The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"OpenVPN & PF: что открыть?"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение [ Отслеживать ]

"OpenVPN & PF: что открыть?"  +/
Сообщение от SaveMeGood on 08-Окт-09, 12:22 
Добрый, господа.
Имею две локалки и два шлюза под OpenBSD4.5. Шлюзы эти как две капли воды, за исключением, того что один из них OpenVPN-сервер, другой - клиент. И все то там прекрасно работает, да вот только локалки друг друга не видят. Причем как только на шлюзе-клиенте, я заменяю все фильтрующие правила на "pass all", локалки становятся доступными друг для друга; я вновь меняю правила в исходное положение (pfctl -f ессно делаю) и, чудо, сети продолжают друг друга видеть, до первой перезагрузки шлюза.
Такое ощущение будто шлюзы должны "понюхать" друг друга, как собаки, а pf им мешает.

Ниже pf.conf для обоих шлюзов. Буду благодарен за совет.

----------------------------------------------------------
set block-policy return
set loginterface $ext_if
set skip on { lo tun0 }
scrub in

nat on $ext_if from $local_net to any -> $ext_ip

block all
pass out on $int_if from any to $local_net
pass in quick on $int_if from $local_net to $int_if
pass in on $int_if proto tcp from $local_net to any flags S/SA modulate state
pass in on $int_if proto { icmp udp } from $local_net to any keep state

pass out on $ext_if proto tcp from any to any flags S/SA modulate state
pass out on $ext_if proto { icmp udp } from any to any keep state

pass in on $ext_if proto tcp from any to $ext_ip port 22 flags S/SA modulate state
pass in on $ext_if proto udp from any to $ext_ip port 1194 keep state
-------------------------------------------------------------

Высказать мнение | Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "OpenVPN & PF: что открыть?"  +/
Сообщение от local (??) on 08-Окт-09, 13:24 
Попробуйте изменить на
pass in on $ext_if proto {tcp udp} from any to $ext_ip port 1194 keep state
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "OpenVPN & PF: что открыть?"  +/
Сообщение от SaveMeGood on 08-Окт-09, 14:18 
>Попробуйте изменить на
>pass in on $ext_if proto {tcp udp} from any to $ext_ip port
>1194 keep state

Openvpn настроен на передачу по upd; я всеже изменил, но это не помогло.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "OpenVPN & PF: что открыть?"  +/
Сообщение от reader (ok) on 08-Окт-09, 16:02 
>>Попробуйте изменить на
>>pass in on $ext_if proto {tcp udp} from any to $ext_ip port
>>1194 keep state
>
>Openvpn настроен на передачу по upd; я всеже изменил, но это не
>помогло.

сделайте логирование того что блокируется и посмотрите

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "OpenVPN & PF: что открыть?"  +/
Сообщение от SaveMeGood on 08-Окт-09, 16:48 
>>>Попробуйте изменить на
>>>pass in on $ext_if proto {tcp udp} from any to $ext_ip port
>>>1194 keep state
>>
>>Openvpn настроен на передачу по upd; я всеже изменил, но это не
>>помогло.
>
>сделайте логирование того что блокируется и посмотрите

Oct 08 16:38:52.570648 rule 0/(match) block in on tun0: 94.*.*.178 > 192.168.2.20: icmp: echo request

set skip tun0 - не решает?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "OpenVPN & PF: что открыть?"  +/
Сообщение от SaveMeGood on 08-Окт-09, 17:00 
>[оверквотинг удален]
>>>>1194 keep state
>>>
>>>Openvpn настроен на передачу по upd; я всеже изменил, но это не
>>>помогло.
>>
>>сделайте логирование того что блокируется и посмотрите
>
>Oct 08 16:38:52.570648 rule 0/(match) block in on tun0: 94.*.*.178 > 192.168.2.20: icmp: echo request
>
>set skip tun0 - не решает?

Спасибо за ответ, это действительно так ((. На обоих шлюзах указано set skip on { lo tun0 }, но заработало только после того, как я явно указал это правилами:

#VPN
pass in on tun0 proto tcp from any to any $tcpstate
pass in on tun0 proto { icmp udp } from any to any $udpstate
pass out on tun0 proto tcp from any to any $tcpstate
pass out on tun0 proto { icmp udp } from any to any $udpstate

для меня это останется загадкой....

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
MIRhosting
Inferno Solutions
Hosting by Ihor
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2019 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру