Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Authentication Server (MS RADIUS, MS LDAP AD) - сервер находится в другой сети

    Scheduled Pinned Locked Moved Russian
    33 Posts 3 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      mikeroygbiv @werter
      last edited by

      @werter
      NAT на сайте А это всякие сервисы извне, фтп,voip итд - там ни слова про сайт Б и что либо с ним связанное

      NAT на сайте B - вообще пустой.

      K 1 Reply Last reply Reply Quote 0
      • K
        Konstanti @mikeroygbiv
        last edited by

        @mikeroygbiv
        Здр
        Что приходит на ум , глядя на все это

        1. есть очень странные правила , которые никогда работать не будут, и счетчики явно на это указывают
          Например , правила для протокола ESP на ipsec интерфейсе ( в обоих случаях )
          Правила Lan Site B - 2 правило тоже никогда не сработает

        Туннель ipsec прекрасно работает в обе стороны , это тоже хорошо видно.
        Возникает вопрос

        1. Верно ли настроены параметры MS Radius сервера на PF SiteB ?
        2. Знает ли MS Radius сервер о клиенте PF Site B ?
          Я бы лично , для начала , посмотрел журналы со стороны MS Radius при попытках авторизации. А потом уже делал какие-либо выводы
          и запустил бы tcpdump на порту 1812 udp и посмотрел бы на то , что происходит в момент авторизации
        M 1 Reply Last reply Reply Quote 0
        • M
          mikeroygbiv @Konstanti
          last edited by

          @Konstanti

          1. Параметры MS radius на сайте B указаны верно..
          2. не знал, да, - добавил LAN ip pf2 сайта B в MS Radius на сайте А
          • не помогло..

          вобщем, буду тестить это:
          https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/access-firewall-over-ipsec.html

          K 1 Reply Last reply Reply Quote 0
          • K
            Konstanti @mikeroygbiv
            last edited by

            @mikeroygbiv
            Запустите tcpdump и посмотрите , что присходит
            если все верно настроено , то должны увидеть вот такое
            те должен быть ответ ms radius-а ( или принято или отклонено )

            37859f1a-e5a2-45bc-b6d7-767d035c9b54-image.png

            M 1 Reply Last reply Reply Quote 0
            • M
              mikeroygbiv @Konstanti
              last edited by

              @Konstanti
              извините за "нубство" но не пойму никак какой интерфейс сканить

              перепробовал уже и lan и openvpn и wan ... не вижу нужный траффик

              это мне надо делать на pf1 сайт А ?

              K 1 Reply Last reply Reply Quote 0
              • K
                Konstanti @mikeroygbiv
                last edited by

                @mikeroygbiv
                все зависит от ваших настроек
                Покажите настройки сервера аутентификации PF Site B

                /System/User Manager/ Authentication Servers

                9db187fe-1674-4a29-9ec0-fa6946c0cf4d-image.png

                1 Reply Last reply Reply Quote 0
                • M
                  mikeroygbiv
                  last edited by

                  4e578984-0578-4485-b712-8523efbce0cf-image.png

                  K 1 Reply Last reply Reply Quote 0
                  • K
                    Konstanti @mikeroygbiv
                    last edited by

                    @mikeroygbiv
                    вот теперь на интерфейсе Lan PF Site A - смотрите пакеты на порту 1812 udp

                    M 2 Replies Last reply Reply Quote 0
                    • M
                      mikeroygbiv @Konstanti
                      last edited by

                      @Konstanti 8a24c11f-cb04-4f36-a125-968655d1060e-image.png

                      это при логине по VPN на сайт А напрямую
                      при логине по VPN на сайт Б -- тишина

                      K 1 Reply Last reply Reply Quote 0
                      • K
                        Konstanti @mikeroygbiv
                        last edited by

                        @mikeroygbiv
                        а покажите, пож , настройки фазы 2 ipsec PF Site B

                        1 Reply Last reply Reply Quote 0
                        • M
                          mikeroygbiv
                          last edited by

