OpenVpn Ayuda….!!!!



  • Estimados, necesito imperiosamente de su ayuda con OpenVPN. Paso a comentarles cual es el problema, los pasos que he seguido y cual es la falla:

    Necesidad:

    Cliente OpenVPN–----pfsense BOX con Openvpn cliente----(ADSL)--->Internet<------Firewall Linux + Openvpn-----(Lan)

    La configuracion desde el Firewall Linux en adelante anda perfecto, el problema solo lo tengo con PFSense.
    La necesidad es cambiar un equipo con linux en clientes, para que puedan ingresar a la empresa y darles a los administradores el beneficio de una interfaces gráfica.

    Al dia de hoy, todo funciona perfecto, cuando quiero hacer esto con pfsense, no puedo llegar a la LAN.

    Una aclaracion:

    WAN (wan)                -> bge0      -> 192.168.3.3
      LAN (lan)                -> rl0        -> 192.168.1.1
      DMZ (opt1)                -> xl0        -> 10.1.1.1
      VPN (opt2)                -> ovpnc1    -> 192.168.100.10

    El tutorial que he seguido es este:
    http://forum.pfsense.org/index.php?topic=29944.0

    El cual desde la caja pfsense, llego a toda la LAN, el problema lo tengo antes de la caja y no doy con el.

    Si hago un pin desde pf veo esto con un tcpdump:

    [2.0.2-RELEASE][;)]/root(4): tcpdump 'icmp[icmptype] = icmp-echo'
    15:41:41.501576 IP 192.168.3.3 > 192.168.3.1: ICMP echo request, id 39460, seq 3328, length 44

    64 bytes from 192.168.16.250: icmp_seq=154 ttl=62 time=209.689 ms

    Perfecto, llega el ping.
    Adjunto un ifconfig

    [2.0.2-RELEASE][;)]/root(5): ifconfig
    bge0: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
            options=c009b <rxcsum,txcsum,vlan_mtu,vlan_hwtagging,vlan_hwcsum,vlan_hwtso,linkstate>inet 192.168.3.3 netmask 0xffffff00 broadcast 192.168.3.255
            nd6 options=43 <performnud,accept_rtadv>media: Ethernet autoselect (100baseTX <full-duplex>)
            status: active
    rl0: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
            options=8 <vlan_mtu>inet 192.168.1.1 netmask 0xffffff00 broadcast 192.168.1.255
            nd6 options=43 <performnud,accept_rtadv>media: Ethernet autoselect (100baseTX <full-duplex>)
            status: active
    xl0: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
            options=80009 <rxcsum,vlan_mtu,linkstate>inet 10.1.1.1 netmask 0xffffff00 broadcast 10.1.1.255
            nd6 options=43 <performnud,accept_rtadv>media: Ethernet autoselect (100baseTX <full-duplex>)
            status: active
    plip0: flags=8810 <pointopoint,simplex,multicast>metric 0 mtu 1500
    pfsync0: flags=0<> metric 0 mtu 1460
            syncpeer: 224.0.0.240 maxupd: 128 syncok: 1
    pflog0: flags=100 <promisc>metric 0 mtu 33200
    enc0: flags=0<> metric 0 mtu 1536
    lo0: flags=8049 <up,loopback,running,multicast>metric 0 mtu 16384
            options=3 <rxcsum,txcsum>inet 127.0.0.1 netmask 0xff000000
            inet6 ::1 prefixlen 128
            nd6 options=43 <performnud,accept_rtadv>ovpnc1: flags=8051 <up,pointopoint,running,multicast>metric 0 mtu 1500
            options=80000 <linkstate>inet 192.168.100.10 –> 192.168.100.9 netmask 0xffffffff
            nd6 options=43 <performnud,accept_rtadv>Opened by PID 3006

    Algo que aqui no entiendo es lo siguiente, mi direccion WAN es 192.168.3.3 es una ip interna de mi ADSL, el ping no deberia salir por el ovpnc1...?

    He creado como me indica el tutorial un regla con el gateway de la VPN

    ID Proto Source Port Destination Port Gateway Queue Schedule Description

    • LAN net * 192.168.16.0/24 * VPN         none           Lan
                      *         LAN net * *                 * WANGW none           Default allow LAN to any rule

    Y he creado el Gateway, segun el tuto.

