OpenVPN и IPSEC-туннели, вопрос по доступу?

Question

DarhuBer @DarhuBer

OpenVPN и IPSEC-туннели, вопрос по доступу?

Всем привет.
Ситуация следующая:
Во временное пользование выдали доступ к серверу FreeBSD (пока настоящий админ не вернется).
На нем поднят IPSEC-туннель до филиала и OpenVPN сервер.
Все замечательно работает, но есть такая засада - при подключении удаленного клиента через OpenVPN у него есть доступ к локальным ресурсам, но доступа к ресурсам по IPSEC-туннелю нет.

Подскажите - в какую сторону копать, 3 дня гуглинга пока никак не помогли.

Вопрос задан более трёх лет назад
203 просмотра

5 комментариев

Подписаться 1 Простой 5 комментариев

vreitech @fzfx

то есть 5 узлов:
- ваш комп;
- сервер FreeBSD;
- комп в филиале;
- комп какого-то удалённого клиента;
- компы с локальными ресурсами клиента.
верно?
что к чему и как подключено?

Написано более трёх лет назад
DarhuBer @DarhuBer Автор вопроса

FreeBSD-сервер (192.168.70.254) в качестве маршрутизатора. Пользователи локальной сети (192.168.70.0/24) ходят в интернет через него.
На нем в числе прочих подняты OpenVPN-сервер (10.8.0.0/24) и IPSEC-туннель через интернет до аналогичного FreeBSD-сервера (192.168.50.254) в филиале (192.168.50.0/24).
На локальной машине в филиале 192.168.50.4 поднят веб-сервер - в обоих филиалах он доступен.
При подключении к OpenVPN-серверу извне все ресурсы 70-подсети доступны, а 50-подсети (филиал) - нет. Пингов тоже нет.

Написано более трёх лет назад
Denis Michurin @denistu10

DarhuBer, А для клиентов OpenVPN вы указали что подсеть 192.168.50.0/24 находится что за шлюзом 192.168.70.254?

Написано более трёх лет назад
vreitech @fzfx

DarhuBer, сдаётся на втором FreeBSD-сервере нужно указать маршрут до подсети 10.8.0.0/24.

Написано более трёх лет назад

DarhuBer @DarhuBer Автор вопроса

Пушатся 2 маршрута насколько я понял.
Конфиг OpenVPN:

port 1194
proto udp
dev tun
ca certs/ca.crt
cert certs/vpnserver.crt
key certs/vpnserver.key
dh certs/dh2048.pem
server 10.8.0.0 255.255.255.0
;ifconfig-pool-persist ipp.txt
push "route 192.168.50.0 255.255.255.0"
push "route 192.168.70.0 255.255.255.0"
;push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 192.168.70.30"
push "dhcp-option DNS 192.168.70.254"
push "dhcp-option DOMAIN contoso.local"
;client-to-client
duplicate-cn
keepalive 10 120
tls-auth certs/ta.key 0
cipher AES-256-CBC
;compress lz4-v2
;push "compress lz4-v2"
comp-lzo
;max-clients 100
user nobody
group nobody
persist-key
persist-tun
status      /var/log/openvpn/openvpn-status.log
log         /var/log/openvpn/openvpn.log
;log-append  openvpn.log
verb 3
;mute 20
explicit-exit-notify 1

# OpenLDAP Auth
plugin /usr/local/lib/openvpn-auth-ldap.so "/usr/local/etc/openvpn/auth-ldap.conf"
;client-cert-not-required
username-as-common-name

script-security 2
--client-connect scripts/up.sh
--client-disconnect scripts/down.sh

