PfSense 2.4.4-RELEASE-p2 + Mikrotik



  • Доброго времени суток коллеги ✋
    Имеется PfSense (Офис 1)
    wan = DHCP (111.111.111.111)
    lan = 192.168.10.0/24

    на нем поднят VPN Server для windows клиентов
    Tunnel Network 10.10.10.0/24

    Все прекрасно работает все хорошо, все устраивает

    Имеется еще один удаленный офис, так же стоит PfSense (Офис 2)
    wan = 222.222.222.222
    lan = 192.168.1.0/24

    Для него поднят отдельный VPN Server
    Tunnel Network 10.10.1.0/24

    Все работает, все хорошо сети между собой видят друг друга все отлично.

    Имеется 3-й VPN Server для Mikrotika (Офис 3)
    wan = 333.333.333.333
    lan = 192.168.88.0/24
    Tunnel Network 10.20.20.0/24

    Из Офиса 2 (192.168.1.0/24) видно 10.10.10.0/24
    Из Офиса 2 (192.168.1.0/24) не видно 10.20.20.0/24
    Вопрос почему не видно 192.168.1.0/24 > 10.20.20.0/24 ?

    10.10.1.0/24 10.10.1.2 UGS 0 1500 ovpns2
    10.10.1.2 link#9 UH 5883580860 1500 ovpns2
    10.10.10.0/24 10.10.10.2 UGS 202324246 1500 ovpns1
    10.10.10.1 link#8 UHS 0 16384 lo0
    10.10.10.2 link#8 UH 5984845 1500 ovpns1
    10.20.20.0/24 10.20.20.2 UGS 0 1500 ovpns3
    10.20.20.1 link#10 UHS 0 16384 lo0
    10.20.20.2 link#10 UH 0 1500 ovpns3
    127.0.0.1 link#5 UH 6078 16384 lo0
    192.168.1.0/24 10.10.1.2 UGS 185056 1500 ovpns2
    192.168.10.0/24 link#1 U 1880130777 1500 em0
    192.168.10.250 link#1 UHS 780 16384 lo0



  • Добрый день! Было бы интересно посмотреть таблицы маршрутов на PfSense (Офис 2) и микротике.



  • @vladimirlind
    Офис 2
    default 10.10.1.1 UGS 3111842600 1500 ovpnc1
    10.10.1.1 link#8 UH 0 1500 ovpnc1
    10.10.1.2 link#8 UHS 23 16384 lo0
    127.0.0.1 link#4 UH 3038 16384 lo0
    192.168.1.0/24 link#2 U 6616085726 1500 vr0
    192.168.1.1 link#2 UHS 0 16384 lo0
    192.168.10.0/24 10.10.1.1 UGS 493814 1500 ovpnc1
    192.168.10.250 10.10.1.1 UGHS 7299453 1500 ovpnc1

    Маршрута на 10.10.10.0/24 нет, но сеть видна



  • Ок, на PfSense (Офис 2) дефолт смотрит в туннель. А на микротике?





  • На микротике нет маршрута к 192.168.1.0/24 через ovpn
    Может, ему сообщить маршрут на сервере для микротика с помощью remote network. Либо локально на микротике установить маршрут.



  • @vladimirlind Без имени-2.jpg
    И задал по дефолту VPN маршрут



  • по дефолту не очень хорошо ставить маршрут в опенвпн - все-таки есть действующий на WAN , которым, в частности, пользуется и опенвпн клиент на микротике. Ну и статус unreachable говорит сам за себя.



  • @vladimirlind сказал микротику что 192.168.1.0/24 за ovpn-out
    С микротика (192.168.88.0/24) пинги пошли на Офис 2 (192.168.1.0/24)
    А вот как теперь сказать PfSense (192.168.1.0/24) что есть сеть 192.168.88.0/24



  • на сервере для pfsense (офис 2) в окошке remote networks поставьте 192.168.88.0/24 и переподключитесь к серверу.



