Не видно клиентов по имени хоста по OpenVPN

[pigbrother]

@viktor_g said in Не видно клиентов по имени хоста по OpenVPN:

они должны использовать pfSense в качестве резолвера

Может не работать адекватно без

push "block-outside-dns"

В настройках сервера\Client Specific Overrides

[viktor_g]

@pigbrother Верно, оно же в WebGUI:

[maxer]

Включал 2 опции и ничего не дало.
У меня еще DNS Server enable включена опция (Provide a DNS server list to clients. Addresses may be IPv4 or IPv6.). Отключать ?

Кстати как раз клиент на Win10 не видит по имени хоста.

[viktor_g]

Так в DNS серверах ведь pfSense должен быть прописан,
Google DNS не может знать о ваших OpenVPN клиентах

[maxer]

@viktor_g
Добавил в первую строку DNS самого pfsense - 192.168.1.1 - вообще доступа к Инету для клиента не стало.
И по имени хоста тоже не подключается. Что еще проверить можно?

[viktor_g]

@maxyca Проверьте что pfSense'овским DNS всё нормально - что он слушает в т.ч. и OpenVPN интерфейс, что правила файрвола разрешают клиентам стучаться к нему

Если LAN'овские клиенты используют его и всё нормально - значит проблема в настройках доступа

[pigbrother]

Предпожу, что без block outside dns Windows просто игнорирует передаваемые OVPN настройки DNS, продолжая использовать те, что были до коннекта клиента OVPN.

И да, хоть на скриншоте указано, что это работает только в Windows 10, если мне не изменяет склероз, это работало и в 8.1 и кажется и в 7.

@maxyca, если у вас есть AD с DNS попробуйте предавать клиентам адрес(а) этих DNS, указав их либо в
Client Specific Overrides
либо в настройках сервера OVPN

И да, вам точно нужно запихивать весь интернет-трафик клиентов в туннель?

[luha]

Вы через VPN какого рода работой занимаетесь? Может в браузере открываете странички или что именно вам надо делать, к ресурсам SMB подключиться... ещё что... какого рода доступ?

[maxer]

@pigbrother said in Не видно клиентов по имени хоста по OpenVPN:

если у вас есть AD с DNS попробуйте предавать клиентам адрес(а) этих DNS, указав их либо в
Client Specific Overrides
либо в настройках сервера OVPN
И да, вам точно нужно запихивать весь интернет-трафик клиентов в туннель?

т.е. мне нужно в Client Specific Overrides в Client Settings > чекбокс Provide a DNS server list to clients и указать там pfSense (который у меня 192.168.1.1)?
А почему тогда в настройках OVPN сервера в Advanced Client Settings > DNS Server enable клиенты напрочь не видят DNS pfSense?

Да, именно это и нужно.

[maxer]

@luha Вы через VPN какого рода работой занимаетесь? Может в браузере открываете странички или что именно вам надо делать, к ресурсам SMB подключиться... ещё что... какого рода доступ?

SMB в удаленном LAN нужно, облако там с рэйдом.

[luha]

Если SMB то проверьте как настроен WINS в сервере OVPN

P.S. Для других случаев есть другие особенности.

[maxer]

@luha Так ведь в настройке сервера OVPN в pfSense ничего про WINS нет?!
Вот такой он у меня:

[luha]

Как это нету?! Вон же белым по серому - NetBIOS ... бла-бла ... (including WINS)

[maxer]

Виноват, не доглядел(
За наводку спасибо!
Похоже мне надо еще одно правило для OVPN добавить, т.к. сейчас, без указания сторонних DNS Google напр. 8.8.8.8 и 8.8.4.4 ничего не работает.
Почему-то клиенты все равно напрочь не видят DNS от pfSense.
Сейчас в rules:

[luha]

Я же спрашивал. Какого рода планируется деятельность через VPN. Что у вас кроме SMB будет? Для чего нужны дополнительные DNS?

[maxer]

Кроме SMB, доступ в LAN и Инет

[luha]

Для начала в браузере выключить в настройках безопасности левый DNS на который у вас крадут куда вы ходите. Опция называется "безопасный DNS" или типа того. Точно есть в хроме и эдже.

[maxer]

@luha Это выключено само собой.

[luha]

На счёт встроенного в pfsense сервера DNS не уверен что это правильно в случае доступа к www ресурсам. Оставьте там только гугловские сервера и проверьте в настройках pfsense является ли он резолвером DNS и чтобы ему самому тоже было указано где брать.

На внутренний DNS сервер записывают данные типа адрес-хост чтобы из локальной сети можно было открыть страничку с сервера из этой же локальной сети. На внешние www из локальной и так ходят по внешним адресам. Если у вас в локалке нет серверов у которых различаются внешний и внутренние адреса то вам не надо придумывать никакого локального DNS.

[maxer]

Сделал так:

Но по хосту как не коннектилось так и не хочет (

С 2 DNS от Google не все открывается, что хочется. Поэтому из Cloudflare еще пришлось взять.