Navigation

    Netgate Discussion Forum
    • Register
    • Login
    • Search
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search

    Openvp Server+ipsec маршрутизация за тоннелями

    Russian
    4
    27
    349
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • A
      Avant last edited by

      Парни, привет.
      Не имел раньше дел с openvpn, не знаю как верно настроить

      1. Есть сервер для доступа клиентов, подключаясь они видят сеть за pfsense (пусть будет 192.168.103.0/24)
      2. Есть тоннели на голом ipsec, маршрутизируются и всё хорошо (сетей много, скажем 192.168.1.0/24)

      как заставить клиентов подключившихся к openvpn серверу видеть всё что дальше за тоннелем, ту же сеть 192.168.1.0/24?

      в настройках для пользователей указывал сети, толку 0

      werter 1 Reply Last reply Reply Quote 0
      • werter
        werter @Avant last edited by werter

        Добрый
        @avant
        Тип овпн?
        Сети клиентам можно пушить:

        1. На овпн-сервере. В вашем случае это Local networks
        2. Или в настройках клиентов в их конфиг-файлах прописывать "route ...."

        И это еще не всё. В настройках ipsec нужно создавать phase 2 столько раз, скольким овпн-клиентам нужен доступ в сеть за Ipsec туннелем.

        Надеюсь, понятно объяснил )

        Зы. Отписал Вам в ЛС.
        Зы2. Правый верхний угол гляньте. Там значок Чата.

        A 1 Reply Last reply Reply Quote 1
        • A
          Avant @werter last edited by Avant

          @werter Привет!
          В общем не взлетает конфа, маршруты прописаны на всех концах тоннелей,

          1.JPG
          2.JPG

          на скрине сеть 10.10.190.0/24 это opvp клиенты

          werter 2 Replies Last reply Reply Quote 0
          • werter
            werter @Avant last edited by werter

            @avant
            В Локал нетворк на овпн пихаем и сети ЗА ipsec
            В Ремоут сабнет Локал сабнет на ипсек пихаем овпн-сети овпн-клиентов. Не сети ЗА овпн-клиентами!

            маршруты прописаны на всех концах тоннелей,

            Не руками, надеюсь?

            Зы. Интересно, а в ипсек можно пользовать алиасы из fw ? Чтобы не писать 100500 Phase 2.

            Зы2. Попробуйте с ОДНИМ овпн-клинентом и ОДНОЙ Phase 2 поработать. Удалите остальные фазы касаемо овпн + ipsec пока что.

            A 1 Reply Last reply Reply Quote 0
            • werter
              werter @Avant last edited by

              @avant

              И скрины fw на ЛАН, ОВПН, ИПСЕК покажите еще.

              werter 1 Reply Last reply Reply Quote 0
              • werter
                werter @werter last edited by werter

                https://redmine.pfsense.org/issues/946
                Так и не реализовали (

                Если 100500 сетей в Фазе 2, то можно выгрузить конфиг, руками добавить и загрузить конфиг.

                1 Reply Last reply Reply Quote 0
                • A
                  Avant @werter last edited by Avant

                  @werter

                  @werter said in Openvp Server+ipsec маршрутизация за тоннелями:

                  @avant
                  В Локал нетворк на овпн пихаем и сети ЗА ipsec
                  В Ремоут сабнет Локал сабнет на ипсек пихаем овпн-сети овпн-клиентов. Не сети ЗА овпн-клиентами!

                  маршруты прописаны на всех концах тоннелей,

                  Не руками, надеюсь?

                  Зы. Интересно, а в ипсек можно пользовать алиасы из fw ? Чтобы не писать 100500 Phase 2.

                  Зы2. Попробуйте с ОДНИМ овпн-клинентом и ОДНОЙ Phase 2 поработать. Удалите остальные фазы касаемо овпн + ipsec пока что.

                  дело в том, что я увязываю лютый зоопарк в виде pfsense-kerio control-mikrotik
                  все маршруты везде руками, пока победил связку pfsense-kerio control видна подсеть для ovpn клиентов, но вот следующий KERIO(который pfsense-kerio-KERIO уже не видет подсеть- ковыряюсь) ovpn клиенты так и не видят ничего кроме самого шлюза к которому подключаются

                  1.JPG

                  2.JPG

                  3.JPG

                  4.JPG

                  P 1 Reply Last reply Reply Quote 0
                  • P
                    pigbrother @Avant last edited by pigbrother

                    @avant said in Openvp Server+ipsec маршрутизация за тоннелями:

                    пока победил связку pfsense-kerio

                    Вдруг пригодится. Когда-то делал
                    IPSEC site-to-site между pfSense 2.3.2 и Kerio Control

                    https://forum.netgate.com/topic/104037/ipsec-site-to-site-%D0%BC%D0%B5%D0%B6%D0%B4%D1%83-pfsense-2-3-2-%D0%B8-kerio-control
                    Именно site-to-site. Без указания маршрутов вручную.

