Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN и локальные ресурсы внутри сети

    Scheduled Pinned Locked Moved Russian
    57 Posts 5 Posters 8.7k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • L
      luha
      last edited by luha

      Думаю дело не в том какой шлюз указан на "неотвечающем" сервере, а во взаимодействии подсетей. Шлюз это только для выхода в интернет. Учти, прохождение пакетов зависит от каждой из участвующих сторон! Ты же на сервере ведь проверил, слушает он подсеть OpenVPN или нет? От стороны pf твой клиент виден в локалке с адресом подсети VPN... соответственно свичи там разные, компьютеры, сервера, все будут отличные от их подсети пакеты или игнорировать или принимать, зависит от настроек.

      Кстати! А на pf разрешил трафик между подсетями?! Может pf сам не слушает того твоего сервера?

      1 Reply Last reply Reply Quote 0
      • K
        Konstanti @marchello
        last edited by Konstanti

        @marchello
        Можете показать вывод tcpdump на lan интерфейсе при запущенном пинге в направлении нужного сервера ( с настроенным NAT outbound) ?

        1 Reply Last reply Reply Quote 0
        • M
          marchello
          last edited by marchello

          Для следующих поколений оставляю готовый рецепт настройки доступа пользователей из VPN во внутреннюю сеть предприятия без необходимости прописывать на запрашиваемом ресурсе шлюзом pfSense.

          1. Заходите в Interfaces > Interface Assignments добавляете интерфейс OpenVPN и в его свойствах активируете (поднимаете)
            82aabad9-231f-4131-b409-04138fc14a0a-изображение.png

          2. Запоминаем сетку и маску выделенную для тоннеля + галка на ''Redirect IPv4 Gateway'' включена.
            dd0bd314-cbb6-40c7-89e5-600ea30bbbfb-изображение.png

          3. Добавляем принудительно маршрут в локальную сеть предприятия при установке соединения клиентом
            7035b855-b5e7-41d2-ad05-19270e8d3b60-изображение.png

          4. Далее идём в NAT и создаём правило которое позволяет клиентам из сетки VPN ходить в сеть предприятия и обратно.
            aa16ae96-dfbe-4371-bac3-8be26e445923-изображение.png

          Всё будет работать при условии, что сам OpenVPN предварительно был настроен верно и подключение к нему перед этими манипуляциями проверялось. Спасибо Konstanti и Luha в решении проблемы.

          P/S появилась дополнительная проблема, веб сайт к которому получен доступ и который отвечает внутри сети предприятия, делает редирект пользователя за пределы сети предприятия, на другой веб-сервис, попытка дополнительного добавления сети этого нового веб-сервиса (находящемуся за пределами локальной сети предприятия) в NAT и в соответствующее поле VPN к клиенту не помогает.

          L 1 Reply Last reply Reply Quote 1
          • werterW
            werter
            last edited by

            Добрый.

            @marchello

            1. Зачем ВЕСЬ траффик впн-клиентов в туннель-то заворачивать?
            2. В чем проблема указать шлюзом ЛАН-адрес пф на интересующей машине? Зачем "танцы" ?
            M 1 Reply Last reply Reply Quote 0
            • M
              marchello @werter
              last edited by

              @werter said in OpenVPN и локальные ресурсы внутри сети:

              Добрый.

              @marchello

              1. Зачем ВЕСЬ траффик впн-клиентов в туннель-то заворачивать?
              2. В чем проблема указать шлюзом ЛАН-адрес пф на интересующей машине? Зачем "танцы" ?

              Есть причины и найдены последствия. 1 - нужно весь 2 - низя поменять шлюз ресурса (вообще низя ))) )

              1 Reply Last reply Reply Quote 0
              • werterW
                werter
                last edited by werter

                Тогда команда route на этом сервере вас спасет:

                route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф
                M 1 Reply Last reply Reply Quote 0
                • M
                  marchello @werter
                  last edited by

                  @werter said in OpenVPN и локальные ресурсы внутри сети:

                  Тогда команда route на этом сервере вас спасет:

                  route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф

                  Как вариант )

                  M 1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by werter

                    Пробуйте. И удалите костыль с NAT-ом. Иначе он вам еще "покажет" в будущем )

                    Зы. Без особой надобности не объявляйте явно впн-интерфейс. Без. оч. особой.

                    1 Reply Last reply Reply Quote 0
                    • L
                      luha @marchello
                      last edited by luha

                      @marchello Как я уже выше писал если ты весь трафик принудительно пропускаешь от клиента через сервер VPN то нужно проверить настройки DNS, а иначе так и получится.

                      Не знаю как организовано в твоей рабочей (будем её называть локальной) сети, к которой ты получаешь доступ. У меня в локальной сети настроен свой сервер DNS, в нём прописаны домены на локальных серверах и правильные внутренние IP для этих имён.

