Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN PKI: Site-to-Site инструкция для обсуждения

    Scheduled Pinned Locked Moved
    Russian
    39
    376
    174.4k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • S
      sweep4
      last edited by

      @rubic:

      на pfSense1 в Advanced вставить:

      route 192.168.20.0 255.255.255.0; route 192.168.30.0 255.255.255.0

      в Client Specific Overrides -> Advanced:

      iroute 192.168.20.0 255.255.255.0 для первого клиента, и:

      iroute 192.168.30.0 255.255.255.0 - для второго

      Вот теперь я понял, в чем суть команды iroute  :D

      Кажется взлетело и заработало все хозяйство.

      1 Reply Last reply Reply Quote 0
      • S
        Sebastien1
        last edited by

        Спасибо. Сделал по мануалу.
        Обе сетки с белыми адресами. внутренние 192.168.0.1 сервер, 192.168.1.1 клиент. Тоннель поднимается, пинги не ходят. Помогите, где туплю. скрины маршрутов прилагаю. Поправочка: со стороны центрального (192.168.0.0) сеть 192.168.1.0 пингуется, все видно. наоборот трасировка доходит только до 10.0.8.1
        Спасибо.

        1 Reply Last reply Reply Quote 0
        • R
          rubic
          last edited by

          @Sebastien1:

          Спасибо. Сделал по мануалу.
          Обе сетки с белыми адресами. внутренние 192.168.0.1 сервер, 192.168.1.1 клиент. Тоннель поднимается, пинги не ходят. Помогите, где туплю. скрины маршрутов прилагаю. Поправочка: со стороны центрального (192.168.0.0) сеть 192.168.1.0 пингуется, все видно. наоборот трасировка доходит только до 10.0.8.1
          Спасибо.

          Маршруты, судя по всему, в порядке. Смотрите в сторону правил firewall для OpenVPN на сервере.

          1 Reply Last reply Reply Quote 0
          • S
            Sebastien1
            last edited by

            Правила как в мануале.
            На wan разрешен udp на 1194
            на openvpn и связанном с ним opt2 разрешено все всюду.
            ничего не понимаю. со стороны центрального офиса видны даже захудалые принтера, со тороны филиала только сам пф.

            1 Reply Last reply Reply Quote 0
            • V
              Vikipa
              last edited by

              Клик о помощи в настройке.
              Все сделал как по инструкции, канал OpenVPN поднимается но сети друг друга не видят. Таблица роутирования работает правильно где я мог сделать ошибку схему своего соединения прилагаю.
              Заранее благодарен.
              [imghttp://forum.pfsense.org/index.php?action=dlattach;topic=59081.0;attach=33465;image[/img]

              sh1.jpg
              sh1.jpg_thumb

              1 Reply Last reply Reply Quote 0
              • werterW
                werter
                last edited by

                А если убрать роутеры из этой цепочки ? Пускай пфсенсы всем "рулят".

                1 Reply Last reply Reply Quote 0
                • V
                  Vikipa
                  last edited by

                  Выкинуть немогу так как система нехорошо дружит с 3g модемами у которых новая прошивка, она не видит их как модем.
                  Возникла другая проблема когда проверяю видят ли сети друг друга по ssh то пинги идут по обе стороны, а пытюсь с рабочей станции или через веб инерфейс все куда-то теряется, настройки делал по инструкции

                  1 Reply Last reply Reply Quote 0
                  • A
                    aleksvolgin
                    last edited by

                    нехорошо дружит с 3g модемами у которых новая прошивка, она не видит их как модем.

                    А переключить модемы в режим "only modem" не пробовали? Должно помочь.

                    1 Reply Last reply Reply Quote 0
                    • R
                      rubic
                      last edited by

                      Если в таблице маршрутов каждого pfSense присутствует маршрут в соседнюю сеть через ovpn, то еще раз проверить правила firewall на обеих сторонах и наличие iroute в Client specific overrides -> Advanced на стороне сервера.

                      1 Reply Last reply Reply Quote 0
                      • H
                        hexdimko
                        last edited by

                        таже бяда. конект есть, но сети не видят друг друга. в таблице маршрутов роуты есть.

                        1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by

                          @hexdimko:

                          таже бяда. конект есть, но сети не видят друг друга. в таблице маршрутов роуты есть.