Написано более трёх лет назад

Решения вопроса 1

Комментировать

Пригласить эксперта

Ответы на вопрос 1

5 комментариев

DarhuBer @DarhuBer Автор вопроса

С доступом к админу сложно - еще неделю его не будет вообще.
Конфиг OpenVPN:

port 1194
proto udp
dev tun
ca certs/ca.crt
cert certs/vpnserver.crt
key certs/vpnserver.key
dh certs/dh2048.pem
server 10.8.0.0 255.255.255.0
;ifconfig-pool-persist ipp.txt
push "route 192.168.50.0 255.255.255.0"
push "route 192.168.70.0 255.255.255.0"
;push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 192.168.70.30"
push "dhcp-option DNS 192.168.70.254"
push "dhcp-option DOMAIN contoso.local"
;client-to-client
duplicate-cn
keepalive 10 120
tls-auth certs/ta.key 0
cipher AES-256-CBC
;compress lz4-v2
;push "compress lz4-v2"
comp-lzo
;max-clients 100
user nobody
group nobody
persist-key
persist-tun
status      /var/log/openvpn/openvpn-status.log
log         /var/log/openvpn/openvpn.log
;log-append  openvpn.log
verb 3
;mute 20
explicit-exit-notify 1

# OpenLDAP Auth
plugin /usr/local/lib/openvpn-auth-ldap.so "/usr/local/etc/openvpn/auth-ldap.conf"
;client-cert-not-required
username-as-common-name

script-security 2
--client-connect scripts/up.sh
--client-disconnect scripts/down.sh

Написано более трёх лет назад

DarhuBer @DarhuBer Автор вопроса

Netstat на сервере (убрал лишнее):

[root@server01 /var/log]# netstat -rn
Routing tables

Internet:
Destination        Gateway            Flags     Netif Expire
default            xx.xx.xx.xx      UGS         ng0
10.8.0.0/24        10.8.0.2           UGS        tun0
10.8.0.1           link#11            UHS         lo0
10.8.0.2           link#11            UH         tun0
xx.xx.xx.xx      link#9             UH          ng0
127.0.0.1          link#4             UH          lo0
172.16.0.0/24      172.16.0.49        UGS        gif0
172.16.0.49        link#5             UH         gif0
172.16.0.50        link#5             UHS         lo0
172.16.1.1         lo0                UHSB        lo0
192.168.50.0/24    172.16.0.49        UGS        gif0
192.168.70.0/24    link#1             U           re0
192.168.70.254     link#1             UHS         lo0
192.168.254.0/24   172.16.0.49        UGS        gif0

Internet6:
Destination                       Gateway                       Flags     Netif Expire
::/96                             ::1                           UGRS        lo0
::1                               link#4                        UH          lo0
::ffff:0.0.0.0/96                 ::1                           UGRS        lo0
fe80::/10                         ::1                           UGRS        lo0
fe80::%lo0/64                     link#4                        U           lo0
fe80::1%lo0                       link#4                        UHS         lo0
fe80::c6e9:84ff:fe03:ad2e%tun0    link#11                       UHS         lo0
ff02::/16

Написано более трёх лет назад

DarhuBer @DarhuBer Автор вопроса

ifconfig на сервере (лишнее убрал):

ifconfig
re0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> metric 0 mtu 1500
	description: TP-Link 3468 Adapter Office LAN
	options=8209b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_MAGIC,LINKSTATE>
	ether c4:e9:84:03:ad:2e
	hwaddr c4:e9:84:03:ad:2e
	inet 192.168.70.254 netmask 0xffffff00 broadcast 192.168.57.255 
	nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL>
	media: Ethernet autoselect (1000baseT <full-duplex>)
	status: active
re1: flags=8802<BROADCAST,SIMPLEX,MULTICAST> metric 0 mtu 1500
	options=8209b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_MAGIC,LINKSTATE>
	ether 14:cc:20:05:eb:74
	hwaddr 14:cc:20:05:eb:74
	nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL>
	media: Ethernet autoselect (10baseT/UTP <half-duplex>)
	status: no carrier
re2: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
	description: built-in Motherboard NIC Rostelecom Internet Cable (via Huawei GPON EchoLife HG8245H)
	options=8209b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_MAGIC,LINKSTATE>
	ether 30:5a:3a:7e:92:f4
	hwaddr 30:5a:3a:7e:92:f4
	nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL>
	media: Ethernet autoselect (1000baseT <full-duplex>)
	status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> metric 0 mtu 16384
	options=600003<RXCSUM,TXCSUM,RXCSUM_IPV6,TXCSUM_IPV6>
	inet6 ::1 prefixlen 128 
	inet6 fe80::1%lo0 prefixlen 64 scopeid 0x4 
	inet 127.0.0.1 netmask 0xff000000 
	nd6 options=21<PERFORMNUD,AUTO_LINKLOCAL>
	groups: lo 
gif0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1400
	description: office <---> remote
	options=80000<LINKSTATE>
	tunnel inet zz.zz.zz.zz --> yy.yy.yy.yy
	inet 172.16.0.50 --> 172.16.0.49  netmask 0xfffffffc 
	nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL>
	groups: gif 
tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1500
	options=80000<LINKSTATE>
	inet6 fe80::c6e9:84ff:fe03:ad2e%tun0 prefixlen 64 scopeid 0xb 
	inet 10.8.0.1 --> 10.8.0.2  netmask 0xffffffff 
	nd6 options=21<PERFORMNUD,AUTO_LINKLOCAL>
	groups: tun 
	Opened by PID 50456
ng0: flags=88d1<UP,POINTOPOINT,RUNNING,NOARP,SIMPLEX,MULTICAST> metric 0 mtu 1460
	inet zz.zz.zz.zz --> xx.xx.xx.xx  netmask 0xffffffff 
	nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL>

