Вопрос или проблема
Я знаю, что этот вопрос задавался множество раз, и я просмотрел, вероятно, 100 различных ответов, но все равно не могу заставить это работать.
Я пытаюсь создать очень простое подключение OpenVPN между двумя сайтами. У меня есть подключение, настроенное и работающее между двумя локациями, однако я не могу настроить маршрутизацию для общения между устройствами в разных сетях.
Сайт A (Основной): 192.168.1.0/24
Сайт B: 192.168.2.0/24
VPN туннель: 10.1.10.0/24
Трассировка маршрута не удалась после первой попытки, так что похоже, что маршрут совсем не работает.
Любая помощь была бы фантастической!
Ответ приходит в виде вопроса. Где ваше правило NAT, которое будет преобразовывать исходящий трафик? Вам следует иметь исходящий NAT на стороне вашего сервера, настроенный следующим образом:
Интерфейс: тот, который вы используете для вашего туннеля
Протокол: любой
Источник: сеть с другого сайта
Назначение: любой
А в разделе преобразования
Адрес: адрес интерфейса
Вам нужен исходящий NAT, потому что в противном случае вы не сможете использовать туннель. Просто потому, что ваш маршрутизатор не знает маршрут к сети на другом сайте. Но если вы преобразуете адрес источника в адрес интерфейса туннеля, то он сможет ответить.
На обоих сайтах A и B для вашего VPN-туннеля вместо 10.1.10.0/24 попробуйте 10.1.10.0/30.
Я верю, что то, что вы делаете, должно работать, и я думаю, что это может быть ошибка в pfSense – я тоже не могу заставить работать ваш способ, однако это работает, если я использую /30…
Для VPN между сайтами я предпочитаю IPSEC. В любом случае попробуйте следовать этим инструкциям (официальным): https://doc.pfsense.org/index.php/OpenVPN_Site_To_Site
Я реализовал это в прошлом, и все работало хорошо.
Ответ или решение
Конечно, я помогу вам разобраться с проблемами маршрутизации для связи между двумя сайтами через OpenVPN в pfSense.
Проблема: У вас настроено соединение между двумя сайтами, но маршрутизация не работает должным образом, и вы не можете общаться между устройствами в разных сетях.
Сетевые настройки:
- Сайт А (Main): 192.168.1.0/24
- Сайт Б: 192.168.2.0/24
- VPN туннель: 10.1.10.0/24
Шаги для устранения проблем с маршрутизацией:
-
Настройка NAT:
Убедитесь, что у вас правильно настроены правила NAT на обеих сторонах (Сайт А и Сайт Б). Правило должно выглядеть следующим образом:- Интерфейс: Выберите интерфейс, который вы используете для VPN туннеля.
- Протокол: Установите на "Any".
- Источник: Укажите сеть другого сайта (например, для Сайта А укажите 192.168.2.0/24, для Сайта Б — 192.168.1.0/24).
- Назначение: Установите "Any".
- Трансляция:
- Адрес: Укажите адрес интерфейса туннеля (например, адрес 10.1.10.x).
Правило NAT обеспечит правильную трансляцию трафика через туннель, позволяя маршрутизатору правильно определять маршрут к сети на другом сайте.
-
Настройка маршрутов:
Убедитесь, что маршруты для сетей друг друга прописаны в таблице маршрутизации на обоих pfSense устройствах. Это можно сделать следующим образом:- Перейдите в System > Routing.
- Добавьте маршрут для сети противника (например, для Сайта А — маршрут 192.168.2.0/24 с шлюзом 10.1.10.x), чтобы пакеты направлялись через VPN туннель.
-
Проверка настроек OpenVPN:
Убедитесь, что при настройке OpenVPN туннеля вы правильно укажете параметры:- Область IP туннеля: Вместо использования 10.1.10.0/24, попробуйте использовать 10.1.10.0/30. Это поможет устранить потенциальные проблемы с маршрутизацией, так как будет использоваться более узкая подсеть.
-
Firewall правила:
Проверьте настройки файрвола на обоих pfSense.- Убедитесь, что есть правила, позволяющие трафику из локальных сетей на другие локальные сети через интерфейс OpenVPN.
-
Дополнительные шаги:
- Если вы все еще не видите трафик, проверьте логи OpenVPN (Diagnostics > Logs > System) на наличие ошибок соединения.
- Убедитесь, что маршрутизаторы могут пинговать друг друга по IP-адресам туннеля.
Заключение:
Следуя вышеуказанным шагам, вы должны решить проблемы с маршрутизацией между двумя сайтами через OpenVPN в pfSense. Если у вас остаются какие-либо проблемы, вывода и анализа лога станет следующим шагом в устранении неполадок. Также я рекомендую рассмотреть возможность использования IPSec, если у вас возникли постоянные проблемы с OpenVPN.
Если у вас есть дополнительные вопросы или вам нужна Быстрая помощь, не стесняйтесь обращаться!