                          Раз уж есть роуты - проверьте правила fw и включите логирование fw. Т.о. будет видно что и почему блокируется.

                          1 Reply Last reply Reply Quote 0
                          • H
                            hexdimko
                            last edited by

                            Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              @hexdimko:

                              Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

                              Во вкладке Status: System logs: Settings : поставить галку на Log packets blocked by the default rule: Save и , вернувшись в Status: System logs: Firewall, нажать F5 для обновления страницы в браузере. И внимательно смотреть что блокируется. Ибо чудес не бывает.

                              P.s. На каком этапе "затык" ? Что "говорит" tracert с обеих сторон ?

                              1 Reply Last reply Reply Quote 0
                              • H
                                hexdimko
                                last edited by

                                @werter:

                                @hexdimko:

                                Я поднял на двух тестовых машинах. На обоих машинах в файрволе в разделах ван/лан/опенвпн одно правило - разрешено всем везде. Толку нет.

                                Во вкладке Status: System logs: Settings : поставить галку на Log packets blocked by the default rule: Save и , вернувшись в Status: System logs: Firewall, нажать F5 для обновления страницы в браузере. И внимательно смотреть что блокируется. Ибо чудес не бывает.

                                P.s. На каком этапе "затык" ? Что "говорит" tracert с обеих сторон ?

                                Трасировка говорит что пакеты улетают в свой шлюз и все, дальше не идет. Файервол ничего из подопытных не блокирует. Блокирует левые адреса, не относящиеся к делу.

                                1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by

                                  @hexdimko:

                                  Трасировка говорит что пакеты улетают в свой шлюз и все, дальше не идет. Файервол ничего из подопытных не блокирует. Блокирует левые адреса, не относящиеся к делу.

                                  … и наличие iroute в Client specific overrides -> Advanced на стороне сервера

                                  Это проверяли ?

                                  1 Reply Last reply Reply Quote 0
                                  • H
                                    hexdimko
                                    last edited by

                                    iroute в подсеть клиента прописан

                                    1 Reply Last reply Reply Quote 0
                                    • werterW
                                      werter
                                      last edited by

                                      @hexdimko:

                                      iroute в подсеть клиента прописан

                                      А на машинах в клиентской сети случаем никаких fw\антивирусов не задействовано ? Отключите их на время (для проверки). И родной виндовый тоже.

                                      1 Reply Last reply Reply Quote 0
                                      • H
                                        hexdimko
                                        last edited by

                                        да даже шлюзы между собой не пингуются, что уж говорить о клиентах…

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by

                                          @hexdimko:

                                          да даже шлюзы между собой не пингуются, что уж говорить о клиентах…

                                          Удалите всё (и сертификаты тоже) и настройте заново. Сперва без сертификатов - просто по secret key.

                                          1 Reply Last reply Reply Quote 0
                                          • D
                                            dsm150
                                            last edited by

                                            Здравствуйте.

                                            Совсем я разобраться не могу с ситуацией. Может, Вам будет не трудно натолкнуть меня на путь истинный.

                                            По Вашей инструкции создал туннель между двумя Pfsense. Все между ними прекрасно бегает, но при подключении к серверу второго Pfsense. Ни через первый, ни через второй туннель, ничего не бежит.

                                            Карта сети такая:

                                            Pfsense1:
                                            OpenVpn server: Peer to Peer (SSL/TLS)
                                            local: 172.11.11.0/24
                                            tun: 10.0.8.0/24
                                            Client overrides:
                                            1. stmgate tun-10.0.8.0/24 iroute 172.11.10.0 255.255.255.0
                                            2. skvilgate tun-10.0.8.0/24 iroute 192.168.10.0 255.255.255.0

                                            Pifsense2
                                            OpenVpn client: Peer to Peer (SSL/TLS)
                                            local: 172.11.10.0/24
                                            tun: 10.0.8.0/24

                                            Pfsense3
                                            OpenVpn client: Peer to Peer (SSL/TLS)
                                            local: 192.168.10.0/24
                                            tun: 10.0.8.0/24

                                            Заметил такой момент:
                                            При двух подключенных туннелях, на pfsense1, virtual server у обоих туннелей 10.0.8.2

                                            Пробовал в качестве сервера - Remote access (SSL/TLS)
                                            Но при таком конфиге по туннелю даже между двумя Pfsense ничего не проходит (

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post