Conexão OPENVPN entre Endians

[johnnycardoso]

Bom dia pessoal,

Estou abrindo esse tópico pelo motivo de não ter encontrado solução em outros tópicos daqui ou de outros lugares(estou lendo conteúdos à pelo menos 2 dias a fio).

Bom vamos lá.

Tenho uma estrutura de Matrizes e Filiais, onde atualmente tenho 3 Endians 2.5.2 em cada uma delas, estão fechadas por 1 OpenVPN Server (na Matriz) e nas filiais OpenVPN Gw2Gw. A disposição segue da seguinte forma.

Endian Filial 2 (Gw2Gw)
| ^
v |
Endian Matriz (OpenVPN Server)
| ^
v |
Endian Filial 1 (Gw2Gw)

Caso 1.
Os Endians se enxergam perfeitamente, consigo pingar entre as filiais sem problemas (como disposto no desenho acima).

Caso 2.
Consigo Acessar pela “matriz” e pela “filial 2” todos os computadores e serviços da “filial 1”.

Problema.
Não consigo acessar nenhum serviço/computador na “filial 2” (a não ser o Endian).

Segue Abaixo as Configurações de cada um separadamente.

Endian Matriz

Menu VPN -> Configurações Servidor OpenVPN
Servidor OpenVPN habilitado: V
Em bridge: V
Fazer bridge para: Verde

Menu VPN -> Configurações Servidor OpenVPN ->Contas

filial1
Redes atrás do Cliente: 192.168.3.0/24
Forçar esse servidor de nomes: 192.168.3.254 (Ip do endian filial 1)
filial2
Redes atrás do Cliente: 192.168.4.0/24
Forçar esse servidor de nomes: 192.168.4.254 (Ip do endian filial 2)

Menu VPN -> Configurações Servidor OpenVPN ->Avançado
Porta: 1194
Bloquear respostas DHCP vindas pelo túnel: V
Protocolo: UDP
Não bloquear tráfego entre clientes: V

Menu Firewall -> Tráfego da VPN
Habilitar Firewall da VPN: Desabilitado

Menu Rede -> Roteamento
Rede de Origem Rede de Destino Através de Gateway
192.168.3.0 filial1 (usuário OpenVPN)
192.168.4.0 filial2 (usuário OpenVPN)

Endian Filiais
(Obs.: Ambos estão com as mesmas configurações)
Menu VPN -> Cliente OpenVPN (Gw2Gw) ->Contas
Conectar a: “IP Matriz”
Certificado Enviado: “Certificado importado do Endian da Matriz”
Todas as outras opções preenchidas para os respectivos Endians

Configurações de Tunnel Avançadas

Configuração de ligação
Tipo de dispositivo: TAP
Tipo da ligação: Roteado
NAT: Desmarcado
Bloquear respostas DHCP vindas pelo túnel: V
Usar compressão LZO: V
Protocolo: UDP

OBs.: Todos os Endians possuem Ip’s Fixos Direto (Sem roteadores com DMZ’s ou NAT’s)

Agradeço desde já o apoio de cada um.

[johnnycardoso]

Senhores, alguém tem alguma sugestão para me ajudar a “debugar” esse problema?

[EduardoMansano]

Olá Johnny,

Estou com a mesma dificuldade sua, só consegui comunicação entre clientes nas pontas instalando o OpenVPN Cliente em cada estação.

Sem o cliente OpenVpn instalado e configurado nas maquinas, eles não conseguem se comunicar entre matriz e filial, já testei com as versões 2.52, 3.0, 3.05, tentei adicionar rotas estáticas e nada.

[Jeferson Luiz Correa]

Não sei se vc já resolveu ai mas fiz muita coisa para funcionar aqui tb, mas conectei por ipsec, 192.168.0.0/24, 192.168.2.0/24 e 192.168.3.0/24.

Fiz o seguinte, criei as connections no ipsec, indicando origen, destino e pre-shared key, depois em avançado as mesmas opções em todos, AES 256, SHA, DH GROUP 5, 8 HOURS, AES 128, SHA1, 1 HOURS, DESmarca as duas opções abaixo (PFS e NEGOTIATE) e salva. Os IPS do destinho (remote host) tem que ser os ips apontados nos Gateways corretos (ips dos gatways remotos) das regras que seguem abaixo, lembrando que será gateway apontando para gateway.

cria regra na rota em NETWORK, ROUTING, STATIC ROUTING


Source Network Destination Network Via Gateway(seu link aqui) Remark Actions
192.168.0.0/24 192.168.3.0/24 VIVO 10MB - eth2 VPN1 Enabled
192.168.0.0/24 192.168.2.0/24 VIVO 10MB - eth2 VPN2 Enabled


Fiz duas Rotas, essas duas, uma para cada ipsec connection criada no endian principal. E uma dessas em cada uma das outras pontas também apontando para o Gateway correto de saida.
PONTA 1

192.168.2.0/24 192.168.0.0/24 GVT 10MB - eth3 VPN Enabled


PONTA 2

192.168.3.0/24 192.168.0.0/24 ALGAR 10MB - eth2 VPN Enabled


em FIREWALL, Port forwarding / NAT, Incoming routed traffic, fiz assim em cada endian de cada ponta criei uma regra dessas 192.168.0.1, 192.168.2.1 e 192.168.3.1


# Source Destination Service Policy Remark Actions
1 <ANY> 192.168.0.1 TCP+UDP/50 -> LIBERA PORTAS VPN v
TCP+UDP/51
TCP+UDP/500


Em Outgoing Trafic tambem liberei acesso a essas portas, tambem feita nos 3


# Source Destination Service Policy Remark Actions
4 <ANY> RED TCP+UDP/50 -> LIBERA PORTAS VPN v
TCP+UDP/51
TCP+UDP/500


Em FIREWALL, Inter-Zone traffic fiz a liberação de entrada dos ips externos (gateways de cada ponta), tambem feito nos 3.


# Source Destination Service Policy Remark Actions
6 100.200.50.5 <ANY> <ANY> -> Libera Entrada V
180.10.200.130


lembrando que todos os endereços são exemplos, vc deve usar os seus ips de gateways e ips de rede locais e ips de endian.

[EduardoMansano]

Olá Jeferson,

Qual versão do Endian você usou?

[Jeferson Luiz Correa]

2.5.1, faz mais de ano ja

[Autor]

Posts