• Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login
Netgate Discussion Forum
  • Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login

PfSense OpenVPN Server + Linux-client

Scheduled Pinned Locked Moved Russian
76 Posts 5 Posters 16.1k Views
Loading More Posts
  • Oldest to Newest
  • Newest to Oldest
  • Most Votes
Reply
  • Reply as topic
Log in to reply
This topic has been deleted. Only users with topic management privileges can see it.
  • T
    timon12
    last edited by Mar 14, 2016, 8:15 AM

    Добрый день!

    Вот свежие данные: Клиент ноутбук сони, подключен через вайфай к телефону который раздает инет.

    Если чесно, я не пользуюсь OpenVPN Client specific overrides.

    Для експеримента попробуйте удалить всех юзеров из  OpenVPN Client specific overrides, заново экспортировать настройки для подключения и проверить.
    (Сначало сделать, чтоб нормально любой клиент мог достучаться в удаленную сеть при подключении по ВПН, а уже потом для каждого клиента определять настройки.)
    ВВиду того, что https://doc.pfsense.org/index.php/OpenVPN_multi_purpose_single_server#OpenVPN_Client_specific_overrides

    Маршруты из вашего ноута правильные, т.е. конфигурация OpenVPN-сервера для мобильных клиентов правильная. Теперь вопрос настроек и конфигов ПФсенсы.
    Покажите еще правила фаервола на LAN, OpenVPN, а также Firewall: NAT: Outbound

    1 Reply Last reply Reply Quote 0
    • W
      werter
      last edited by Mar 14, 2016, 10:12 AM

      2 Tano

      Версия на мой взгляд значение не имеет, поскольку такая же проблема на планшете.

      О, еще как имеет.

      Так же выкладываю текущую конфигурацию Client Specific Overrides этого клиента-16_VPN_C3

      Если вашим машинам за сервером (к-ые в сети 192.168.1.0/24) не нужен доступ в сеть за этим Win-клиентом, то Client Specific Overrides
      не нужно.
      И еще, чтобы дать доступ за win-клиент нужно некоторое шаманство - https://community.openvpn.net/openvpn/wiki/NatOverWindows2008

      1. Enabling IP forwarding Press Windows+R and type:
      regedit.exe

      Now navigate to the:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters

      and set
      IpEnableRouter

      to 1

      И перезагрузить клиента.

      1 Reply Last reply Reply Quote 0
      • T
        timon12
        last edited by Mar 14, 2016, 11:55 AM Mar 14, 2016, 10:16 AM

        И еще, чтобы дать доступ за win-клиент нужно некоторое шаманство

        Верно подмечено!!!!!!

        yUb0j31YTbFwzXEVP5bVY28mzePPdVBPLWhwR3GZ.jpg
        yUb0j31YTbFwzXEVP5bVY28mzePPdVBPLWhwR3GZ.jpg_thumb

        1 Reply Last reply Reply Quote 0
        • E
          Electricshock
          last edited by Mar 14, 2016, 11:26 AM

          tap или tun? Если Site-to-Site?

          1 Reply Last reply Reply Quote 0
          • T
            Tano
            last edited by Mar 14, 2016, 2:23 PM

            @timon12:

            Добрый день!

            Вот свежие данные: Клиент ноутбук сони, подключен через вайфай к телефону который раздает инет.

            Если чесно, я не пользуюсь OpenVPN Client specific overrides.

            Для експеримента попробуйте удалить всех юзеров из  OpenVPN Client specific overrides, заново экспортировать настройки для подключения и проверить.
            (Сначало сделать, чтоб нормально любой клиент мог достучаться в удаленную сеть при подключении по ВПН, а уже потом для каждого клиента определять настройки.)
            ВВиду того, что https://doc.pfsense.org/index.php/OpenVPN_multi_purpose_single_server#OpenVPN_Client_specific_overrides

            Маршруты из вашего ноута правильные, т.е. конфигурация OpenVPN-сервера для мобильных клиентов правильная. Теперь вопрос настроек и конфигов ПФсенсы.
            Покажите еще правила фаервола на LAN, OpenVPN, а также Firewall: NAT: Outbound

            Если для клиента не использовать OpenVPN Client specific overrides то как я передам клиенту информацию об удаленной сети, в этом случае клиент получит доступ только в главную сеть, который по сути сейчас и имеет, но у него не появится маршрут в удаленную сеть.
            Поэтому в моём случае думаю Client specific overrides придется использовать.
            Или на сервере можно прописать удаленную сеть??? как локальную сеть? это будет верно?

