Не видно клиентов по имени хоста по OpenVPN
-
Проверьте настройки DNS для клиентов OpenVPN,
они должны использовать pfSense в качестве резолвера -
@viktor_g said in Не видно клиентов по имени хоста по OpenVPN:
они должны использовать pfSense в качестве резолвера
Может не работать адекватно без
push "block-outside-dns"
В настройках сервера\Client Specific Overrides
-
@pigbrother Верно, оно же в WebGUI:
-
Включал 2 опции и ничего не дало.
У меня еще DNS Server enable включена опция (Provide a DNS server list to clients. Addresses may be IPv4 or IPv6.). Отключать ?
Кстати как раз клиент на Win10 не видит по имени хоста.
-
Так в DNS серверах ведь pfSense должен быть прописан,
Google DNS не может знать о ваших OpenVPN клиентах -
@viktor_g
Добавил в первую строку DNS самого pfsense - 192.168.1.1 - вообще доступа к Инету для клиента не стало.
И по имени хоста тоже не подключается. Что еще проверить можно? -
@maxyca Проверьте что pfSense'овским DNS всё нормально - что он слушает в т.ч. и OpenVPN интерфейс, что правила файрвола разрешают клиентам стучаться к нему
Если LAN'овские клиенты используют его и всё нормально - значит проблема в настройках доступа
-
Предпожу, что без block outside dns Windows просто игнорирует передаваемые OVPN настройки DNS, продолжая использовать те, что были до коннекта клиента OVPN.
И да, хоть на скриншоте указано, что это работает только в Windows 10, если мне не изменяет склероз, это работало и в 8.1 и кажется и в 7.
@maxyca, если у вас есть AD с DNS попробуйте предавать клиентам адрес(а) этих DNS, указав их либо в
Client Specific Overrides
либо в настройках сервера OVPNИ да, вам точно нужно запихивать весь интернет-трафик клиентов в туннель?
-
Вы через VPN какого рода работой занимаетесь? Может в браузере открываете странички или что именно вам надо делать, к ресурсам SMB подключиться... ещё что... какого рода доступ?
-
@pigbrother said in Не видно клиентов по имени хоста по OpenVPN:
если у вас есть AD с DNS попробуйте предавать клиентам адрес(а) этих DNS, указав их либо в
Client Specific Overrides
либо в настройках сервера OVPN
И да, вам точно нужно запихивать весь интернет-трафик клиентов в туннель?т.е. мне нужно в Client Specific Overrides в Client Settings > чекбокс Provide a DNS server list to clients и указать там pfSense (который у меня 192.168.1.1)?
А почему тогда в настройках OVPN сервера в Advanced Client Settings > DNS Server enable клиенты напрочь не видят DNS pfSense?Да, именно это и нужно.
-
@luha Вы через VPN какого рода работой занимаетесь? Может в браузере открываете странички или что именно вам надо делать, к ресурсам SMB подключиться... ещё что... какого рода доступ?
SMB в удаленном LAN нужно, облако там с рэйдом.
-
Если SMB то проверьте как настроен WINS в сервере OVPN
P.S. Для других случаев есть другие особенности.
-
@luha Так ведь в настройке сервера OVPN в pfSense ничего про WINS нет?!
Вот такой он у меня:
-
Как это нету?! Вон же белым по серому - NetBIOS ... бла-бла ... (including WINS)
-
Виноват, не доглядел(
За наводку спасибо!
Похоже мне надо еще одно правило для OVPN добавить, т.к. сейчас, без указания сторонних DNS Google напр. 8.8.8.8 и 8.8.4.4 ничего не работает.
Почему-то клиенты все равно напрочь не видят DNS от pfSense.
Сейчас в rules:
-
Я же спрашивал. Какого рода планируется деятельность через VPN. Что у вас кроме SMB будет? Для чего нужны дополнительные DNS?
-
Кроме SMB, доступ в LAN и Инет
-
Для начала в браузере выключить в настройках безопасности левый DNS на который у вас крадут куда вы ходите. Опция называется "безопасный DNS" или типа того. Точно есть в хроме и эдже.
-
@luha Это выключено само собой.
-
На счёт встроенного в pfsense сервера DNS не уверен что это правильно в случае доступа к www ресурсам. Оставьте там только гугловские сервера и проверьте в настройках pfsense является ли он резолвером DNS и чтобы ему самому тоже было указано где брать.
На внутренний DNS сервер записывают данные типа адрес-хост чтобы из локальной сети можно было открыть страничку с сервера из этой же локальной сети. На внешние www из локальной и так ходят по внешним адресам. Если у вас в локалке нет серверов у которых различаются внешний и внутренние адреса то вам не надо придумывать никакого локального DNS.
