VPN сервер на Pfsense 2.2.5

dqdima

:o Доброго времени суток .
Пытаюсь настроить VPN соединение с офисом .
Настроил PPTP - работает (но говорят он не безопасен)
OpenVPN настраивать бессмысленно , он не встроен в винду и поэтому манагерам объяснять , что к чему - это тупик
L2TP - не подымается , вычитал что нужно ipsec отключить в винде через реестр . -не пробовал-

Отдельно ipsec - не понял , как вообще работает , в винде нет его в чистом виде - как бы - в любом случае нужно указывать - пользователь и пароль.

В винде есть L2TP - ipsec связка , вот тут вопрос уважаемые знатоки –

-- Правильно ли я понял что для поднятия такого туннеля в Pfsense 2.2.5 нужно настроить и ipsec и L2TP

по этой инструкции http://shop.nativepc.ru/content/75-pfsense-2-cookbook-4 не получается , в гуггле нечего практичного не нашел .
Помогите разобраться

werter

OpenVPN настраивать бессмысленно , он не встроен в винду и поэтому манагерам объяснять , что к чему - это тупик

Ярлык на раб. стол. В чем проблема ? Я бы и по логину и паролю еще пускал, а не просто по сертификату.
Вы им и Ворд с Экселем ходите и запускатете лично ?

Настроил PPTP - работает (но говорят он не безопасен)

Не говорят - доказано. В 2.3 и далее его вообще не будет.

dqdima

Согласен с вами , поделитесь доками .
Сделал как вы сказали , поставил еще OpenVPN Client Export Utility
Домашний комп соединение подымает , пользователя завел - коннектится , Но нечего не пингуется , RDP не работает , шары не открывает .

pigbrother

Клиента запускаете с правами админа? Вот на 99% правильная инструкция.
https://forum.pfsense.org/index.php?topic=99694.0

Я бы и по логину и паролю еще пускал, а не просто по сертификату.

Полностью согласен, у себя сделал именно так. Кстати, авторизация через AD(Домен) тоже делается довольно просто, хотя у себя ее принципиально не задействовал.

На reddit (интересная ветка), вроде участвуют и разработчики pfSense:
https://www.reddit.com/r/PFSENSE/
написали про двухфакторную авторизацию так:
something you have (ключи\сертификаты) и something you know (логин\пароль)

dqdima

??? все делаю по инструкции , результат

Thu Nov 26 17:05:11 2015 VERIFY ERROR: depth=0, error=unsupported certificate purpose: C=RU, ST=Russia, L=Moscow, O=xxxx, emailAddress=xxxxxxxxxxxxxxxxx, CN=vpn-server
Thu Nov 26 17:05:11 2015 TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
Thu Nov 26 17:05:11 2015 TLS Error: TLS object -> incoming plaintext read error
Thu Nov 26 17:05:11 2015 TLS Error: TLS handshake failed
Thu Nov 26 17:05:11 2015 SIGUSR1[soft,tls-error] received, process restarting
Thu Nov 26 17:05:13 2015 UDPv4 link local (bound): [undef]

pigbrother

все делаю по инструкции

Явно при создании\использовании сертификатов ошибка. Удалите все сертификаты, и создайте всю цепочку заново:
CA->Server
CA->User

dqdima

;) В итоге , я рукожоп еще тот ))))
Первое обращайте внимание на разрядность винды у клиента )))
Второе - Если изначально сервер OpnVPN настраивали через визард , то вашу инструкцию нужно продолжать с момента создания корневого сертификата. У меня история такая - пробовал и настраивал через визард - Не получилось - удалил в ручную все сертификаты , и создавал
все вручную - ОШИБКА - какимто образом старый сертификат остается - и клиент выдает ошибку .

Заработало так -

Удалил все сертификаты , которые создавал - НЕ УДАЛИТЕ СОЗДАННЫЙ ВЕБ СЕРТИФИКАТ , А ТО НЕ БУДЕТЕ ПОДКЛЮЧАТЬСЯ К ВЕБ МОРДЕ -
С помощью визарда - создал новый корневой сертификат и сертификат OpenVPN.
Вручную создал сертификат клиента - по вашей инструкции , выгрузил его - и УРРА заработало )))

pigbrother

Рад, что все ОК.
А за инструкцию благодарить надо StanislawK, хотя он тут появляться и перестал.

dqdima

;) Спасбо вам большое , и хороших выходных )))

werter

@dqdima:

;) В итоге , я рукожоп еще тот ))))
Первое обращайте внимание на разрядность винды у клиента )))\

Всегда ставлю 32-х разр. версию. Даже на 64-х разр. систему.

P.s. У 64-х разр. Win есть нюансы с установкой неподписанных MS официально драйверов. Иногда приходится откл. это.

pigbrother

Cам драйвер единый для х86-х64, с ним в последних версиях проблем с подписью уже нет, его можно установить отдельно, отличия только в поддержке NDIS, NDIS 5 - XP, NDIS 6 - Vista и выше, разрядность при выборе собственно драйвера отсутствует:

OpenVPN uses TAP-windows to provide virtual tap device functionality on Windows. Normally you don't need to install TAP-windows separately, as OpenVPN installers include it. The tap-windows driver comes in two flavours: the NDIS 5 driver for Windows XP and NDIS 6 for Windows and above.

https://openvpn.net/index.php/open-source/downloads.html

Разрядность, похоже, относится исключительно к GUI\management\работе в виде сервиса.

Сама Client Export Utility создает индивидуально для каждого клиента полноценный компактный дистрибутив с драйвером, интегрированным конфигом, что очень удобно.
А вот предлагаемый ею Management Interface OpenVPNManager ставить не рекомендую, особого удобства не дает, интерфейс имеет запутанный и страшный, мешает переустановке Open VPN, удаляется только вручную, через командную строку с правами админа:

sc delete OpenVPNManager