                          b37b9206-9f02-4e73-b96f-9459589004ad-image.png

                          K 1 Reply Last reply Reply Quote 0
                          • K
                            Konstanti @mikeroygbiv
                            last edited by

                            @mikeroygbiv
                            Попробуйте , ради интереса, сделать так
                            создайте дополнительную фазу 2 на стороне PF Site B
                            d42c01ac-153f-4629-9285-93a8e17cc6a9-image.png

                            M 1 Reply Last reply Reply Quote 0
                            • M
                              mikeroygbiv @Konstanti
                              last edited by

                              @Konstanti fd4d9edf-b8e6-48cc-b95f-e1bbdd02655f-image.png

                              на сайте B при логине по VPN такая картина
                              есть реквесты но никакого ответа

                              K 1 Reply Last reply Reply Quote 0
                              • K
                                Konstanti @mikeroygbiv
                                last edited by

                                @mikeroygbiv
                                Вы сделали , как я сказал ?? я понимаю , в чем проблема , думаю , как ее решить

                                M 1 Reply Last reply Reply Quote 0
                                • M
                                  mikeroygbiv @Konstanti
                                  last edited by

                                  @Konstanti
                                  боюсь делать сейчас, это прод)
                                  сейчас подниму ipsec в лабе между двух pfsense
                                  там все это проверю!

                                  K 1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @mikeroygbiv
                                    last edited by Konstanti

                                    @mikeroygbiv
                                    Тут нет криминала
                                    Проблема в том , что PF Site B ничего не знает про сеть 192.168.0.0/ 20 ( ее нет в таблице маршрутизации ) . Поэтому когда от самого PF исходит пакет на адрес 192.168.1.7 , то он этот пакет пихает в шлюз по умолчанию , которым является wan интерфейс. Ловушек , которые бы перехватывали этот трафик и запихивали бы его в ipsec туннель тоже нет . Таким образом , эти пакеты улетают в никуда через wan интерефейс . Как создать такую ловушку , используя NAT/BINAT я Вам показал .
                                    Если такой вариант не сработает , то Вам надо будет переходить на маршрутизируемый виртуальный туннель ( GRE over Ipsec , VTI, OpenVpn)

                                    1 Reply Last reply Reply Quote 1
                                    • M
                                      mikeroygbiv @Konstanti
                                      last edited by

                                      @Konstanti

                                      Вобщем затестил в лабе с доп. второй фазой - результата нет..

                                      лаба - ipsec между pf1 и pf2 есть,открыт весь тарффик, все туда обратно бегает. авторизация на pf1 по VPN по доменной учетке (radius) тоже

                                      K 1 Reply Last reply Reply Quote 0
                                      • K
                                        Konstanti @mikeroygbiv
                                        last edited by Konstanti

                                        @mikeroygbiv
                                        Понятно , скорее всего ловушки не срабатывают на исходящем трафике .
                                        Попробуйте рассмотреть вариант перехода на маршутизируемый туннель , как писал выше . Этот вариант должен сработать
                                        На всякий случай , покажите пож вывод команды ipsec statusall и состояние фазы 2 в /status/ipsec после создания доп фазы-2
                                        и проверьте tcpdump-ом , куда сейчас убегает трафик на порту 1812

                                        M 2 Replies Last reply Reply Quote 1
                                        • M
                                          mikeroygbiv @Konstanti
                                          last edited by

                                          @Konstanti
                                          Ура, у меня получилось реализовать эту схему , заработало ))
                                          пока не понял что сработало - ловушки, которые вы порекомендовали сделать или это))
                                          https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/access-firewall-over-ipsec.html

                                          в любом случае сейчас разберусь, что дало эту возможность)

                                          1 Reply Last reply Reply Quote 0
                                          • M
                                            mikeroygbiv @Konstanti
                                            last edited by mikeroygbiv

                                            @Konstanti
                                            вобщем добавление статического маршрута, как в этой статье решает этот вопрос - аутентификация VPN с сайта Б через raduis ad на сайте А работает, и я попадаю в локалку сайта Б .

                                            https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/access-firewall-over-ipsec.html

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.