OpenVPN PKI: Site-to-Site инструкция для обсуждения
-
to rubic
А не могли бы вы написать немного вашей замечательной инструкции о том как настроить бридж (dev tap), а то что-то не выходит ничё. Есть 2 сети с одинаковой адресацией, туннель работает, но односторонний какой-то, а хочется что-бы и сеть клиента была доступна с сервера. Слышал, что вроде мост должен помочь. -
Есть 2 сети с одинаковой адресацией
Жесть. Если адреса в сетях одинаковые, т.е. совпадают, как быть с обращением к одному и тому же ресурсу в обеих сетях с одним и тем же адресом?
P.S. Объединение двух локальных сетей с одинаковым номерами сетей на Linux-шлюзе - http://habrahabr.ru/post/117320/
P.P.S. Меняйте адресацию в одной из сетей. -
Есть 2 сети с одинаковой адресацией
Жесть. Если адреса в сетях одинаковые, т.е. совпадают, как быть с обращением к одному и тому же ресурсу в обеих сетях с одним и тем же адресом?
P.S. Объединение двух локальных сетей с одинаковым номерами сетей на Linux-шлюзе - http://habrahabr.ru/post/117320/
P.P.S. Меняйте адресацию в одной из сетей.Спасибо, на той ссылке слишком много букв и не одной картинки ;D я её видел уже.
Сеть досталась от предыдущего спеца. Адреса в сетях не совпадают. Единственное жаль, что диапазон не позволяет на подсети разбить - все в перемешку. Статью находил про бридж, там вроде работает у автора, правда не на pfSense. Сегодня решил попробовать, да вот клиент не конектиться, сообщает про ошибку tls, хотя в настройках сервера флаги tls сняты. Видимо я чего-то не знаю, что-бы OpenVPN через dev tap настроить. Вот и хочу узнать, где там секрет.
Вот тут читал http://skeletor.org.ua/?p=234 -
Читайте тут :
http://forum.pfsense.org/index.php?topic=46984.0
И обратите внимание на :
1. goto System –-> Packages
2. Click the Available Packages Tab
3. Install the OpenVPN tap Bridging Fix package -
Читайте тут :
http://forum.pfsense.org/index.php?topic=46984.0
И обратите внимание на :
1. goto System –-> Packages
2. Click the Available Packages Tab
3. Install the OpenVPN tap Bridging Fix packageСпасибо. Вроде то самое.
В идеале конечно хотелось бы на русском и с пояснениями ;D -
to werter
Что-то я не понял, на клиенте нужно мост сооружать или нет? И с DHCP что делать? Там пишутServer DHCP Start/Stop: You can specify an IP range here. However since its bridging you can leave it blank. Your internal DHCP server will take care of it. I leave them blank. One thing to keep in mind is that a client's IP will not be displayed on the Dashboard Widget if you leave the range blank. I'll be brining this up on the fpsense forums.
не понятно как-то…
у меня во всех сетях статическая адресация, о каком внутреннем DHCP сервере идет речь в тексте? В OPT интерфейсе указал DHCP, но все остальные поля оставил пустыми. В итоге OPT1(DHCP) - 0.0.0.0. Это правильно? Или еще дополнительно нужно DHCP сервер подымать? -
Попытался выполнить всё по писанному - не выходит. Конектится, но виртуальный адрес не получает и соответственно никакие адреса удаленной локальной сети не доступны.
В книге по pfSense пишутПрежде всего убедитесь, что DHCP работает только на основном интерфейсе (с IP адресом), а не на одном из подключаемых в мост.
в инструкции по созданию моста пишут, что нужно создать ОРТ(DHCP) интерфейс который объединить в мост с Lan'ом. Какие-то сплошные противоречия…
Вот еще нашел в тексте книги по pfSense9.5.2.3.3. Отключение моста при начальной загрузке
Вам потребуется добавить в конфигурацию команду которая позволит отключать мост при первоначальной загрузке. Это предотвратит появление петли уровня 2, а мост будет поднят на мастере CARP с помощью скрипта bridgecheck.sh через минуту после загрузки. Над строкой , необходимо добавить следующую строку: <shellcmd>/sbin/ifconfig bridge0 down</shellcmd> Сохраните изменения конфигурационных файлов. Теперь восстановите изменённую конфигурацию на первичном и резервном брандмауэре. Брандмауэры должены перезагрузиться после восстановления конфигурации и нормально работать.Это нужно делать или нет? В мануале об этом речь не велась…
-
Появилось свободное время - вновь вернулся к мосту.