            Настройки фаервола на LAN, OpenVPN, а также Firewall: NAT: Outbound я выложил в самом начале обсуждения вопроса.

            1 Reply Last reply Reply Quote 0
            • T
              timon12
              last edited by Mar 14, 2016, 2:59 PM

              Или на сервере можно прописать удаленную сеть??? как локальную сеть? это будет верно?

              В настроках openvpn сервера для мобильных клиентов (см скрин):
              В разделе Tunnel Settings -> IPv4 Local Network/s допишите через запятую в какие сети хотите предоставить доступ аля: 192.168.1.0/24,192.168.12.0/24,192.168.87.0/24. Пускай openvpn сервер сам определяет маршрутизацию.
              Для експеримента попробуйте удалить всех юзеров из  OpenVPN Client specific overrides, заново экспортировать настройки для подключения и проверить.

              В данном случае все клиенты, которые будут подключаться к openvpn для мобильных клиентов будт иметь одинаковые настройки, это имеет смысл для правильной настройки, когда все получиться, тогда делать для каждого клиента OpenVPN Client specific overrides - тем самым нарезая доступы как нравиться.

              ![Remote Access (SSL_TLS)2.jpg](/public/imported_attachments/1/Remote Access (SSL_TLS)2.jpg)
              ![Remote Access (SSL_TLS)2.jpg_thumb](/public/imported_attachments/1/Remote Access (SSL_TLS)2.jpg_thumb)

              1 Reply Last reply Reply Quote 0
              • W
                werter
                last edited by Mar 14, 2016, 3:01 PM

                Если для клиента не использовать OpenVPN Client specific overrides то как я передам клиенту информацию об удаленной сети, в этом случае клиент получит доступ только в главную сеть, который по сути сейчас и имеет, но у него не появится маршрут в удаленную сеть.

                Вы ошибаетесь. Client specific overrides исп-ся для сети за сервером для доступа к сети за клиентом.
                Для доступа к сети за сервером клиенту сервером отдаются марш-ты директивой push route …..;

                1 Reply Last reply Reply Quote 0
                • T
                  timon12
                  last edited by Mar 14, 2016, 3:30 PM Mar 14, 2016, 3:18 PM

                  Если для клиента не использовать OpenVPN Client specific overrides то как я передам клиенту информацию об удаленной сети

                  При подключении клиент запрашивает у сервера лист маршрутизации, а сервер ему выдает куда можно ходить клиенту исходя из списка В разделе Tunnel Settings -> IPv4 Local Network/s. Я б не советовал, но у меня таким образом настроенно, и работает все прекрасно.

                  Суть таковая, клиент подключаеться к ПФ-ке, ПФ-ка выдает клиенту маршруты из "Tunnel Settings -> IPv4 Local Network/s" (смотрим маршрутизацию после подключения впн). Дальше клиент посылает запрос на удаленню сеть .87.0/24, и пакет по таблице идет локально – в тунель впн -- на ПФ-ку (пф-ка уже знает где ваша сеть .0.87/24) -- сново впн тунель в удаленку -- УДАЛЕНКА, А вот будет ли ответ здесь, зависит от того знает ли ваш роутер на удаленке где сеть с которой клиент посылает запрос.
                  Вот и все шаманство на двух пальцах.

                  Дело за вами, как плясать с бубном))))))))

                  1 Reply Last reply Reply Quote 0
                  • T
                    Tano
                    last edited by Mar 14, 2016, 4:03 PM

                    @werter:

                    Если для клиента не использовать OpenVPN Client specific overrides то как я передам клиенту информацию об удаленной сети, в этом случае клиент получит доступ только в главную сеть, который по сути сейчас и имеет, но у него не появится маршрут в удаленную сеть.