                    И да, для каждой сети, которую знает OVPN-сервер(ы) писал 2-ю фазу.

                    Микротик-Керио site-to-site тоже делал. Вдруг пригодится тоже.
                    Использовал это:
                    https://habr.com/ru/post/216215/

                    1 Reply Last reply Reply Quote 1
                    • werter
                      werter last edited by werter

                      @Avant

                      А l2tp зачем? Можно же чистый ikev2 настроить. Или керио не умеет?

                      Зы. Умеет https://support.keriocontrol.gfi.com/hc/en-us/articles/360015190099-Enabling-IKEv2-Support-in-Kerio-Control

                      1 Reply Last reply Reply Quote 0
                      • A
                        Avant last edited by Avant

                        всё конечно здорово, но ovpn клиенты не видят всё что за ipsec тоннелями, перепробовал уже просто всё, даже новую виртуалку развернул, у клиентов в роутинге сети все есть, но по факту не работает, понятно что затык либо на первом шлюзе куда они подключаются, либо дальше........
                        причем сейчас сделал site-ti-site на голом ipsec между двумя pfsense, но и это не помогло

                        viktor_g werter 2 Replies Last reply Reply Quote 0
                        • viktor_g
                          viktor_g Netgate @Avant last edited by

                          @avant said in Openvp Server+ipsec маршрутизация за тоннелями:

                          всё конечно здорово, но ovpn клиенты не видят всё что за ipsec тоннелями, перепробовал уже просто всё, даже новую виртуалку развернул, у клиентов в роутинге сети все есть, но по факту не работает, понятно что затык либо на первом шлюзе куда они подключаются, либо дальше........
                          причем сейчас сделал site-ti-site на голом ipsec между двумя pfsense, но и это не помогло

                          Сделайте packet capture на OpenVPN и IPsec интерфейсах, посмотрите где затык

                          Не исключено что напоролись на https://redmine.pfsense.org/issues/7801
                          если это всё-таки этот баг, то можете попробовать патч 230.diff
                          но аккуратно, патч ещё недостаточно протестирован,
                          сделайте резервную копию на всякий случай

                          см. https://docs.netgate.com/pfsense/en/latest/development/system-patches.html

                          1 Reply Last reply Reply Quote 0
                          • werter
                            werter @Avant last edited by werter

                            Добрый
                            @avant

                            у клиентов в роутинге сети все есть

                            1. Покажите таблицу маршрутизации на подключенном овпн-клиенте (route print в Win).
                            2. Покажите на этом же клиенте вывод:
                              tracert -d <ip-в-удаленной-сети-за-ip-sec>

                            Зы. Есть еще вариант. Попробуйте привести к одному виду размер MTU и на овпн и на ипсек. Установите в обоих случаях размер mtu в 1200-1300 байт.
                            Зы2. Может с НАТом поиграться на пф?

                            A 1 Reply Last reply Reply Quote 0
                            • A
                              Avant @werter last edited by Avant

                              @werter

                              @werter said in Openvp Server+ipsec маршрутизация за тоннелями:

                              Добрый
                              @avant

                              у клиентов в роутинге сети все есть

                              1. Покажите таблицу маршрутизации на подключенном овпн-клиенте (route print в Win).
                              2. Покажите на этом же клиенте вывод:
                                tracert -d <ip-в-удаленной-сети-за-ip-sec>

                              Зы. Есть еще вариант. Попробуйте привести к одному виду размер MTU и на овпн и на ипсек. Установите в обоих случаях размер mtu в 1200-1300 байт.
                              Зы2. Может с НАТом поиграться на пф?

                              хорошо всё c маршрутами

                              route.JPG

                              110 сеть, это куда подключается ovpn клиент, следовательно тоннельная адресация 10.10.193.0/24
                              103 сеть, это которая за ipsec тоннелем

                              вот tracert, не понятно почему тут внешние ip светятся?

                              tracert.JPG

                              werter 1 Reply Last reply Reply Quote 0
                              • werter
                                werter @Avant last edited by werter

                                @avant

                                вот tracert, не понятно почему тут внешние ip светятся?

                                В трасере после 10,10,193,1 след адресом должен быть 192.168.103.2
                                А получается, что трафик дальше в инет пошел.

                                Что за железка 10,10,193,1? За нею точно сеть 192.168.103.х живет?
                                Что шлюзом в настройках у 192.168.103.2?

                                Зы. Вы что-то в хецнере крутите? Там пф развернут?

                                A 1 Reply Last reply Reply Quote 0
                                • A
                                  Avant @werter last edited by Avant

                                  @werter said in Openvp Server+ipsec маршрутизация за тоннелями:

                                  В трасере после 10,10,193,1 след адресом должен быть 192.168.103.2
                                  А получается, что трафик дальше в инет пошел.
                                  Что за железка 10,10,193,1? За нею точно сеть 192.168.103.х живет?
                                  Что шлюзом в настройках у 192.168.103.2?