Удалось настроить подключение филиала к главному офису, но компы не видятся ни из офиса ни из филиала. Ip-адрес клиент получает по DHCP в заданном диапазоне. Подскажите в чем может быть проблема? В логи смотрел - вроде всё путём.
В Advanced нужно что нибудь прописывать? -
В Advanced нужно что нибудь прописывать?
А как по-другому сервер узнает маршрут до клиента. Или как сеть за сервером\клиентом узнают о существование друг друга ? Ну и плюс правила fw не забудьте.
-
В Advanced нужно что нибудь прописывать?
А как по-другому сервер узнает маршрут до клиента. Или как сеть за сервером\клиентом узнают о существование друг друга ? Ну и плюс правила fw не забудьте.
Заработало! Ура! :o
-
Ага, вот только пришлось для диапазона адресов удаленных клиентов и для всех хостов в локальной сети, к которым они должны обращаться, сделать разрешающие правила во вкладке LAN. Даже 1С работает. Офигеть :D
Спасибо :) -
Хм…Ранее предполагалось , если удаленные клиенты имеют отношение к интерфейсу OpenVPN , то и правила fw для доступа этих клиентов ко внутренней сети (за сервером) необходимо создавать на OpenVPN-интерфейсе. Или что-то в 2.1 поменялось?
Покажите, пож-та, скринами правила вашего fw на LAN и OpenVPN.
Заранее благодарен. -
Как побороть такую штуку
OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.0.0
если выставляешь "topology subnet" на vpn-сервере?
-
Хм…Ранее предполагалось , если удаленные клиенты имеют отношение к интерфейсу OpenVPN , то и правила fw для доступа этих клиентов ко внутренней сети (за сервером) необходимо создавать на OpenVPN-интерфейсе. Или что-то в 2.1 поменялось?
Покажите, пож-та, скринами правила вашего fw на LAN и OpenVPN.
Заранее благодарен.У меня 2.0.3.
Первое правило lan, второе для OpenVPN и такое-же для Brigde (создал на всякий случай)
Адреса клиентов, подключаемых через vpn в Host, если их оттуда убрать, то 1С не открывается.
-
Bridge всё-таки странно себя как-то ведет, т.е. со стороны клиента всё шикарно, назначенный адрес и даже имя распознается (той же самой 1С), однако с сервера клиента не видно. В логах брандмауэра никаких сообщений о блокировке данного адреса и в системных логах всё спокойно…
Для нужд, тех которых это все делалось всё нормально, но пытливый ум не дает покоя "Как сделать так, что-бы все работало и в обратную сторону?" :) -
Вопрос в том, что является шлюзом по обе стороны моста?
-
2 Jetberry
Последнее разрешающее правило на LAN - избыточно указаны протоколы для большинства разрешенных Вами портов (надо только TCP). Далее - что включает в себя алиас Hosts? Если этот алиас включает в себя хосты локальной сети , то зачем тогда разрешающее правило ниже?
P.s. Мой вам совет - не уверены в правильности написания правил fw - создавайте (временно) одно - разрешено всё всем и куда угодно. Включайте на нем логирование и смотрите что открывать. Иначе не поймете почему что-то не работает.
-
2 werter
В Host прописаны адреса локальной сети, которые ходят в инет на прямую, минуя squid. Туда же добавил адреса, которые назначаются по DHCP клиентам vpn -
2 Jetberry
P.s. Мой вам совет - не уверены в правильности написания правил fw - создавайте (временно) одно - разрешено всё всем и куда угодно. Включайте на нем логирование и смотрите что открывать. Иначе не поймете почему что-то не работает.Да вот то-то и оно, что есть там правило разрешающее, которое на скрине в неактивном режиме, и когда включаю его отключая остальные, то ничегошеньки не меняется.
-
Вопрос в том, что является шлюзом по обе стороны моста?
Можно перефразировать вопрос, пожалуйста? :)
-
вот правила для wan. черным замазаны адреса и порты.
1194 - это мы клиенты vpn
1195 - это vpn (tun), оставил на всякий случай.
1196 - это vpn (tap), тот самый злополучный мост.
-
В Host прописаны адреса локальной сети, которые ходят в инет на прямую, минуя squid
Хмм, а я думал что эти адреса указваются совсем в другом месте - в настройках самого сквида. Даже могу подсказать где - Proxy server: General settings:Bypass proxy for these source IPs . И через точку с запятой указываете адреса (или целые подсети)
Туда же добавил адреса, которые назначаются по DHCP клиентам vpn
Вопрос - эти впн-клиенты получают адреса из LAN-диапазона, поднимая сессию ? Если нет - опять неправильно.