  • @vladimirlind Без имени-1.jpg
    К каком именно окошке прописать?
    На сервере или клиенте?23.jpg



  • Да, раз у нас режим пир-ту-пир, то лучше на клиенте Офис 2 192.168.88.0/24 поместите в remote networks.
    А на сервере для микротике на офис 1 поставьте 192.168.88.0/24 тоже в remote networks.



  • @vladimirlind
    remote networks 192.168.10.0/24;192.168.88.0/24 Так?



  • @Mister511 said in PfSense 2.4.4-RELEASE-p2 + Mikrotik:

    remote networks 192.168.10.0/24;192.168.88.0/24 Так?

    на клиенте офис 2 - да.

    на сервере для микрота только 192.168.88.0/24



  • @vladimirlind
    192.168.88.0/24 10.10.1.1 UGS 12 1500 ovpnc1
    Сделал, маршрут на клиенте прописался но пинга на 192.168.88.0/24 нет



  • А на сервере для микротика 192.168.88.0/24 в remote networks добавили?

    192.168.88.0/24 есть в маршрутах на офис 1?



  • @vladimirlind А на сервере для микротика 192.168.88.0/24 в remote networks добавили? Да
    192.168.88.0/24 10.20.20.2 UGS 0 1500 ovpns3
    Прописался маршрут



  • @vladimirlind сервер микротика server mikrotik.jpg
    Клиент офиса 2
    client office2.jpg



  • В качестве source для пинга что берете на офис 2? Укажите интерфейс Lan c 192.168.1.x
    Или вы с хоста в 192.168.1.0/24 пингуете?



  • @vladimirlind ping.jpg с PfSense и с хоста



  • вы укажите все-таки source address LAN в пинге, и смотрите в это время diagnostic>packet capture на офис 1 интерфейсах openvpn с фильтром icmp - есть ли пинги от офис 2.



  • @vladimirlind said in PfSense 2.4.4-RELEASE-p2 + Mikrotik:

    вы укажите все-таки source address LAN в пинге

    Не понял ☹



  • в Diagnostics>ping видно, что можно задать source address - третья строчка сверху



  • @Mister511
    Имеется в виду ping из Web интерфейса
    Я бы тоже порекомендовал использовать Packet capture или tcpdump , чтобы понять , где пакеты теряются



  • @Mister511 Кстати,
    Правила проверьте пож на интерфейсах , возможно , где-то блок может стоять



  • @vladimirlind
    14:49:36.802711 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5091, length 8
    14:49:36.844755 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5091, length 8
    14:49:37.216011 IP 10.20.20.2 > 192.168.1.10: ICMP echo request, id 6499, seq 2425, length 36
    14:49:37.216229 IP 192.168.1.10 > 10.20.20.2: ICMP echo reply, id 6499, seq 2425, length 36
    14:49:37.304403 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5092, length 8
    14:49:37.346351 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5092, length 8
    14:49:37.804719 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5093, length 8
    14:49:37.846703 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5093, length 8
    14:49:38.215580 IP 10.20.20.2 > 192.168.1.10: ICMP echo request, id 6499, seq 2426, length 36
    14:49:38.215769 IP 192.168.1.10 > 10.20.20.2: ICMP echo reply, id 6499, seq 2426, length 36
    14:49:38.306701 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5094, length 8
    14:49:38.348634 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5094, length 8
    14:49:38.808332 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5095, length 8
    14:49:38.850155 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5095, length 8
    14:49:39.214939 IP 10.20.20.2 > 192.168.1.10: ICMP echo request, id 6499, seq 2427, length 36
    14:49:39.215166 IP 192.168.1.10 > 10.20.20.2: ICMP echo reply, id 6499, seq 2427, length 36
    14:49:39.309698 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5096, length 8
    14:49:39.352356 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5096, length 8

    Я так понимаю они доходят до 10.20.20.2
    но 10.20.20.2 это интерфейс vpn на микротике



  • @Mister511
    Можно попробовать так сделать (пинг)

    1. 192.168.1.10 > 10.10.1.1
    2. 192.168.1.10 > 10.20.20.1
    3. 192.168.1.10 > 10.20.20.2
    4. 192.168.1.10 > 192.168.88.x

    на каком из тестов идет затык ?