                    Вы ошибаетесь. Client specific overrides исп-ся для сети за сервером для доступа к сети за клиентом.
                    Для доступа к сети за сервером клиенту сервером отдаются марш-ты директивой push route …..;

                    Спасибо за подсказку, я забыл про этот момент.
                    Сейчас доеду до удобного места и поэкспериментирую.

                    1 Reply Last reply Reply Quote 0
                    • P
                      pigbrother
                      last edited by Mar 14, 2016, 5:10 PM Mar 14, 2016, 5:06 PM

                      @Electric^shock:

                      tap или tun? Если Site-to-Site?

                      tun - для маршрутизации между разными сетями. tap - объединения сетей в одну L2\Ethernet-сеть, как будто у сетей один свитч.
                      https://ru.wikipedia.org/wiki/TUN/TAP

                      1 Reply Last reply Reply Quote 0
                      • T
                        Tano
                        last edited by Mar 15, 2016, 10:42 AM Mar 15, 2016, 10:35 AM

                        @Tano:

                        @werter:

                        Если для клиента не использовать OpenVPN Client specific overrides то как я передам клиенту информацию об удаленной сети, в этом случае клиент получит доступ только в главную сеть, который по сути сейчас и имеет, но у него не появится маршрут в удаленную сеть.

                        Вы ошибаетесь. Client specific overrides исп-ся для сети за сервером для доступа к сети за клиентом.
                        Для доступа к сети за сервером клиенту сервером отдаются марш-ты директивой push route …..;

                        Спасибо за подсказку, я забыл про этот момент.
                        Сейчас доеду до удобного места и поэкспериментирую.

                        Общее замечание:
                        По поводу Client specific overrides  я настраивал OPEN VPN режим Remote access SSL/TSL все по этой "ИНСТРУКЦИИ https://forum.pfsense.org/index.php?topic=99694.0"
                        Там как раз мобильному клиенту (по аналогии с удаленным шлюзом) настраивается Client specific overrides, вот я и посчитал, что основная цель этого раздела для передачи маршрутов, а оказалось, что в действительности все маршруты может дать сервер, и лишь если надо конкретному клиенту создать особые правила, можно/нужно применить  Client specific overrides для этого клиента.

                        В моём случае:
                        Теперь удалил по вашим советам все Client specific overrides кроме одного, который для роутера, где и нужно обеспечить двухсторониий обмен данными и чтобы все машины за сервером и за роутером могли обмениваться данными друг с другом. Сейчас это реализовано, обмен есть.
                        Роутер получает инструкцию от сервера и поднимает два маршрута в главную сеть, у меня их две сети LAN,  в итоге он впускает и выпускает пакеты из/в главной сети.
                        При подключении мобильного клиента, он получает все инструкции от сервера, в том числе три маршрута и один из них в сеть …87.0/24, без использования  Client specific overrides, однако доступа в удаленную сеть 192.168.87.0/24 нет.
                        Затык идет на pfsense, он не заворачивает запрос из туннеля openvpn мобильного клиента в туннель между pfsense-роутер.
                        В FW OPENVPN правило Pv4 * * * * * * none
                        В FW LAN правило        IPv4 * LAN net * 192.168.87.0/24 * * none
                        Floating ничего нет
                        WAN открыт нужные порты иначе не было бы соединения.
                        OutBound WAN 127.0.0.0/8 192.168.1.0/24 192.168.12.0/24 192.168.1.80/32 10.0.0.0/24 10.87.0.0/24 10.12.0.0/24 * * * WAN address * NO

                        1 Reply Last reply Reply Quote 0
                        • T
                          timon12
                          last edited by Mar 15, 2016, 1:18 PM Mar 15, 2016, 1:10 PM

                          Главное не бояться экспериментов, так и учимся.
                          Отлично, ковыряем дальше NAT или Firewall-rules

                          При подключении мобильного клиента, он получает все инструкции от сервера, в том числе три маршрута и один из них в сеть …87.0/24, без использования  Client specific overrides, однако доступа в удаленную сеть 192.168.87.0/24 нет.
                          Затык идет на pfsense, он не заворачивает запрос из туннеля openvpn мобильного клиента в туннель между pfsense-роутер.
                          В FW OPENVPN правило Pv4 *  *  *  *  *  *  none
                          В FW LAN правило        IPv4 *  LAN net  *  192.168.87.0/24  *  *  none

                          Обратно же, для понимания в чем затык, предлагаю поставить первым правило
                          В FW LAN правило        IPv4 *  *  *  192.168.87.0/24  *  *  none

                          Делаем трасерт на .87.0\24 с мобильго клиента, ложим скрин на форум.

