Jump to content
SerjioS

раздельная маршрутизация OpenVPN и ISP

Recommended Posts

Доброго дня,

Есть работающий OpenVPN сервер (pfSense). Используется в режиме Remote Access TLS для доступа из нескольких магазинов (Keenetic 4G) к серверам в офисе (пусть будет 192.168.2.0/24).

Типовая конфигурация магазина:

  • Keenetic 4G (KN-1210) ver. 3.5.6;
  • Настройки OpenVPN - TUN, subnet, 10.11.12.0/24;
  • Домашняя сеть магазина - 192.168.172.0/24;
  • Весь трафик из домашней сети магазина заворачивается в OpenVPN - redirect-gateway def1,route-gateway 10.11.12.1;
  • Хосты в офисе и в магазинах видят друг-друга;
  • Локальный NAT на Keenetic отключен (no ip nat Home, no ip nat OpenVPN0) - NAT выполняется на Firewall в офисе.
  • Приоритеты подключений:
  1. OpenVPN
  2. ISP
  3. LTE

Всё было хорошо и тут возник вопрос: есть ли возможность трафик на некоторые IP - эквайринг, ОФД и т.п. (н-р 185.15.172.18) таки выпускать через локальный NAT на Keenetic?

Пробовал включить NAT для Home и вместо IP из домашней сети магазина (н-р 192.168.117.4) в офис стал отдаваться IP назначенный самому Keenetic в OpenVPN (н-р 10.11.12.14). Т.е. было Касса -> Keenetic -> OpenVPN -> pfSense -> NAT+Firewall -> Internet, а стало Касса -> Keenetic+NAT -> OpenVPN -> pfSense -> ??? 
Так же пробовал указать в настройках OpenVPN - push "route 185.15.172.18 255.255.255.255 net_gateway"; но в логах на Keenetic "Фев 3 01:53:04 ndm Network::RoutingTable: gateway is unreachable." =(
 

Настройки интерфейсов Home и OpenVPN.

Interface, name = "Home"
               id: Bridge0
            index: 0
             type: Bridge
      description: *Shop
   interface-name: Home
             link: up
        connected: yes
            state: up
              mtu: 1500
         tx-queue: 0
          address: 192.168.117.1
             mask: 255.255.255.0
           uptime: 740
           global: no
   security-level: private
              mac: *:*:*:*:*:*
        auth-type: none
           bridge:
            interface, link = yes, inherited = yes: FastEthernet0/Vlan1

Interface, name = "OpenVPN0"
               id: OpenVPN0
            index: 0
             type: OpenVPN
      description: *Gate
   interface-name: OpenVPN0
             link: up
        connected: yes
            state: up
             role: misc
              mtu: 1500
         tx-queue: 0
          address: 10.11.12.14
             mask: 255.255.255.0
           uptime: 6430
           global: yes
        defaultgw: yes
         priority: 33117
   security-level: private
              mac: *:*:*:*:*:*
        auth-type: none
          country: RU
     organization: *Retail
      common-name: *Retail Server Cert
  tunnel-protocol: udp
              via: UsbLte0

 

Share this post


Link to post
Share on other sites

Выборочный нат вот так:

ip static Home ISP

Ну а целевые ip можно через статические маршруты прописать через желаемый интерфейс.

Share this post


Link to post
Share on other sites
2 часа назад, r13 сказал:

Выборочный нат вот так:

ip static Home ISP

Ну а целевые ip можно через статические маршруты прописать через желаемый интерфейс.

Да, вроде то, что надо, спасибо! Т.е. получается, что для работы split nat надо прописать на каждом Keenetic

ip nat ISP
ip nat LTE
ip static Home ISP
ip static Home LTE

Плюс для каждого конкретного хоста что-то вроде.
ip route 185.15.172.18 ISP auto !OFD.RU
ip route 185.15.172.18 LTE auto !OFD.RU
 

Жаль, конечно, что не получается централизовано, через OpenVPN, раздавать маршруты. И/или что нельзя использовать группы IP-адресов/подсетей при настройке маршрутизации и фаервола. А то, ведь, то у Сбера адрес эквайринга изменится, то новый ОФД начнут использовать...

Share this post


Link to post
Share on other sites
41 минуту назад, SerjioS сказал:

Да, вроде то, что надо, спасибо! Т.е. получается, что для работы split nat надо прописать на каждом Keenetic

ip nat ISP
ip nat LTE
ip static Home ISP
ip static Home LTE

Плюс для каждого конкретного хоста что-то вроде.
ip route 185.15.172.18 ISP auto !OFD.RU
ip route 185.15.172.18 LTE auto !OFD.RU
 

Жаль, конечно, что не получается централизовано, через OpenVPN, раздавать маршруты. И/или что нельзя использовать группы IP-адресов/подсетей при настройке маршрутизации и фаервола. А то, ведь, то у Сбера адрес эквайринга изменится, то новый ОФД начнут использовать...

Не, ip nat не нужны их как раз все надо убрать, только ip static

Share this post


Link to post
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.


  • Recently Browsing   0 members

    No registered users viewing this page.

×
×
  • Create New...