Ибо для работы через сквид эти адреса (если они не входят в диапазон LAN) необходимо указывать в Proxy server: Access control: Allowed subnets и только потом их же в Proxy server: General settings:Bypass proxy for these source IPs -
В Host прописаны адреса локальной сети, которые ходят в инет на прямую, минуя squid
Хмм, а я думал что эти адреса указваются совсем в другом месте - в настройках самого сквида. Даже могу подсказать где - Proxy server: General settings:Bypass proxy for these source IPs . И через точку с запятой указываете адреса (или целые подсети)
Так что это правило уже неверно и толку от него - никакого.
там они тоже прописаны. пришлось дополнительное это правило создать, т.к. через 3-4 дня стабильной работы, у этих важных адресов пропадает интернет, хз почему и приходилось перегружать pfsense. также сам squidguard при долгой работе начинает пропускать через ie соц.сети, причем гугл и мозила нормально блокируются (но это уже отдельная тема)…
Да, из Lan диапазона
-
вот правила для wan. черным замазаны адреса и порты.
Снова вопрос - у вас какие-то сервисы пробрасываются в локалку извне? Потому как не вижу в описание "замазанных" правил на WAN слова "NAT". Или вы описания в правилах удалили ? Или же это вы открыли доступ к сервисам самого pfsense (SSH, web-интерфейс etc) ? Поясните этот момент, пож-та.
-
вот правила для wan. черным замазаны адреса и порты.
Снова вопрос - у вас какие-то сервисы пробрасываются в локалку извне? Потому как не вижу в описание "замазанных" правил на WAN слова "NAT". Или вы описания в правилах удалили ? Или же это вы открыли доступ к сервисам самого pfsense (SSH, web-интерфейс etc) ? Поясните этот момент, пож-та.
Это три устройства сторонних организаций, которые расположены на нашей территории и пользуются нашим интернетом, причем когда я пришел в данную контору они уже стояли и правила уже были созданы.
А последнее это Глонас - без этого правила он не корректно работает, т.е. не обновляется информация о перемещения автотранспорта, в логах fw пошарил и создал это правило, теперь всё работает как нужно.
В NATе ничего не менял, там ничего и нет. Outbound стоит Automatic -
-
Вопрос в том, что является шлюзом по обе стороны моста?
Можно перефразировать вопрос, пожалуйста? :)
У Вас речь о бридже OVPN наверное, подумал про сбридженные интерфейсы (и тут есть свои моменты).
Снова как-то не понятно изъясняетесь :)
Поднят ovpn (tap), указал что-бы адреса назначались по dhcp в диапазоне локальной сети, в advanсed push "route наша сеть 255.255.255.0", с ним и еще с lan интерфейсом создал bridge. вот как-то так. а сбридженные интерфейсы это или нет - я не знаю, я первый раз такое делаю :) -
еще вопрос о бридже, в той инструкции указано server mode: Remote access я так и сделал, однако в клиентских настройках можно выбрать только Peer to Peer потому приходиться подключаться через windows клиент, хотя в идеале конечно было бы хорошо "запихнуть" всех в нашу сеть с помощью pfsense установленном на клиентской территории. Просто 1С напрямую работает только через бридж, хотя и трафика больше на это уходит.
-
1C - в каком виде ? Если это файловый режим - это одно, если же это серверный вариант - это будет работать и через tun. Плюс - как подключаются клиенты - толстый клиент, тонкий или это терминальный доступ (тогда зачем tap ?) ?
Это три устройства сторонних организаций, которые расположены на нашей территории
Эти "устройства" разве непосредственно (в виде сервисов) на pfsense крутятся? И проброса портов на WAN не вижу. Ерунда какая-то.
с ним и еще с lan интерфейсом создал bridge. вот как-то так. а сбридженные интерфейсы это или нет - я не знаю, я первый раз такое делаю
Н-дааа, Сперва делаем - потом думаем. Нужен вам этот бридж (и понимаем мы с вами этот термин по-разному, оказывается) или нет, хз.
В общем так. Если хотите решить проблему - рисуйте подробную схему с адресами ЦО и ваших филиалов (будет "кино" если внутренние сети ЦО и филиалов совпадают). Плюс , узнайте что еще за уст-ва такие у вас там "живут" 8) .
