Назад | Перейти на главную страницу

OpenVPN Site2Site с использованием PFSense

В настоящее время я создаю s2s VPN, используя 2 устройства pfsense (2.0.2). туннель строится, но я не могу перенаправить трафик с одной стороны на другую, проверьте мою тестовую лабораторию:

Хорошо, я создаю новую тестовую лабораторию, чтобы сузить ошибку. Вот что я делаю:

Сайт A PFSense:

Клиентский сайт A:

Сайт B PFSense:

Клиентский сайт B:

Конфигурация сайта B PFSense:

Конфигурация сайта A PFSense:

-> Подходит VPN-туннель, и я вижу состояние на обоих концах pfsense. НИЧЕГО ЕЩЕ не было настроено в pfsense

Тестирование:

Клиент на сайте A не может проверить связь с клиентом на сайте B, и наоборот. pathping показывает, что маршрут заканчивается в gw клиента (порт LAN PFSense).

PFSense на сайте A не может проверить связь с клиентом на сайте B с помощью интерфейса LAN и WAN, но успешно с помощью интерфейса OTP1. Однако клиент на сайте B не может проверить связь с PFSense на сайте A.

Однако это неверно для пинга от PFSense на сайте B к клиенту на сайте A: ping не работает ни с одним интерфейсом. И снова: проверка связи PFSense на сайте B с клиента на сайте A не выполняется.

Также PFSense на сайте B не может пинговать клиента на сайте A и наоборот. Протестировано с использованием интерфейсов WAN, LAN и OTP1 для отправки эхо-запросов.

Странно: PFsense на сайте A может пинговать PFSense на сайте B, но не наоборот!

Результат:

Только прямой клиент, которым является pfsense на сайте A, кажется, может разговаривать с ВСЕМ в удаленной сети (pfsense или любым клиентом). клиенты, которые пытаются выполнить маршрутизацию через pfsense, не могут связаться, даже если они находятся в той же подсети, что и pfsense, поэтому сеть должна быть известна удаленному сайту. также НАЧАЛО коммуникации на сервере (B) кажется, что ничего не достигает на клиентском сайте (A).

Это вызывает два вопроса: - Как мне сообщить PFsense / OpenVPN, чтобы он также передавал трафик VPN от любого клиента, который маршрутизируется через pfsense (из той же подсети) (я предполагаю, что NAT будет работать, но на самом деле нет другого пути?) - Как разрешить генерируемый трафик на моем сервере (B), чтобы перейти через VPN на клиентский сайт?

Редактировать № 2

Я добавил это в расширенную конфигурацию на стороне сервера без каких-либо других эффектов, кроме описанных выше в тестах:

route 192.168.2.0 255.255.255.0;push "route 192.168.3.0 255.255.255.0";

Кроме того, используя pfsense 2.0.1, я понял, что, когда соединение vpn установлено, у меня теперь есть шлюз с IP-адресом интерфейса ovpn, добавленным к моим шлюзам, что позволило мне добавить статический маршрут к удаленной сети с помощью этого интерфейса. Я сделал это как на сайте A, так и на сайте B (или на клиенте и сервере, если хотите).

Редактировать № 3

вот экраны, показывающие маршруты: Маршруты сайта B (сервер):

Сайт А (клиент):

Я бы использовал статические маршруты, а не push-маршруты в ситуации s2s. Или, в зависимости от сложности сети, используйте OSPF для обмена маршрутами. Но если честно, я никогда не пробовал проталкивать маршруты в ситуации s2s. Это может прекрасно работать для простых настроек.

Для настройки s2s с openvpn на pfsense вам нужно сделать 2 вещи после того, как вы настроили сервер / клиент openvpn.

  1. Вам нужно добавить туннель s2s в качестве интерфейса в Интерфейсы-> Назначить на каждом маршрутизаторе.
  2. По умолчанию брандмауэр блокирует весь трафик на этих интерфейсах, поэтому вам нужно добавить некоторые правила, разрешающие все для этих интерфейсов. Вы можете применять правила по мере необходимости, когда у вас все работает