Маршрутизация между удаленными офисами ч

Catfish34

Помогите пожалуйста разобраться.
Вся инфраструктура построена на:

2.0.1-RELEASE (i386)
built on Mon Dec 12 18:24:17 EST 2011
FreeBSD 8.1-RELEASE-p6

Есть центральный офис компании и несколько филиалов. Филиалы подключены к центральному офису по средствам OpenVPN туннеля. Все хорошо работает компы в филиалах "видят" сервера и компы в центральном офисе, и наоборот, но не "видят" друг друга.
Не могу понять как прописать маршрут на маршрутизаторе центрального офиса чтобы все заработало.
Реально ли такое вообще? Или не париться а кинуть туннели между всеми филиалами?

Таблица маршрутизации и схема вложены.

map.JPG_thumb

route.JPG_thumb

dvserg

Ваши филиалы должны при подключении получить настройки маршрутов друг к другу. Посмотрите настройки OpenVPN Server/Client Advanced.

Catfish34

Вот! я тоже так подумал.
И прописал туда маршрут к второму филиалу… но увы не работает почему-то...((

Вот подробный пример.
192.168.10.0/24 - локалка моего центрального офиса.
192.168.22.0/24 - локалка первого фиолиала
192.168.33.0/24 - локалка второго филиала

Роутер центрального офиса - клиент. на филиалах настроены сервера OpenVPN.
И на филиалах в поле Advanced прописан маршрут к центральному офису.
Вот такой:
route 192.168.10.0 255.255.255.0;

В поле Advanced центрального офиса ничего не прописано.
И все работает. Центральный офис пингует филиалы и наоборот.

Но хочется чтобы филиалы пинговали друг друга через центральный офис.

Для этого в поле Advanced одного из филиалов(192.168.33.0/24) прописываю маршрут к другому филиалу.
route 192.168.22.0 255.255.255.0; типа к сети 192.168.22.0 ходить через туннель OpenVPN.

Но не работает!
Трассировка маршрута показывает что маршрут идет через ip 192.168.33.1 потом через 192.168.60.2 и на этом все.

192.168.60.0/30 - Tunnel Network

werter

2 Сatfish34

В настройках серверов раскоментировано client-to-client ?

Uncomment out the client-to-client directive if you would like connecting clients to be able to reach each other over the VPN. By default, clients will only be able to reach the server

http://openvpn.net/index.php/open-source/documentation/howto.html

И это :

Роутер центрального офиса - клиент. на филиалах настроены сервера OpenVPN.

Я бы все-таки поднял сервер в центральном офисе, а филиалы - клиентами.
P.s. Как вариант, в центральном на pf включается PPTP-сервер , а филиалы коннектятся к нему клиентами. Тогда уж точно будет одна большая сетка. При прописывание правил в fw, естественно.

dvserg

@Catfish34:

В поле Advanced центрального офиса ничего не прописано.
И все работает. Центральный офис пингует филиалы и наоборот.

Но хочется чтобы филиалы пинговали друг друга через центральный офис.

Для этого в поле Advanced одного из филиалов(192.168.33.0/24) прописываю маршрут к другому филиалу.
route 192.168.22.0 255.255.255.0; типа к сети 192.168.22.0 ходить через туннель OpenVPN.

Но не работает!
Трассировка маршрута показывает что маршрут идет через ip 192.168.33.1 потом через 192.168.60.2 и на этом все.

192.168.60.0/30 - Tunnel Network

Наверное другой офис тоже должен знать куда слать ответ? Там пробовали обратный маршрут писать?

remark

Я столкнулся еще с тем, что pfSense, на котором стоит сервер OpenVPN, при определенных условиях выполняет NAT OpenVPN-клиентов, пропуская их в LAN-сеть. Соответственно, эти клиенты хосты в LAN пингуют, а хосты из LAN OpenVPN-клиентов пинговать не могут.
Я боролся с этим, когда нужно было пропустить SIP по туннелю OpenVPN. По-моему, вылечилось заменой интерфейса tun на tap.
Но может, это кривые правила были виноваты?

Catfish34

Наверное другой офис тоже должен знать куда слать ответ? Там пробовали обратный маршрут писать?

Спасибо огромное dvserg!!! Это и был затуп.
Как только прописал на другом конце обратный маршрут все заработало.

Я бы все-таки поднял сервер в центральном офисе, а филиалы - клиентами.

Я так поначалу и сделал - как-то оно логичнее так. Но у меня на Центральном офисе 2 канала связи. Как только пропадает основной туннели должны автоматически перепрыгивать на бекапный канал. Но как я понял при схеме когда в центральном офисе сервер а на филиалах клиенты такое реализовать пока не возможно… Ибо нету где указать клиенту что если не получается подключиться по первому айпишнику пробовать конектится к другому. Или я опять ошибаюсь?

dvserg

@Catfish34:

Я так поначалу и сделал - как-то оно логичнее так. Но у меня на Центральном офисе 2 канала связи. Как только пропадает основной туннели должны автоматически перепрыгивать на бекапный канал. Но как я понял при схеме когда в центральном офисе сервер а на филиалах клиенты такое реализовать пока не возможно… Ибо нету где указать клиенту что если не получается подключиться по первому айпишнику пробовать конектится к другому. Или я опять ошибаюсь?

Воспользуйтесь двумя простыми правилами:

Не трогать то, что работает;
Лучшее враг хорошего.