-
Снова как-то не понятно изъясняетесь :)
Поднят ovpn (tap), указал что-бы адреса назначались по dhcp в диапазоне локальной сети, в advanсed push "route наша сеть 255.255.255.0", с ним и еще с lan интерфейсом создал bridge. вот как-то так. а сбридженные интерфейсы это или нет - я не знаю, я первый раз такое делаю :)Да нет, изъясняюсь-то я вполне понятно, если быть в теме. А так см. предыдущий пост.
-
Схема простая.
Мы являемся филиалом, подключены мы к ЦО по OVPN-туннелю (Peer to Peer), виртуальные адреса из диапазона 10.х.№филиала.х, ЦО установил нам диапазон адресов (192.168.№филиала.ххх) дабы филиалы друг с другом не путались.
В pfSense приходит интернет непрямую от провайдера на wan интерфейс (PPPoE), lan смотрит во внутреннюю сеть (статические адреса). Три банкомата подключены через нас к интернету, им присвоены адреса локальной сети и без wan разрешающих правил они не работают. Есть удаленная территория которую нужно подключить к нашей локальной сети, интернет им приходит на dsl-модем\роутер. Машин там немного, на данный момент там адреса 192.168.1.х. У нас создан tap интерфейс сбридженный с lanом, подключаемые клиенты получают по dhcp наши локальные адреса из не занятого диапазона.
1С 7.7 серверный вариант. Пока подключаются через Windows клиент к нам. Через туннель (виртуальные адреса 10.0.х.х и они не пересекаются с ЦО) работает по RDP, печать на стороне клиента была не возможна. Создал подключение через мост, заработало всё напрямую, но с нашей стороны данные клиенты не видны, т.е. в логах видно что они к нам подключаются, работают, но обратиться к ним никак не получается, в логах pfSense тем не менее всё чисто.
P.S. Если всё таки понадобится схема, то нарисую.
P.P.S. Может ошибкою было назначить им адреса 192.168.1.х, т.к. такие же адреса в ЦО? С другой стороны они же подключаются к нам получая виртуальные адреса из нашей сети (192.168.№филиала.ххх). -
Может ошибкою было назначить им адреса 192.168.1.х, т.к. такие же адреса в ЦО
Если вы полностью уверены , что клиенты, подключаясь к вам, не получают адреса, совпадающие с адресами в вашей ЛАН - то все ОК.
P.s. Рисуйте схему. Так всем будет понятнее.
-
Может ошибкою было назначить им адреса 192.168.1.х, т.к. такие же адреса в ЦО
Если вы полностью уверены , что клиенты, подключаясь к вам, не получают адреса, совпадающие с адресами в вашей ЛАН - то все ОК.
P.s. Рисуйте схему. Так всем будет понятнее.
Они получают незанятые адреса из нашей локальной сети
Схема
Маршруты
default xxx.xxx.xxx.xxx UGS 0 3812460 1492 pppoe0
10.0.8.0/24 10.0.8.2 UGS 0 0 1500 ovpns2
10.0.8.1 link#11 UHS 0 0 16384 lo0
10.0.8.2 link#11 UH 0 0 1500 ovpns2
10.6.0.0/24 10.7.16.2 UGS 0 0 1500 ovpnc1
10.7.16.1 link#13 UHS 0 0 16384 lo0
10.7.16.2 link#13 UH 0 0 1500 ovpnc1
10.7.39.0/30 10.7.16.2 UGS 0 0 1500 ovpnc1
xxx.xxx.xxx.xxx link#9 UHS 0 0 16384 lo0
127.0.0.1 link#8 UH 0 7928165 16384 lo0
172.16.0.0/20 10.7.16.2 UGS 0 8986 1500 ovpnc1
172.16.4.93/32 10.7.16.2 UGS 0 0 1500 ovpnc1
172.16.4.136/32 10.7.16.2 UGS 0 0 1500 ovpnc1
172.16.5.27/32 10.7.16.2 UGS 0 0 1500 ovpnc1
172.16.5.32/32 10.7.16.2 UGS 0 0 1500 ovpnc1
192.168.1.0/24 10.7.16.2 UGS 0 18414 1500 ovpnc1
192.168.2.0/24 10.7.16.2 UGS 0 0 1500 ovpnc1
192.168.16.0/24 link#2 U 0 11689984 1500 em0
192.168.16.254 link#2 UHS 0 201105 16384 lo0
-
Если хотите решить проблему - рисуйте подробную схему с адресами ЦО и ваших филиалов (будет "кино" если внутренние сети ЦО и филиалов совпадают).