    Desde ya agradezco su ayuda de antemano.</performnud,accept_rtadv></linkstate></up,pointopoint,running,multicast></performnud,accept_rtadv></rxcsum,txcsum></up,loopback,running,multicast></promisc></pointopoint,simplex,multicast></full-duplex></performnud,accept_rtadv></rxcsum,vlan_mtu,linkstate></up,broadcast,running,simplex,multicast></full-duplex></performnud,accept_rtadv></vlan_mtu></up,broadcast,running,simplex,multicast></full-duplex></performnud,accept_rtadv></rxcsum,txcsum,vlan_mtu,vlan_hwtagging,vlan_hwcsum,vlan_hwtso,linkstate></up,broadcast,running,simplex,multicast>



  • Agrego algo mas, esto es lo que no puedo entender….

    [2.0.2-RELEASE][;)]/root(6):  pfctl -s nat
    no nat proto carp all
    nat-anchor "natearly/" all
    nat-anchor "natrules/
    " all
    nat on bge0 inet from 192.168.1.0/24 port = isakmp to any port = isakmp -> 192.168.3.3 port 500
    nat on bge0 inet from 10.1.1.0/24 port = isakmp to any port = isakmp -> 192.168.3.3 port 500
    nat on bge0 inet from 127.0.0.0/8 port = isakmp to any port = isakmp -> 192.168.3.3 port 500
    nat on bge0 inet from 192.168.1.0/24 to any -> 192.168.3.3 port 1024:65535
    nat on bge0 inet from 10.1.1.0/24 to any -> 192.168.3.3 port 1024:65535
    nat on bge0 inet from 127.0.0.0/8 to any -> 192.168.3.3 port 1024:65535
    no rdr proto carp all
    rdr-anchor "relayd/" all
    rdr-anchor "tftp-proxy/
    " all
    rdr-anchor "miniupnpd" all

    para llegar al rango 192.168.1.0/24 debería salir por 192.168.100.10, nunca por 192.168.3.3, la 192.168.3.3 es mi interface WAN, no mi interface vpn….

    Por favor, pido su ayuda. Gracias.



  • Hola.

    Un favor, checa este tuto, saludos!!!

    http://pheriko.blogspot.mx/2011/07/pfsense-20.html



  • Gracias, ya lo miro.



  • Hola, he revisado cuidadosamente tu tutorial y he seguido las instrucciones al pie. Pero sigue sin funcionar….!!!
    Con la diferencia que ahora, sin definir una interface y un gateway, no llego desde el server pfsense.

    Tengo algunas preguntas, si podes ayudarme te lo agradecería.

    1. porque no has definido una interface...?
    2. si no tienes una interface, como enmascaro el trafico por el tunel...?

    Esta es mi lista de rutas, las cuales se definen cuando el tunel se crea.

    [2.0.2-RELEASE][;)]/root(16): netstat -anr
    Routing tables

    Internet:
    Destination        Gateway            Flags    Refs      Use  Netif Expire
    default            192.168.3.1        UGS        0    17086  bge0
    127.0.0.1          link#8            UH          0      723    lo0
    192.168.1.0/24    link#2            U          0    24489    rl0
    192.168.1.1        link#2            UHS        0        0    lo0
    192.168.3.0/24    link#1            U          0    5682  bge0
    192.168.3.3        link#1            UHS        0        0    lo0
    192.168.16.0/24    192.168.100.9      UGS        0      333 ovpnc1
    192.168.17.0/24    192.168.100.9      UGS        0        0 ovpnc1
    192.168.100.0/24  192.168.100.9      UGS        0        0 ovpnc1
    192.168.100.9      link#9            UH          0        0 ovpnc1
    192.168.100.10    link#9            UHS        0        0    lo0

    este es un tcpdump de un ping desde la caja pfsense hacia una ip del tunel, como veras desde pfsense, tengo las rutas, pero no puedo hacer ping al destino.
    Desde los clientes, tampoco funciona.



    1. porque no has definido una interface…?

    Pfsense por default toma la wan como interface para openvpn.

