OpenVPN и локальные ресурсы внутри сети
-
@werter
я где-то об этом писал ? -
Первоначальный вопрос уже решен. Дальше последовала следующая проблема - частично доступные хосты. Я тоже с этим столкнулся и предположил что речь идёт о адресах зон. Я не прав?
-
@luha
@Konstanti
Ждем ТС с ответами и четким ТЗ. А то мы тут передеремся ) -
@luha said in OpenVPN и локальные ресурсы внутри сети:
Первоначальный вопрос уже решен. Дальше последовала следующая проблема - частично доступные хосты. Я тоже с этим столкнулся и предположил что речь идёт о адресах зон. Я не прав?
Совершенно верно, первоначальный вопрос решён и ресурс открывается у клиента VPN. Да можно прописать статикой на сервере, но в таком случае это придётся делать на каждом из серверов к которым потребуется доступ из VPN, лучше пусть в NAT. Однако изначально я не сообразил что прежде чем клиент начинает работать с ресурсом в локальной сети организации он пересылается на другой адрес за пределами локальной сети где проходит авторизацию и затем возвращается обратно. Вот туда то на ресурс авторизации он и не может зайти.
-
This post is deleted! -
@werter said in OpenVPN и локальные ресурсы внутри сети:
@luha
@Konstanti
Ждем ТС с ответами и четким ТЗ. А то мы тут передеремся )Спокойствие и только спокойствие. Характер нордический к конфликтам не расположен ))
-
@marchello
А как проходит авторизация ? -
@marchello
Зачем ВЕCЬ трафик клиентов в туннель гнать? Они ж в инет не попадут ( -
@werter said in OpenVPN и локальные ресурсы внутри сети:
@marchello
Зачем ВЕCЬ трафик клиентов в туннель гнать? Они ж в инет не попадут (Попадут ) И попадают ) Зуб даю!
-
@marchello
Ок.
Тогда так. Зачем гонять весь трафик клиентов через себя, если им нужен доступ только к определенным ресурсам в локалке? -
@Konstanti said in OpenVPN и локальные ресурсы внутри сети:
@marchello
А как проходит авторизация ?Обычный веб сервис с возвратом сериализованного пакета путём json
-
@marchello
Небось впн-клиенты по имени к веб-сервису обращаются и он не открывается\не открывался? -
@werter said in OpenVPN и локальные ресурсы внутри сети:
@marchello
Ок.
Тогда так. Зачем гонять весь трафик клиентов через себя, если им нужен доступ только к определенным ресурсам в локалке?Понимаю ))) ты хочешь чтобы я ограничил протоколы и адреса назначения до определённых серверов и портов служб ))) - это будет сделано, сейчас это обкатка в общем виде )))
-
@marchello
Сколько у тебя серверов, к-ым нельзя иметь шлюзом пф? -
@werter said in OpenVPN и локальные ресурсы внутри сети:
@marchello
Небось впн-клиенты по имени к веб-сервису обращаются и он не открывается\не открывался?Да, но ничто не мешает узнать IP адреса ))) и они мне известны
-
@marchello
Проще впн-клиентам выдавать dns при поднятие туннеля. Как посоветовал @luha -
@werter said in OpenVPN и локальные ресурсы внутри сети:
@marchello
Проще впн-клиентам выдавать dns при поднятие туннеля. Как посоветовал @luhaДык я ему и ответил что ВЫДАЁТСЯ при поднятии туннеля
-
@marchello
Если имя ресурса разрешается во ВНЕШНИЙ адрес , то могут быть проблемы.
Ситуацию спасет Split DNS на пф. -
Подведу итог для тех кто будет читать в будущем.
Если весь трафик заворачиваем в VPN то надо обратить внимание на настройки DNS. Как они правильно будут реализованы зависит от конкретной ситуации, но озаботиться придётся.
Мне было нужно чтобы у клиентов VPN был наш внешний адрес IP, плюс у нас тут есть странички ограниченно доступные из-вне... есть внешняя запись DNS и внутренняя и они не совпадают и работают по разному. Поэтому я завернул весь трафик в тоннель. Мне это было нужно и выше данные от меня рекомендации для случая где весь трафик пускаем в VPN.
По умолчанию нет нужды генерировать многократный петлевой поток через канал VPN от клиента, если он хочет открыть внешний ресурс т.к. запросы пойдут в удалённую сеть, оттуда на внешнюю, потом обратно ответ в удалённую и оттуда клиенту. Четыре раза!
Надо бы решить для себя и выбрать что-то одно, потом делать.
-
@marchello said in OpenVPN и локальные ресурсы внутри сети:
Возможно ли клиентам OpenVPN сделать доступным сервер находящийся за pfSense но у которого шлюзом не прописан pfSense ?
А если просто на этом сервере добавить маршрут в сеть клиента(ов) указав шлюзом pfSense?