Таки совпадают удаленная и ЦО.
-
Если хотите решить проблему - рисуйте подробную схему с адресами ЦО и ваших филиалов (будет "кино" если внутренние сети ЦО и филиалов совпадают).
Таки совпадают удаленная и ЦО.
В нашу сеть они всё равно попадают же с виртуальными адресами, т.е. 192.168.16.0/24 или не?. А в ЦО (это не мы) они там никому не нужны, они только нам нужны. Там 5 машин, поменять можно легко, вот только на что? 172.16.0.0 используется, 192.168.0.0 тоже и получить диапазон от ЦО для "сарая на отшибе" будет затруднительно. Потому-то и выбрал мост, т.к. вроде позволяет объединять одинаковые сети. Или ошибаюсь?
-
У вас ДВА (и более) одинаковых адреса . Как вы прикажите пфсенсу их различать ? Меняйте адресацию.
-
У вас ДВА (и более) одинаковых адреса . Как вы прикажите пфсенсу их различать ? Меняйте адресацию.
А такую подсеть выделить не получиться - 192.168.16.8/29, если выделяются по DHCP с 192.168.16.9 по 192.168.16.14? Как раз 5 адресов, даже 6.
А или Вы имели ввиду 192.168.1.0/24 на что нибудь поменять? Тогда ясно… -
Jetberry, все правильно.. сети на разных концах должны быть разные.
У меня тоже есть ЦО и филиалы. Опенвпн в режиме tap-bridge в локальную сеть. У всех филиалов сети разные делаю изначально.
Только одно "но" - опенвпн не выделяется виртуальная сеть, т.е. интерфейс опенвпн забриджен с лан и не имеет адреса. На всех клиентах прописан статический ип.
В обе стороны все работает. Костыли, конечно, но 3 года в продакшине без нареканий)) Однако раздумываю, как лучше организовать сеть для филиалов в других городах.
Кстати, я же когда-то тут (на трекере, если точнее) и запостил небольшой патч, который позволял в web выбрать режим интерфейса tap или tun из-за необходимости работы филиалов непосредственно в нашей локальной сети ;)Хотелось бы услышать какой-нибудь ответ, все таки, по поводу этого:
OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.0.0
когда выставляешь topology subnet.
Как заставить openvpn прописать маршрут в нужную сеть только после того, как подключится клиент, за которым она находится? А то получается, сервер стартует, не может найти сеть и ругается, а после подключается уже клиент, за которым она есть, но маршрут "удачно" не прописался. -
Парни, а помоги мне тоже пожалуйста.
У меня схема из первого поста:
pf1
lan1 192.168.132.0/24
ovpn_srv: p2p(ssl/tls), udp, tun, tun_net (10.0.18.0/24), adv opt (route 192.168.118.0 255.255.255.0)pf2
lan2 192.168.118.0/24
ovpn_clnt: -//-, remote_net (192.168.132.0/24)Так как с автоматическим НАТом маршрут не работал, при том что в таблице маршрутов порядок
пришлось назначить ВПН соединению виртуальный интерфейс
и включить ручной НАТ
Теперь из сети lan2 (192.168.118.0/24) в сеть lan1 (192.168.132.0/24) траффик шурует на все 100% чего не скажешь про обратное направление (от офиса к филиалу) не идут пинги даже на ЛАН интерфейс pf2 с роутера pf1. Пингуется только туннельный интерфейс филиала (10.0.18.6)
это часть таблицы pf1
Собсна хотелось бы разобраться с направлением vpn_server(pf1)>pvn_client(pf2) (как и у товарища Jetberry)
-
Добавьте iroute 192.168.118.0 255.255.255.0; в настройках сервера (вкладка OpenVPN: Client Specific Override). И правила fw само собой.P.s.
pf1
lan1 192.168.132.0/24
ovpn_srv: p2p(ssl/tls), udp, tun, tun_net (10.0.18.0/24), adv opt (route 192.168.118.0 255.255.255.0)pf2
lan2 192.168.118.0/24
ovpn_clnt: -//-, remote_net (192.168.132.0/24)Хмм..В настройках pf1 Tunnel Settings есть Local Network (указывайте 192.168.132.0/24) и Remote Network(указывайте 192.168.118.0/24).
На pf2 в Remote Network - 192.168.132.0/24adv opt (route 192.168.118.0 255.255.255.0) - не нужно
пришлось назначить ВПН соединению виртуальный интерфейс - пробуйте и без этого