Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Authentication Server (MS RADIUS, MS LDAP AD) - сервер находится в другой сети

    Scheduled Pinned Locked Moved Russian
    33 Posts 3 Posters 2.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      mikeroygbiv
      last edited by

      8fd14a69-6489-4ead-99d9-159519fde01a-image.png

      M 1 Reply Last reply Reply Quote 0
      • M
        mikeroygbiv @mikeroygbiv
        last edited by

        @mikeroygbiv db1568e1-1189-45f5-913a-9995584ecea9-image.png

        M 1 Reply Last reply Reply Quote 0
        • M
          mikeroygbiv @mikeroygbiv
          last edited by

          @mikeroygbiv 394f2be7-8ebe-4cd1-99c7-f2fca1f50628-image.png

          M 1 Reply Last reply Reply Quote 0
          • M
            mikeroygbiv @mikeroygbiv
            last edited by

            @mikeroygbiv
            2 последних блокирущих правила, не относятся к вопросу..один блокирует доступ к веб морде ПФсенс, а нижний вобще другой сервис в локалке.

            1 Reply Last reply Reply Quote 0
            • M
              mikeroygbiv @werter
              last edited by

              @werter
              NAT на сайте А это всякие сервисы извне, фтп,voip итд - там ни слова про сайт Б и что либо с ним связанное

              NAT на сайте B - вообще пустой.

              K 1 Reply Last reply Reply Quote 0
              • K
                Konstanti @mikeroygbiv
                last edited by

                @mikeroygbiv
                Здр
                Что приходит на ум , глядя на все это

                1. есть очень странные правила , которые никогда работать не будут, и счетчики явно на это указывают
                  Например , правила для протокола ESP на ipsec интерфейсе ( в обоих случаях )
                  Правила Lan Site B - 2 правило тоже никогда не сработает

                Туннель ipsec прекрасно работает в обе стороны , это тоже хорошо видно.
                Возникает вопрос

                1. Верно ли настроены параметры MS Radius сервера на PF SiteB ?
                2. Знает ли MS Radius сервер о клиенте PF Site B ?
                  Я бы лично , для начала , посмотрел журналы со стороны MS Radius при попытках авторизации. А потом уже делал какие-либо выводы
                  и запустил бы tcpdump на порту 1812 udp и посмотрел бы на то , что происходит в момент авторизации
                M 1 Reply Last reply Reply Quote 0
                • M
                  mikeroygbiv @Konstanti
                  last edited by

                  @Konstanti

                  1. Параметры MS radius на сайте B указаны верно..
                  2. не знал, да, - добавил LAN ip pf2 сайта B в MS Radius на сайте А
                  • не помогло..

                  вобщем, буду тестить это:
                  https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/access-firewall-over-ipsec.html

                  K 1 Reply Last reply Reply Quote 0
                  • K
                    Konstanti @mikeroygbiv
                    last edited by

                    @mikeroygbiv
                    Запустите tcpdump и посмотрите , что присходит
                    если все верно настроено , то должны увидеть вот такое
                    те должен быть ответ ms radius-а ( или принято или отклонено )

                    37859f1a-e5a2-45bc-b6d7-767d035c9b54-image.png

                    M 1 Reply Last reply Reply Quote 0
                    • M
                      mikeroygbiv @Konstanti
                      last edited by

                      @Konstanti
                      извините за "нубство" но не пойму никак какой интерфейс сканить

                      перепробовал уже и lan и openvpn и wan ... не вижу нужный траффик

                      это мне надо делать на pf1 сайт А ?

                      K 1 Reply Last reply Reply Quote 0
                      • K
                        Konstanti @mikeroygbiv
                        last edited by

                        @mikeroygbiv
                        все зависит от ваших настроек
                        Покажите настройки сервера аутентификации PF Site B

                        /System/User Manager/ Authentication Servers

                        9db187fe-1674-4a29-9ec0-fa6946c0cf4d-image.png

                        1 Reply Last reply Reply Quote 0
                        • M
                          mikeroygbiv
                          last edited by

                          4e578984-0578-4485-b712-8523efbce0cf-image.png

                          K 1 Reply Last reply Reply Quote 0
                          • K
                            Konstanti @mikeroygbiv
                            last edited by

                            @mikeroygbiv
                            вот теперь на интерфейсе Lan PF Site A - смотрите пакеты на порту 1812 udp

                            M 2 Replies Last reply Reply Quote 0
                            • M
                              mikeroygbiv @Konstanti
                              last edited by

                              @Konstanti 8a24c11f-cb04-4f36-a125-968655d1060e-image.png

                              это при логине по VPN на сайт А напрямую
                              при логине по VPN на сайт Б -- тишина

                              K 1 Reply Last reply Reply Quote 0
                              • K
                                Konstanti @mikeroygbiv
                                last edited by

                                @mikeroygbiv
                                а покажите, пож , настройки фазы 2 ipsec PF Site B

                                1 Reply Last reply Reply Quote 0
                                • M
                                  mikeroygbiv
                                  last edited by

                                  b37b9206-9f02-4e73-b96f-9459589004ad-image.png

                                  K 1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @mikeroygbiv
                                    last edited by

                                    @mikeroygbiv
                                    Попробуйте , ради интереса, сделать так
                                    создайте дополнительную фазу 2 на стороне PF Site B
                                    d42c01ac-153f-4629-9285-93a8e17cc6a9-image.png

                                    M 1 Reply Last reply Reply Quote 0
                                    • M
                                      mikeroygbiv @Konstanti
                                      last edited by

                                      @Konstanti fd4d9edf-b8e6-48cc-b95f-e1bbdd02655f-image.png

                                      на сайте B при логине по VPN такая картина
                                      есть реквесты но никакого ответа

                                      K 1 Reply Last reply Reply Quote 0
                                      • K
                                        Konstanti @mikeroygbiv
                                        last edited by

                                        @mikeroygbiv
                                        Вы сделали , как я сказал ?? я понимаю , в чем проблема , думаю , как ее решить

                                        M 1 Reply Last reply Reply Quote 0
                                        • M
                                          mikeroygbiv @Konstanti
                                          last edited by

                                          @Konstanti
                                          боюсь делать сейчас, это прод)
                                          сейчас подниму ipsec в лабе между двух pfsense
                                          там все это проверю!

                                          K 1 Reply Last reply Reply Quote 0
                                          • K
                                            Konstanti @mikeroygbiv
                                            last edited by Konstanti

                                            @mikeroygbiv
                                            Тут нет криминала
                                            Проблема в том , что PF Site B ничего не знает про сеть 192.168.0.0/ 20 ( ее нет в таблице маршрутизации ) . Поэтому когда от самого PF исходит пакет на адрес 192.168.1.7 , то он этот пакет пихает в шлюз по умолчанию , которым является wan интерфейс. Ловушек , которые бы перехватывали этот трафик и запихивали бы его в ipsec туннель тоже нет . Таким образом , эти пакеты улетают в никуда через wan интерефейс . Как создать такую ловушку , используя NAT/BINAT я Вам показал .
                                            Если такой вариант не сработает , то Вам надо будет переходить на маршрутизируемый виртуальный туннель ( GRE over Ipsec , VTI, OpenVpn)

                                            1 Reply Last reply Reply Quote 1
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.