  • @Konstanti
    192.168.1.10 > 10.20.20.2 -затык
    192.168.1.10 это хост (PC)



  • This post is deleted!


  • @Konstanti маршрут есть с 192.168.88.0 на 192.168.1.10 есть пинг
    А вот на оборот нет



  • @Mister511 said in PfSense 2.4.4-RELEASE-p2 + Mikrotik:

    192.168.1.10 > 10.20.20.2 -затык

    может, у микрота фаервольное правило на овпн висит



  • @vladimirlind тоже так думал, nat чистый rules тоже чистый



  • @vladimirlind 10.10.1.2 > 192.168.88.1: ICMP echo request, id 53656, seq 9, length 64



  • вы главное убедитесь с помощью Packet capture на интерфейсе ovpn сервера микротика, что пинги из 192.168.1.х уходит к 192.168.88.х
    Пока не совсем ясно, где затык. Надо послушать трафик на всех интерфейсах по пути следования.

    Хотя мне кажется, что микротик не впускает. В обратную сторону ведь все пингуется.



  • @vladimirlind said in PfSense 2.4.4-RELEASE-p2 + Mikrotik:

    Пока не совсем ясно, где затык

    Ясность появится, если с 192.168.1.10 запустить tracert -d 192.168.88.X



  • @vladimirlind
    На всякий случай выложу настройки сервера микротика 1.jpg 2.jpg 3.jpg 4.jpg 5.jpg

    Client Specific Overrides
    6.jpg 7.jpg

    Если не прописать эти настройки в Client Specific Overrides то не будет пинга с сервера (192.168.10.0 на 192.168.88.0)



  • @werter
    C:\Users\Admin>tracert -d 192.168.88.199

    Трассировка маршрута к 192.168.88.199 с максимальным числом прыжков 30

    1 <1 мс <1 мс <1 мс 192.168.1.1
    2 42 ms 42 ms 42 ms 10.10.1.1
    3 * * * Превышен интервал ожидания для запроса.
    4 * * * Превышен интервал ожидания для запроса.
    5 ^CБез име10ни-1.jpg



  • У 192.168.88.199 шлюзом ДОЛЖЕН стоять ЛАН-адрес его МТ. Это так? Проверили?

    Таблицу маршрутизации на пф в Офис 2 покажите



  • @werter
    192.168.88.199 -это хост в сети 192.68.88.x

    Правильно ли я вас понял у хоста 192.168.88.199 шлюз 192.168.88.1 Если да, то так и есть

    default 10.10.1.1 UGS 9596330 1500 ovpnc1
    10.10.1.1 link#8 UH 0 1500 ovpnc1
    10.10.1.2 link#8 UHS 0 16384 lo0
    127.0.0.1 link#4 UH 3038 16384 lo0
    192.168.1.0/24 link#2 U 6646462589 1500 vr0
    192.168.1.1 link#2 UHS 0 16384 lo0
    192.168.10.0/24 10.10.1.1 UGS 1333 1500 ovpnc1
    192.168.10.250 10.10.1.1 UGHS 19104 1500 ovpnc1
    192.168.88.0/24 10.10.1.1 UGS 191 1500 ovpnc1



  • @Mister511 said in PfSense 2.4.4-RELEASE-p2 + Mikrotik:

    192.168.10.250 10.10.1.1 UGHS 19104 1500 ovpnc1

    Лишнее. Он и так ,все к 192.168.10.0/24 в ovpnc1 заворачивает. Откуда этот роут взялся? Удалите его.

    Получается, что пакет для 192.168.88.0/24 приходит на 10.10.1.1. Но далее 10.10.1.1 или не знает, куда дальше его отправлять или что-то (10.10.10.1 или МТ ) его блокирует .

    Шальная мысль. Попробуйте перезагрузить все ТРИ железки. И попробовать снова.


Log in to reply