Написано более трёх лет назад

DarhuBer @DarhuBer Автор вопроса

netstat на внешнем клиенте (после подключения через OpenVPN):

netstat -rn
Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags MSS Window irtt Iface
0.0.0.0         192.168.100.1   0.0.0.0         UG        0 0          0 br1
10.8.0.1        10.8.0.17       255.255.255.255 UGH       0 0          0 tun0
10.8.0.17       0.0.0.0         255.255.255.255 UH        0 0          0 tun0
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 br1
172.17.0.0      0.0.0.0         255.255.0.0     U         0 0          0 docker0
172.18.0.0      0.0.0.0         255.255.0.0     U         0 0          0 br-fbe7e235dd5b
172.19.0.0      0.0.0.0         255.255.0.0     U         0 0          0 docker_gwbridge
192.168.50.0    10.8.0.17       255.255.255.0   UG        0 0          0 tun0
192.168.70.0    10.8.0.17       255.255.255.0   UG        0 0          0 tun0
192.168.100.0   0.0.0.0         255.255.255.0   U         0 0          0 br1
192.168.122.0   0.0.0.0         255.255.255.0   U         0 0          0 virbr0

Написано более трёх лет назад

DarhuBer @DarhuBer Автор вопроса

Пока копаю в сторону ipfw

Написано более трёх лет назад

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Похожие вопросы

Компьютерные сети

+4 ещё

Средний
Как настроить маршрутизацию трафика с использованием двух сетевых карт для выхода на перечень адресов (сайтов) ТОЛЬКО через одну сетевую карту?
- 1 подписчик
- 4 часа назад
- 39 просмотров
2

ответа
Компьютерные сети

+2 ещё

Простой
Доступ из VPN наружу?
- 1 подписчик
- 8 часов назад
- 65 просмотров
0

ответов
Сетевое оборудование

+1 ещё

Средний
Проброс портов из одной сети в другую Keenetic?
- 1 подписчик
- вчера
- 116 просмотров
3

ответа
PHP

+2 ещё

Сложный
Как обойти блокировку серверов CloudFlare на уровне провайдера?
- 1 подписчик
- 20 нояб.
- 3979 просмотров
6

ответов
Системное администрирование

+1 ещё

Простой
Как раздать интернет в другую подсеть внутри микрота?
- 2 подписчика
- 20 нояб.
- 1536 просмотров
2

ответа
VPN

+1 ещё

Простой
Как продлить сертификат панели 3X-UI?
- 1 подписчик
- 19 нояб.
- 316 просмотров
2

ответа
Сетевое оборудование

+1 ещё

Простой
Как сменить маршрут до игрового сервера?
- 4 подписчика
- 19 нояб.
- 1139 просмотров
6

ответов
Железо

+2 ещё

Простой
Какие бывают роутеры с двумя VLAN?
- 1 подписчик
- 19 нояб.
- 389 просмотров
5