                          Если проблема в этом, тогда изменим на (но только тогда)
                          В FW LAN правило        IPv4 *  VPN mobile net  *  192.168.87.0/24  *  *  none

                          Если проблема не решена, пишем на форум и думаем дальше.
                          И забегая наперед, покажите таблицу маршрутизации вашего удаленного роутера, интересует вопрос, знает ли он, где ваша сеть для мобильных клиентов (в идеале должен знать, когда подключился по впн к ПФ-ке в центральном офисе)

                          Теперь удалил по вашим советам все Client specific overrides кроме одного, который для роутера

                          Этот момент смущает немного, но вначале разберемся с заворотом трафика из впн в впн. Там парочка отдельных вопросов.

                          1 Reply Last reply Reply Quote 0
                          • T
                            Tano
                            last edited by Mar 15, 2016, 9:21 PM Mar 15, 2016, 9:17 PM

                            timon12
                            Спасибо за помощь.
                            Правило было первым, добавил еще два правила с туннелями, как вы предложили, два потому, что у меня два туннеля.
                            Выложил скрин FW LAN.
                            Все равно трасерт не проходит, так же как не проходил без этих дополнительных правил.
                            Скрины во вложении, в том числе и таблица маршрутизации на удаленном роутере.

                            ![Route print client_sony1.PNG](/public/imported_attachments/1/Route print client_sony1.PNG)
                            ![Route print client_sony1.PNG_thumb](/public/imported_attachments/1/Route print client_sony1.PNG_thumb)
                            ![Tracert1 from client to 87net.PNG](/public/imported_attachments/1/Tracert1 from client to 87net.PNG)
                            ![Tracert1 from client to 87net.PNG_thumb](/public/imported_attachments/1/Tracert1 from client to 87net.PNG_thumb)
                            ![Routes-tomato router1.JPG](/public/imported_attachments/1/Routes-tomato router1.JPG)
                            ![Routes-tomato router1.JPG_thumb](/public/imported_attachments/1/Routes-tomato router1.JPG_thumb)
                            ![FW LAN.JPG](/public/imported_attachments/1/FW LAN.JPG)
                            ![FW LAN.JPG_thumb](/public/imported_attachments/1/FW LAN.JPG_thumb)

                            1 Reply Last reply Reply Quote 0
                            • W
                              werter
                              last edited by Mar 16, 2016, 6:56 AM

                              Последний скрин.
                              На LAN работают правила, относящиеся только к LAN. Никакие др. запреты\разрешения , касающиеся др. сетей не работают.
                              Так что всякие там 10.x.x.x и т.д. , если это на virtual ip LAN, работать не будут. Откл. их.

                              1 Reply Last reply Reply Quote 0
                              • T
                                timon12
                                last edited by Mar 16, 2016, 8:06 AM

                                На LAN работают правила, относящиеся только к LAN.

                                Тоже верно, но на всякий случай проверить стоило, мое мнение.

                                Tano!
                                На скрине Routes-tomato router1.JPG нет маршрута к сети мобильных клиентов, по идее пф-ка должна была выдать томато еще и такой маршрут (при поднятии коннекта между офисами):
                                Destination        Gateway        Subnet    Metric    Inteface


                                192.168.1.0      10.87.0.5      /24            0            tun11  - этот маршрут у томато есть
                                10.0.0.0            10.87.0.5      /24            0            tun11  - а вот этого не хватает

                                Как вариант, можно дописать в настройках "впн-сервера между офисами" Tunnel Settings -> IPv4 Local Network/s - сеть мобильных клиетнов (10.0.0.0\24), или в client cpecific overrides (что менее практично, и для томато я бы тоже удалил настройки в client cpecific overrides)

                                1 Reply Last reply Reply Quote 0
                                • P
                                  pigbrother
                                  last edited by Mar 16, 2016, 9:29 AM

                                  Потерял сюжетную линию саги pfSense OpenVPN Server + Linux-client.