                      Что надо сделать чтобы корректно работало:

                      1. В самом pf указать внешние DNS сервера для каждого WAN и внутренний DNS для него самого ( System / General Setup / DNS Server Settings )
                      2. В настройках OpenVPN сервера в разделе "Advanced Client Settings" включить опцию "DNS Server enable" и указать как "DNS Server 1" внутренний DNS локалки и как "DNS Server 2" внешний (может быть 8.8.8.8).
                      M 1 Reply Last reply Reply Quote 0
                      • M
                        marchello @luha
                        last edited by

                        @luha said in OpenVPN и локальные ресурсы внутри сети:

                        @marchello Как я уже выше писал если ты весь трафик принудительно пропускаешь от клиента через сервер VPN то нужно проверить настройки DNS, а иначе так и получится.

                        Не знаю как организовано в твоей рабочей (будем её называть локальной) сети, к которой ты получаешь доступ. У меня в локальной сети настроен свой сервер DNS, в нём прописаны домены на локальных серверах и правильные внутренние IP для этих имён.

                        Что надо сделать чтобы корректно работало:

                        1. В самом pf указать DNS сервера для каждого WAN и для него самого ( System / General Setup / DNS Server Settings )
                        2. В настройках OpenVPN сервера в разделе "Advanced Client Settings" включить опцию "DNS Server enable" и указать как "DNS Server 1" внутренний DNS локалки и как "DNS Server 2" внешний (может быть 8.8.8.8).

                        Конечно же поднят в сети DNS сервер и в самом OpenVPN он тоже указан в принудительную раздачу клиентам. Я просто не стал об этом упоминать думаю кто будет настраивать сам определится, возможно у него будет иная схема сетки.

                        1 Reply Last reply Reply Quote 0
                        • M
                          marchello @marchello
                          last edited by marchello

                          @marchello said in OpenVPN и локальные ресурсы внутри сети:

                          @werter said in OpenVPN и локальные ресурсы внутри сети:

                          Тогда команда route на этом сервере вас спасет:

                          route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф

                          Как вариант )
                          92251a56-5473-4536-bb9b-9dd3bc9af681-изображение.png

                          freebsd не понравилась наша идея ))) Пойду вот сюда впихаю )))

                          4aeea9ca-f34a-4a99-8cf2-d49f4a277fa1-изображение.png

                          K 1 Reply Last reply Reply Quote 0
                          • werterW
                            werter
                            last edited by werter

                            @marchello
                            Зачем вы роут на пф добавляете-то? Добавляйте роут на сервер, к-ый БЕЗ шлюза.
                            Строку дал для Win.

                            M 1 Reply Last reply Reply Quote 0
                            • K
                              Konstanti @marchello
                              last edited by

                              @marchello
                              Речь идет о добавлении статического маршрута на сервере

                              1 Reply Last reply Reply Quote 0
                              • M
                                marchello @werter
                                last edited by

                                @werter said in OpenVPN и локальные ресурсы внутри сети:

                                @marchello
                                Зачем вы роут на пф добавляете-то? Добавляйте роут на сервер, к-ый БЕЗ шлюза.
                                Строку дал для Win.

                                Сервер с шлюзом но его значение нельзя изменять на другое.

                                1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by werter

                                  Тогда метрику добавьте:

                                  route -p -4 ADD адрес-сети-впн-клиентов MASK маска-сети-впн-клиентов ЛАН-ip-пф METRIC 10
                                  1 Reply Last reply Reply Quote 0
                                  • L
                                    luha
                                    last edited by

                                    Маршруты это когда для пакетов нет дороги. А когда неправильно разрешается хост то это к DNS-ам вопрос.

                                    Так вот я что-то уже запутался. Что вы хотите сделать и в чём беда? Не проходят маршруты? Или имена не верно разрешаются?! О_о

                                    K 1 Reply Last reply Reply Quote 0
                                    • werterW
                                      werter
                                      last edited by werter

                                      @luha
                                      Как понял я
                                      @marchello said in OpenVPN и локальные ресурсы внутри сети:

                                      Возможно ли клиентам OpenVPN сделать доступным сервер находящийся за pfSense но у которого шлюзом не прописан pfSense ?

                                      1 Reply Last reply Reply Quote 0
                                      • K
                                        Konstanti @luha
                                        last edited by Konstanti

                                        @luha
                                        По-моему , просто путают друг друга
                                        Решения было у задачи всего 2

                                        1. создание статического маршрута на сервере
                                          или
                                        2. создания правила Nat Outbound на PF

                                        оба решения не предполагают смены шлюза на сервере

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by werter

                                          @Konstanti
                                          Тогда на кой ВЕСЬ трафик клиентов в туннель заворачивать для этого?

                                          K 1 Reply Last reply Reply Quote 0
                                          • K
                                            Konstanti @werter
                                            last edited by

                                            @werter
                                            я где-то об этом писал ?

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.