ответов
Компьютерные сети

+2 ещё

Средний
Какой роутер взять домой чтоб был гибкий к настройке?
- 3 подписчика
- 18 нояб.
- 7124 просмотра
13

ответов
Google

+1 ещё

Средний
Как мне настроить VPN, чтобы обойти гугловский определитель локации?
- 3 подписчика
- 18 нояб.
- 9086 просмотров
9

ответов
Показать ещё Загружается…

Customer Support manager

IT Consult

от 600 $

Преподаватель курса по информационной безопасности

Eltex • Новосибирск

от 130 000 ₽

Сетевой инженер

Cloud4Y • Ярославль

от 150 000 до 250 000 ₽

Смонтировать видео

23 нояб. 2024, в 01:31

1000 руб./за проект

Настроить сайт

23 нояб. 2024, в 00:16

2000 руб./за проект

Разобрать текущий ETL-процесс

22 нояб. 2024, в 23:55

3000 руб./за проект

то есть 5 узлов:
- ваш комп;
- сервер FreeBSD;
- комп в филиале;
- комп какого-то удалённого клиента;
- компы с локальными ресурсами клиента.
верно?
что к чему и как подключено?
FreeBSD-сервер (192.168.70.254) в качестве маршрутизатора. Пользователи локальной сети (192.168.70.0/24) ходят в интернет через него.
На нем в числе прочих подняты OpenVPN-сервер (10.8.0.0/24) и IPSEC-туннель через интернет до аналогичного FreeBSD-сервера (192.168.50.254) в филиале (192.168.50.0/24).
На локальной машине в филиале 192.168.50.4 поднят веб-сервер - в обоих филиалах он доступен.
При подключении к OpenVPN-серверу извне все ресурсы 70-подсети доступны, а 50-подсети (филиал) - нет. Пингов тоже нет.
DarhuBer, А для клиентов OpenVPN вы указали что подсеть 192.168.50.0/24 находится что за шлюзом 192.168.70.254?
DarhuBer, сдаётся на втором FreeBSD-сервере нужно указать маршрут до подсети 10.8.0.0/24.
Пушатся 2 маршрута насколько я понял.
Конфиг OpenVPN:
port 1194 proto udp dev tun ca certs/ca.crt cert certs/vpnserver.crt key certs/vpnserver.key dh certs/dh2048.pem server 10.8.0.0 255.255.255.0 ;ifconfig-pool-persist ipp.txt push "route 192.168.50.0 255.255.255.0" push "route 192.168.70.0 255.255.255.0" ;push "redirect-gateway def1 bypass-dhcp" push "dhcp-option DNS 192.168.70.30" push "dhcp-option DNS 192.168.70.254" push "dhcp-option DOMAIN contoso.local" ;client-to-client duplicate-cn keepalive 10 120 tls-auth certs/ta.key 0 cipher AES-256-CBC ;compress lz4-v2 ;push "compress lz4-v2" comp-lzo ;max-clients 100 user nobody group nobody persist-key persist-tun status /var/log/openvpn/openvpn-status.log log /var/log/openvpn/openvpn.log ;log-append openvpn.log verb 3 ;mute 20 explicit-exit-notify 1 # OpenLDAP Auth plugin /usr/local/lib/openvpn-auth-ldap.so "/usr/local/etc/openvpn/auth-ldap.conf" ;client-cert-not-required username-as-common-name script-security 2 --client-connect scripts/up.sh --client-disconnect scripts/down.sh

Answer 1 · 2018-09-19 14:15:07

Разобрался наконец. Как обычно, проблема была в другом месте и в маршрутизации.
Надо было на сервере в филиале добавить маршрут для подсети OpenVPN через gif-туннель.

Answer 2 · 2018-09-16 19:08:10

ky0 @ky0

Миллиардер, филантроп, патологический лгун

Звоните админу, пока чего-нибудь не поломали. Либо конфиги и топологию в студию.

Ответ написан более трёх лет назад

5 комментариев

OpenVPN и IPSEC-туннели, вопрос по доступу?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт