Ocorreu um problema com o OpenVPN e o pfSense site-to-site não passando tráfego

Question

Estou tentando fazer um túnel OpenVPN em execução no pfSense 1.2.3-RELEASE em roteadores incorporados.

Eu tenho uma LAN local 10.34.43.0/254. A LAN remota é 10.200.1.0/24. O pfSense local é configurado como o cliente e o remoto é configurado como o servidor.

Meu túnel OpenVPN está usando o intervalo de IPs 10.99.89.0/24 internamente. Há também algumas LANs adicionais no lado remoto roteadas através do túnel, mas o problema não é com essas desde que minha conectividade falha antes desse ponto na cadeia.

O túnel vem bem e as toras parecem saudáveis. O que eu acho é isso: -

• Eu posso fazer ping e telnet para a LAN remota e as LANs adicionais remotas do shell da caixa local do pfSense.
• Não consigo fazer ping ou fazer telnet para nenhuma rede local remota da rede local.
• Não consigo pingar ou fazer telnet para a rede local a partir da LAN remota ou do shell da caixa do pfSense remoto.
• Se eu tcpdump as interfaces tun em ambos os lados e ping da LAN local, vejo os pacotes atingirem o tunel localmente, mas eles não aparecem no lado remoto (nem aparecem na interface LAN remota se eu tcpdump isso).
• Se eu tcpdump as interfaces de tun em ambos os lados e ping do shell de pfSense local, vejo os pacotes atingem o tunel localmente e saem do lado remoto. Eu também posso tcpdump a interface LAN remota e vê-los passar lá também.
• Se eu tcpdump as interfaces de tun em ambos os lados e ping do shell pfSense remoto, vejo os pacotes atingem o tun remoto, mas eles não surgem do local.

Aqui está o arquivo de configuração que o lado remoto está usando: -

#user nobody
#group nobody
daemon
keepalive 10 60
ping-timer-rem
persist-tun
persist-key
dev tun
proto udp
cipher BF-CBC
up /etc/rc.filter_configure
down /etc/rc.filter_configure
server 10.99.89.0 255.255.255.0
client-config-dir /var/etc/openvpn_csc
push "route 10.200.1.0 255.255.255.0"
lport <port>
route 10.34.43.0 255.255.255.0
ca /var/etc/openvpn_server0.ca
cert /var/etc/openvpn_server0.cert
key /var/etc/openvpn_server0.key
dh /var/etc/openvpn_server0.dh
comp-lzo
push "route 205.217.5.128 255.255.255.224"
push "route 205.217.5.64 255.255.255.224"
push "route 165.193.147.128 255.255.255.224"
push "route 165.193.147.32 255.255.255.240"
push "route 192.168.1.16 255.255.255.240"
push "route 192.168.2.16 255.255.255.240"

Aqui está a configuração local: -

writepid /var/run/openvpn_client0.pid
#user nobody
#group nobody
daemon
keepalive 10 60
ping-timer-rem
persist-tun
persist-key
dev tun
proto udp
cipher BF-CBC
up /etc/rc.filter_configure
down /etc/rc.filter_configure
remote <host> <port>
client
lport 1194
ifconfig 10.99.89.2 10.99.89.1
ca /var/etc/openvpn_client0.ca
cert /var/etc/openvpn_client0.cert
key /var/etc/openvpn_client0.key
comp-lzo

Você pode ver as partes relevantes das tabelas de roteamento extraídas do pfSense aqui link

O firewall local permite todo o ICMP da LAN, e meu PC tem permissão para tudo em qualquer lugar. O firewall remoto trata sua LAN como confiável e permite todo o tráfego nessa interface.

Alguém pode sugerir por que isso não está funcionando e o que eu poderia tentar agora?

    

Answer 1

Com as VPNs de site / site SSL / TLS, você precisa da rota no servidor e do iroute em uma substituição específica do cliente. A descrição aqui parece que você está perdendo isso. Ao contrário da chave compartilhada, onde a rota no servidor é suficiente. No caso de VPNs como essa, a rota no servidor envia esse tráfego para aquela instância específica do OpenVPN, e seu roteamento interno, via iroutes, deve saber qual cliente rotear essa rede específica.

Em VPN > OpenVPN, guia Substituição específica do cliente, adicione uma nova entrada. Para o "Nome comum", insira o CN do certificado no lado do cliente. Na caixa Avançado, preencha "iroute 10.34.43.0 255.255.255.0" (sem aspas). Deixe o resto nos padrões, clique em Salvar. Reinicie o cliente OpenVPN a partir de Status > Services no sistema do cliente e, uma vez reconectado, ele deverá funcionar se for realmente o iroute ausente.