Маршрутизация OpenVPN

Desroze

В общем хрен бы с ним, с IPSec'ом, пока как временное решение подключил я два филиала через OpenVPN, но не могу почему-от разобраться с маршрутизацией.
Итак дано:

Филиал_1 PFSense 2.3.5 в качестве сервера OpenVPN
Сеть 192.168.72.0/24
Сеть OpenVPN 10.0.1.0/24
IP полученный при установлении туннеля 10.0.1.1

Филиал_2 PFSense 2.1.5 в качестве клиента
Сеть 192.168.166.0/24
Сеть OpenVPN 10.0.1.0/24
IP полученый при установлении туннеля 10.0.1.2

Надо: чтоб подсети 192.168.72.0 и 192.168.166.0 могли подружиться между собой и видеть компьютеры друг-друга.

Было сделано:

Добавлен интерфейс со стороны клиента (Interfaces - (assign)) с указанием на Network Port ovpnc1
Автоматически в гейтах добавился новый гейт OPENVPN_VPNV4 с указанием адреса удаленного сервера 10.0.1.1
Создан маршрут

192.168.72.0/24 Gateway OPENVPN_VPNV4 - 10.0.1.1

между собой pf'ы себя видят, пингуются полученные 10.0.1.1 и 10.0.1.2, но дальше этого дело не идет, почему-то подсети дружить не хотят.

Подскажите, что я делаю не так?

werter

Неправильно. Всё.
У вас простейшая задача по опенвпн.

Никакого создания отдельн. интерфейсов.
Никаких маршрутов руками.

Опенвпн прекрасно сам рисует маршруты.

В гугл. Фраза openvpn pfsense Вас спасет.

Desroze

@werter сударь видимо считает что я не спрашивал у дяди гугла? =D
Я понимаю что так то она простейшая, но чота вкрутиться в нее не получается :(
Не спорю, ручное прописывание это уже чисто импровизация, но как-то автоматом у меня маршрутизация не взлетела, не смотря на то что в полях IPv4 Remote network(s) что на сервере что на клиенте прописаны сети других сторон.

Может быть я что-то с режимами не так сделал?

SERVER MODE Peer to peer
Protocol UDP
Device mode tun

werter

Добрый.
Стройте туннель на сертификатах. И используйте директиву iroute в Client specific overrides на впн-сервере.
Зы. Никаких доп. интерфейсов и маршрутов руками.

Desroze

@werter
то есть на shared key работать не будет? Ща попробуем на сертификатах...

werter

@desroze said in Маршрутизация OpenVPN:

@werter
то есть на shared key работать не будет? Ща попробуем на сертификатах...

Я этого не сказал.

Desroze

@werter said in Маршрутизация OpenVPN:

Я этого не сказал.

Ну тем не менее оно почему-то на shared key не роутит.
Итак, я правильно понял, на сервере и на клиенте я создаю одинаковый (в смысле содержимого Certificate data и Certificate Private Key) Certificate Authorities, создаю на сервере Server Certificate и User Certificate.
Затем содержимое User Certificate с сервера копирую на клиента, и при создании туннеля указываю его клиенту, при этом снимаю галку с TLS authentication.
Все верно?

Desroze

В целом, я думаю, будет все гораздо проще если вы меня ткнете мануалом как все это дело настраивается, ато я чет туплю походу, до этого между одинаковыми версиями IPSec нормально работал, и OpenVPN я не пользовал, а ща почему-то разобраться не выходит

Desroze

блин, вот тут чувак как раз создает еще один интерфейс, но при этом маршрутов руками не прописывает, и у него все работает, а у меня точно так же не работает... ЧЯДНТ?

Desroze

Блин, вот вторая тема от меня на этом форуме, и уже на вторую тему мне не могут дать ответ или как-то помочь, вот ведь беда

pigbrother

Вот каноническая инструкция от rubic:
https://forum.netgate.com/topic/53251/openvpn-pki-site-to-site-%D0%B8%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D1%8F-%D0%B4%D0%BB%D1%8F-%D0%BE%D0%B1%D1%81%D1%83%D0%B6%D0%B4%D0%B5%D0%BD%D0%B8%D1%8F
Одно плохо - переезд форума на новый движок покорежил разметку.

@desroze said in Маршрутизация OpenVPN:

чувак как раз создает еще один интерфейс

Интерфейс для OpenVPN, в частности и для вашего случая site-to-site не нужен.