                                  вот схема с адресацией

                                  net.jpg

                                  кстати тут шлюз не надо прописывать? т.е себя же
                                  lan.JPG

                                  werter 1 Reply Last reply Reply Quote 0
                                  • werter
                                    werter @Avant last edited by

                                    @avant

                                    кстати тут шлюз не надо прописывать? т.е себя же

                                    Не надо.

                                    А какая адресация в ипсек-сети между пф?

                                    A 1 Reply Last reply Reply Quote 0
                                    • A
                                      Avant @werter last edited by Avant

                                      @werter

                                      ipsec.JPG

                                      werter 1 Reply Last reply Reply Quote 0
                                      • werter
                                        werter @Avant last edited by werter

                                        @avant
                                        Попробуйте Mode=Ipsec VTI. Между пф-ми его можно настроить. В доках пф про него есть.
                                        Может оно вам подойдет.

                                        1 Reply Last reply Reply Quote 0
                                        • A
                                          Avant last edited by Avant

                                          попробовал сейчас с самих pf пинговать подсети друг друга(при поднятных ipsec тоннелях) и они друг друга не видят, машины за ними видят подсети, не в этом ли дело, что opvpn клиенты не видят подсети за тоннелями?

                                          кстати когда прописываю фазу два и подсеть для ovpn клиентов, между pf она не поднимается

                                          werter 2 Replies Last reply Reply Quote 0
                                          • werter
                                            werter @Avant last edited by

                                            @avant

                                            попробовал сейчас с самих pf пинговать подсети друг друга(при поднятных ipsec тоннелях) и они друг друга не видят,

                                            Там можно выбрать принудительно с какого интерфейса пинговать. Попробуйте.

                                            1 Reply Last reply Reply Quote 0
                                            • werter
                                              werter @Avant last edited by werter

                                              @avant

                                              В Локал нетворк овпн на овпн-сервере пихаем локальную сеть и лок. сет(ь)и за ipsec.
                                              В Локал сабнет ипсек в фазе2 на овпн-сервере пихаем локальную сеть и овпн-сеть(и). Не сети за овпн-клиентами.

                                              В Ремоут сабнет ипсек в фазе2 на ипсек-клиенте пихаем лок. сеть овпн-сервера и овпн-сеть(и) клиентов. Не сети за овпн-клиентами.

                                              A 2 Replies Last reply Reply Quote 0
                                              • A
                                                Avant @werter last edited by

                                                This post is deleted!
                                                1 Reply Last reply Reply Quote 0
                                                • A
                                                  Avant @werter last edited by

                                                  @werter said in Openvp Server+ipsec маршрутизация за тоннелями:

                                                  В Ремоут сабнет ипсек в фазе2 на ипс

                                                  так всё и сделано, но фаза2 с сетью для ovpn клиента не поднимается

                                                  werter 1 Reply Last reply Reply Quote 0
                                                  • werter
                                                    werter @Avant last edited by werter

                                                    @avant
                                                    Что в логах при этом?
                                                    Может надо объявить овпн-интерфейс явно?

                                                    Попробуйте IPSEC VTI между пф.
                                                    https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/routed-vti.html
                                                    В нем руками маршруты рисовать можно. Похоже, что это решит проблему с неподнятием фазы2 для овпн.

                                                    Или ospf\bgp настроить для динамической марш-ции ) Заодно и опыт получите.

                                                    A 1 Reply Last reply Reply Quote 0
                                                    • A
                                                      Avant @werter last edited by

                                                      @werter said in Openvp Server+ipsec маршрутизация за тоннелями:

                                                      Или ospf\bgp настроить для динамической марш-ции ) Заодно и опыт получите.

                                                      ospf у меня давно трудится на микротиках ;)

                                                      werter 1 Reply Last reply Reply Quote 0
                                                      • werter
                                                        werter @Avant last edited by

                                                        @avant

                                                        ospf у меня давно трудится на микротиках ;)

                                                        Тогда тем более.

                                                        1 Reply Last reply Reply Quote 0
                                                        • A
                                                          Avant last edited by

                                                          Вобщем всё настроил, всё работает, основная проблема была в моей топологии(звезда) и не верной схемы маршрутизации(не внимательность + не верно понял логику маршрутизации)
                                                          Были еще мелкие косяки, пинговал шлюзы изнутри, а правила были кривые и они тупо не пинговались(опять таки не внимательность)
                                                          Заработала нормально маршрутизация и с ovpn клиентами(алилуя))))!
                                                          Всем спасибо за уделённое время(особенно @werter ;)

                                                          1 Reply Last reply Reply Quote 0
                                                          • First post
                                                            Last post