Reply Quote 0
                                        • werterW Offline
                                          werter
                                          last edited by werter

                                          @Konstanti
                                          Тогда на кой ВЕСЬ трафик клиентов в туннель заворачивать для этого?

                                          K 1 Reply Last reply Reply Quote 0
                                          • K Offline
                                            Konstanti @werter
                                            last edited by

                                            @werter
                                            я где-то об этом писал ?

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.