    Oyes una pregunta, si tienes abierta las reglas para permitir el trafico entre pfsense y tu otra red? pfsense te abre una interface donde se colocan las reglas que permiten trafico entre las redes que deseas comunicar, por default estan cerradas, nada va a cruzar y del otro lado que dices es un linux igual.

    Quien viene siendo el server openvpn, pfsense o tu linux?

    Mira veo que estas en linea, si gustas mandame un mensaje privado, tengo mi gtalk abierto y podemos entablar una comunicacion y a lo mejor sacamos la bronca mas facil.

    Como vez?



  • perfecto, te he enviado un post personal.
    Mil gracias por tu ayuda, prometo hacer un tuto de esto.
    Abz



  • periko, te cuento por aqui un poco mas…

    Mi server VPN en un linux con shorewall, este atiende a varios clientes OpenVPN y anda perfecto.
    De hecho, la configuracion y los certificados los saco de mi maquina, la cual tiene permisos full, obvio para pruebas.
    Pero con mis certificados, te da una ip que no tiene restricciones del lado Servidor.

    Ahora desde el cliente nuevo, la caja pfsense con los mismos certificados, puedo hacer ping a toda la red, donde esta el linux. Pero detras de la caja pfsense co puedo llegar a ningun lado....

    intentare ilustrar este problema.

    Lan_Cliente----Caja PFsense--------------------------------------------------DSL------------------------(Internet)-----Linux, el cual tiene shorewall + Openvpn------Lan
    192.168.1.x/24      192.168.1.1/24 IP LAN PF 
                              192.168.3.3/24 IP WAN PF                192.168.3.1/24 IP DSL, Gateway PF                                                                          192.168.16.0/24 IP LAN

    desde la 192.168.1.1 a cualquier ip de la red 192.168.16.0/24 perfecto. desde la ip 192.168.1.X/24 a la 192.168.16.X/24 no puedo llegar.



  • Bueno, ya terminado el diagrama y con un poco mas de tiempo, dejo el mismo por las dudas…
    Sigo sin que esto funcione, si alguien me puede dar una mano, seria de mucha ayuda.




  • ¿Qué tienes en Firewall - Rules - OpenVPN?

    ¿Qué dicen los logs en Status - System logs - OpenVPN?

    ¿Qué hay en Status - OpenVPN?



  • Me gustaria actualizar la info de Juan.lobonia, ya que trate de hecharle la mano en esto y no logramosa hacer esto operar.

    Su red la tiene con Linux usando lo se llama enmascarado(masquerade), toda su comunicacion es atraves de OpenVPN, entonces pfsense tiene las reglas abiertas.

    La VPN se establece, pfsense muestra en las rutas como llegar a las otras redes, todo parece estar bien.

    Pfsense le pega a el linux-fw-router que es el que se encarga de controlar los acceso a la red 16.x/24,17x24.
    linux-fw-router envia el trafico de OpenVPN a su OpenVPN server el cual esta en 192.168.17.10.
    Se establece la comunicacion y ya linux-fw-router dice si pueden o no llegar a la red 16.x/24.

    Hasta aqui todo bien, ya de lado de pfsense, ningun paquete que este en la red 1.x/24 llega a la red 16.x, el unico que puede pegarle es el mismo pfsense 192.168.1.1, nadie mas.

    El tiene otra red en el rango 88.x/24 que es tambien un Linux y todo opera sin problemas.

    Entonces esta es la historia, espero haya aclarado un poco mas el problema, saludos!!!



  • Estimados, aqui les dejo un enlace, este contiene un doc con todas las capturas.

    https://docs.google.com/leaf?id=1gmnCektctiz08RquiYPr0C7gNv_i64tgu0gVOoaI_Go

    Espero podamos encontrar el error.

    Gracias.



  • No veo bien las imágenes…

    ¡Lo siento!



  • Si eres tan amable de abrirlo con word desde windows este te permitira hacer un redimencionamiento de las imagenes.
    Gracias.

    NOTA: descarga el archivo…


  • Rebel Alliance

    No está relacionado directamente al tema, pero, Juan, creo que es mejor que utilices la opción de adjuntar las imagenes al foro, es mejor y mucho mas simple que el uso de enlaces externos.

    Abajo, "Additional Options" –> "Attach"




  • Gracias ptt, no queria subir tantas imagenes juntas.


Locked