Добрый день
Установил VPN Server на Synology RS818+
Настроил OpenVpn,авторизация доменная (пробовал и локальную включать),соединение от клиента (windows) устанавливается,но сервер и сеть за ним не пингуется.
Пробовал временно отключать фаерволы как на хранилище,так и на клиенте.
В настройках галочка "Разрешать доступ клиентам к локальной сети сервера" стоит.
Коллеги помогите разобраться
Та же проблема на IPsec VPN
Сервер по крайней мере должен пинговаться как OpenVPN шлюз. Сервер видит подключённый ПК? На подключаемом ПК в tracert поглядите куда пакеты ходят.
Для примера - мой конфиг клиента на Windows-машине. Это конфиг для сети на Микротике, но в принципе никаких отличий быть не должно. Обратите внимание на последнюю строку конфига:
proto tcp-client remote 99.999.99.99 # здесь внешний адрес нашего роутера MikroTik dev tun tls-client ca ca.crt #указываем имя CA сертификата cert client.crt #указываем имя сертификата клиента key client.key # указываем имя файла-ключа для клиента verb 3 # чем выше этот параметр - тем выше уровень логирования remote-cert-tls server cipher AES-256-CBC auth-nocache pull auth-user-pass auth.cfg # здесь имя файла с логином-паролем пользователя route-method exe route-delay 2 route 192.168.1.0 255.255.255.0 192.168.0.1 # эта строка задает маршрут к сети 192.168.1.0 за OpenVPN сервером #OpenVPN сеть здесь 192.168.0.0, а адрес сервера OpenVPN - 192.168.0.1
Тоже сначала пытался на Synology сделать OpenVPN, но посмотрев на возможности - сделал на шлюзе Микротика. Непонятно зачем так зарезан функционал, железка-то потянула бы на ура.
Что-то вроде на простом месте споткнулись. У меня всё работает и без каких-либо танцев с бубном или даже без.<br /><b>arudenko</b>, сколько сетевых интерфейсов определено на НАС и какой из них указан в настройках? Галочка "Разрешать клиента доступ к локальной сети" стоит? Адреса раздаваемые VPN сервером не пересекаются с теми, что используются в маршрутах на клиентской машине?
Вообщем поднял vpn на Микроте. Тех. поддержка synology просто игнорит тикеты, либо намеренно отвечает после истечения срока временного доступа к управлению хранилищем.
Микротик скорость не режет? У меня RB952Ui режет до 20Мбит. Грешу на аппаратное ограничение, чтобы железка не легла при интенсивном использовании. Подумываю в дальнейшем сделать сервер на отдельной машинке UNIX, уйдя от приложений типа "Synology Drive" для ПК. Пока нет потребности в высоких скоростях. Synology использую ТОЛЬКО как файловый сервер.
Микротик скорость не режет? У меня RB952Ui режет до 20Мбит.
А Вы Ваш hAP как конфигурировали?
Просто Микротик из коробки режет, а если весь конфиг переделать под себя и правильно файервол настроить, то все просто летает.
Для начала замените fasttrack и проследите, чтобы он стоял на самом первом месте в правилах.
Вместо привычного
/ip firewall filter
add chain=forward action=fasttrack-connection connection-state=established,related
add chain=forward action=accept connectionstate=established,related
используйте их новую фичу
/ip firewall filter
add chain=forward action=fasttrack-connection connection-bytes=10000-0
add chain=forward action=accept connection-bytes=10000-0
Просмотрите настройки DHCP server. Посмотрите, что у Вас стоит в качестве DNS Server в DHCP Networks. Моя ошибка была та, что я пользовался настройками "Из коробки", а там нужно указать сам IP адрес роутера, что бы он на локальном уровне работал.
В IP - DNS посмотрите организацию серверов DNS.
Я свой пытался из "Коробки" приспособить, а потом просто снес конфиг и все сделал чисто под себя.
А Вы Ваш hAP как конфигурировали?
Спасибо, вечером попробую из дома OVPN канал нагрузить, отпишусь.
MaxoDroid,
В общем сделал как Вы писали. Не думаю что это было лишним, но результата по скорости не дало. Склоняюсь к мнению, что это ограничение в железе, тем более что никакой информации на этот счёт больше не нашёл, кроме того что железяка у меня таки одно-ядерная и вряд ли в будущем стоит на неё опираться. Уже клиентов 10 на ней висит. Не настолько разбираюсь в этих железках, чтобы на работающей структуре экспериментировать.
Вчера ощутил что такое 20Мбит вместо 100Мбит, сидел на объекте до вечера. Думаю на основе какой железки сделать OVPN сервер, пока выбор между десктопом на UNIX или что-то вроде MIKROTIK CRS125-24G-1S-IN (но здесь боюсь снова попасть на ограничения). Буду рад совету. Спасибо.
MaxoDroid,В общем сделал как Вы писали. Не думаю что это было лишним, но результата по скорости не дало. Склоняюсь к мнению, что это ограничение в железе, тем более что никакой информации на этот счёт больше не нашёл, кроме того что железяка у меня таки одно-ядерная и вряд ли в будущем стоит на неё опираться. Уже клиентов 10 на ней висит. Не настолько разбираюсь в этих железках, чтобы на работающей структуре экспериментировать.
Вчера ощутил что такое 20Мбит вместо 100Мбит, сидел на объекте до вечера. Думаю на основе какой железки сделать OVPN сервер, пока выбор между десктопом на UNIX или что-то вроде MIKROTIK CRS125-24G-1S-IN (но здесь боюсь снова попасть на ограничения). Буду рад совету. Спасибо.
Не надо думать, делайте на своём NAS Synology. Проверено - отлично работает. У NAS, даже младшей модели DS-218j , процессор как в RB3011UiAS-RM который стоит даже дороже чем NAS.
PS Роутер у меня ростелекомовский HG8245 и NAS DS218j. OpenVPN не сильно грузит NAS. Может Вы шифрование 512-битное выбрали? Оно сильнее грузит чем 128-битное.
У моей модели Synology есть некоторые ограничения, которые меня не устраивают. В частности - это ограничение на кол-во пользователей OVPN. И в целом система хоть и позволяет навесить достаточно разнообразных фич, но учитывая опыт и комментарии пользователей, в данном случае я противник "класть все яйца в одну корзину".
Используемое шифрование - AES-256 bit. Всё таки нынешняя железка 600МГЦ, одно ядро.
Остановил выбор на RB1100AHX4 под шлюз и OVPN.