                                  Возможно - не к месту, но в свое время столкнулся с тем, что OVPN-клиент Микротик при работе c pfSense упорно не получал маршруты в удаленные OpenVPN сети.
                                  Помогло явное указание шлюза в Client Specific Overrides, т.е.
                                  push route "xx.0.3.0 255.255.255.0 10.11.12.1";push route "xx.0.5.0 255.255.255.0 10.11.12.1"; 
                                  где 10.11.12.1 - "серверный" IP туннеля.

                                  либо статическое прописывание этого шлюза в клиенте.

                                  1 Reply Last reply Reply Quote 0
                                  • T
                                    timon12
                                    last edited by Mar 16, 2016, 10:00 AM

                                    pigbrother!
                                    Ход мыслей у вас правильный, а вот где прописывать настройки это уже зависит от того кого с кем надо "скрещивать".
                                    Был и у меня "брачный период pfsense+mikrotik", в итоге mikrotik остался как пограничный шлюз (випиэнами подружились, а вот скорость коннекта с шифрованием не вытащил на минимально необходимую), вопрос решился установкой пф-ки с впнэнами как виртуальную.

                                    1 Reply Last reply Reply Quote 0
                                    • P
                                      pigbrother
                                      last edited by Mar 16, 2016, 10:24 AM Mar 16, 2016, 10:20 AM

                                      Минимально необходимая - это сколько?

                                      Основная нагрузка туннелей у меня - RDP, ему много не надо. Тестировал и передачей больших файлов. Максимально удавалось получать прибл. 15 мегабит, причем узким местом был\есть и слабенький процессор на машине с pfSense.

                                      1 Reply Last reply Reply Quote 0
                                      • W
                                        werter
                                        last edited by Mar 16, 2016, 11:47 AM

                                        2 pigbrother

                                        Попробуйте в конфиг OpenVPN-сервера в Advanced добавить :

                                        sndbuf 100000;
                                        rcvbuf 100000;
                                        push "sndbuf 100000";
                                        push "rcvbuf 100000";

                                        После, переподкл. клиентом и проверить скорость передачи в туннеле. Есть вариант, что она вас удивит.

                                        1 Reply Last reply Reply Quote 0
                                        • T
                                          Tano
                                          last edited by Mar 16, 2016, 11:57 AM

                                          @timon12:

                                          На LAN работают правила, относящиеся только к LAN.

                                          Тоже верно, но на всякий случай проверить стоило, мое мнение.

                                          Tano!
                                          На скрине Routes-tomato router1.JPG нет маршрута к сети мобильных клиентов, по идее пф-ка должна была выдать томато еще и такой маршрут (при поднятии коннекта между офисами):
                                          Destination        Gateway        Subnet    Metric    Inteface


                                          192.168.1.0      10.87.0.5      /24            0            tun11  - этот маршрут у томато есть
                                          10.0.0.0            10.87.0.5      /24            0            tun11  - а вот этого не хватает

                                          Как вариант, можно дописать в настройках "впн-сервера между офисами" Tunnel Settings -> IPv4 Local Network/s - сеть мобильных клиетнов (10.0.0.0\24), или в client cpecific overrides (что менее практично, и для томато я бы тоже удалил настройки в client cpecific overrides)

                                          Поскольку мне нужно организовать двухстороний обмен я решил пока оставить client cpecific overrides для роутера и в поле IPv4 Local Network/s добавил 10.0.0.0\24, перегрузил канал, роутер получил еще одно правило - 10.0.0.0 10.87.0.5 255.255.255.0 0 tun11
                                          Из FW LAN убрал два ненужных правила.
                                          Проверить что изменилось смогу только ближе к вечеру.
                                          Но как мне кажется проблема именно на PFSENSE, поскольку на ней тормозится трасировка и нет переброски пакетов из сети 10.0.0.0\24 в сеть 10.87.0.0/24

                                          1 Reply Last reply Reply Quote 0
                                          53 out of 76
                                          • First post
                                            53/76
                                            Last post
                                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.
                                            This community forum collects and processes your personal information.
                                            consent.not_received