Desroze

@pigbrother said in Маршрутизация OpenVPN:

Вот каноническая инструкция от rubic:
https://forum.netgate.com/topic/53251/openvpn-pki-site-to-site-%D0%B8%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D1%8F-%D0%B4%D0%BB%D1%8F-%D0%BE%D0%B1%D1%81%D1%83%D0%B6%D0%B4%D0%B5%D0%BD%D0%B8%D1%8F
Одно плохо - переезд форума на новый движок покорежил разметку.

@desroze said in Маршрутизация OpenVPN:

чувак как раз создает еще один интерфейс

Интерфейс для OpenVPN, в частности и для вашего случая site-to-site не нужен.

вот то то и оно, не особо разборчива эта инструкция без картинок, на них там половина нагрузки смысловой

pigbrother

@desroze Вот копия из вебархива
https://web.archive.org/web/20130925085058/http://forum.pfsense.org/index.php/topic,59081.0.html
Картинок, правда, тоже нет, но читается лучше.

Desroze

@pigbrother said in Маршрутизация OpenVPN:

@desroze Вот копия из вебархива
https://web.archive.org/web/20130925085058/http://forum.pfsense.org/index.php/topic,59081.0.html
Картинок, правда, тоже нет, но читается лучше.

да видел я это. Там ведь в картинках то описаны настройки сервера, настройки Client Specific Overrides и других пунктов. Были бы они продублированы текстом - не вопрос, а так то толку...

werter

Добрый.

Отличное видео от самого произ-ля для понимания настройки OpenVPN на pfsense. Рекомендую.
Не поленитесь просмотреть до конца.

https://www.youtube.com/watch?v=ku-fNfJJV7w

Desroze

В общем таки разобрался, туннель таки взлетел, но одна проблема таки осталась, может вы чего подскажете, ибо гугл внятного не подсказал (либо я не понял).
Дано:

OpenVPN Server
IP 192.168.72.1
Tunnel IP 192.168.100.1
Сеть за сервером 192.168.72.0/24

OpenVPN Client 
IP 192.168.166.1
Tunnel IP 192.168.100.2
Сеть за сервером 192.168.166.0/24

С самих PF'ов сети я прекрасно пингую в обе стороны. А вот с сетей за ними пинги ходят только до адресов туннеля, дальше туннеля не хотят.
Руками на PF'ах никаких маршрутов не прописывал, хотел было прописать на Centos'е из подсети 166, но что-то пошло не так

[root@aster]# route add -net 192.168.72.0/24 gw 192.168.100.1
SIOCADDRT: Нет такого процесса

при том что с этой машины IP противоположного (тот самый 192.168.100.1) конца я прекрасно пингую. Если пускаю пинг с самого 192.168.166.1 до какого либо из хостов подсети 72 - все ок.
Что я делаю не так?

werter

Добрый.

Никаких маршрутов руками на клиентах. Достаточно указания шлюза в настр. сети (ip пф). И правил на интерфейсах пф (если необходимо). Удаляйте.

На форуме ixbt есть ветка по openvpn. Там на русском хорошо описаны директивы.

P.s. В правилах fw на LAN сервера попробуйте разрешить явно хождение в удаленную сеть. Хотя в 2.4.3 это вроде и не нужно, но все же.

Desroze

@werter said in Маршрутизация OpenVPN:

Добрый.

Никаких маршрутов руками на клиентах. Достаточно указания шлюза в настр. сети (ip пф). И правил на интерфейсах пф (если необходимо). Удаляйте.

На форуме ixbt есть ветка по openvpn. Там на русском хорошо описаны директивы.

P.s. В правилах fw на LAN сервера попробуйте разрешить явно хождение в удаленную сеть. Хотя в 2.4.3 это вроде и не нужно, но все же.

Шлюз указан корректно, в правилах fw два правила, Anti-Lockout Rule и Default allow LAN to any rule. И тем не менее до целевой подсети связи нет

werter

"На форуме ixbt есть ветка по openvpn. Там на русском хорошо описаны директивы. "

Подскажу, для того, чтобы сеть за сервером увидела сеть за клиентом на сервере нужна директива route (ее роль выполняет пункт remote network в настройках сервера)
Наоборот - директива iroute на сервере в настройках Client specific overrides.

Выше описанное касается только туннеля, построенного на сертификатах.

PTZ-M

То же наступил на такие грабли, ток сервером у меня PfSense с сертификатами, а клиентом Zyxel на NDIS.
С Zyxel в сетку за PfSense ходит прекрасно (видать сам OpenVPN разруливает маршруты), а вот в обратку никак.