Перейти к содержанию

openfortivpn помогите пожалуйста настроить маршрутизацию и автозагрузку

NikolayTLM
 Поделиться

Рекомендуемые сообщения

NikolayTLM Пользователь

NikolayTLM

Опубликовано
Опубликовано

Приветствую,

Задача - настроить на роутере Forti VPN клиент и пробросить данную сеть всем подключающимся к данному роутеру. openfortivpn установил, конфигурационный фаил настроил, при запуске openfortivpn он успешно подключается --- комп который мне нужен в данной сети пингуеться и резолвится по имени в терминале или на веб морде "Проверка сетевого соединения", но с ПК подключенного к данному роутеру пинг не проходит... помогите пожалуйста победить маршрутизацию... и за одно ткните пожалуйста носом как правильно засунуть в "автозагрузку" openfortivpn 

NikolayTLM Пользователь

NikolayTLM

Опубликовано
  • Автор
Опубликовано

после запуска openfortivpn ручками:

  Показать контент
  Показать контент

 

MercuryV Продвинутый пользователь

MercuryV

Опубликовано
Опубликовано

Скрипт для автозагрузки - /opt/etc/init.d/S11openfortivpn 

#!/bin/sh

ENABLED=yes
PROCS=openfortivpn
ARGS=""
PREARGS=""
DESC=$PROCS
PATH=/opt/sbin:/opt/bin:/opt/usr/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

. /opt/etc/init.d/rc.func

Скрипт для форвардинга - /opt/etc/ndm/netfilter.d/111-openfortivpn.sh 

#!/bin/sh

INTERFACE="work"

[ "$type" == "ip6tables" ] && exit 0
[ "$table" != "filter" ] && exit 0
[ -z "$(iptables -S | grep $INTERFACE)" ] || exit 0

iptables -w -I FORWARD -s 192.168.XX.YY -i br0 -o $INTERFACE -j ACCEPT

exit 0

Здесь я разрешаю соединения с конкретного компьютера домашнего сегмента через интерфейс work. Чтобы имя интерфейса было именно таким, в конфиг openfortivpn добавлен параметр pppd-ifname = work

  • Лайк 1
  • 2 недели спустя...
NikolayTLM Пользователь

NikolayTLM

Опубликовано
  • Автор
Опубликовано
  В 01.02.2022 в 00:19, MercuryV сказал: 
#!/bin/sh
Показать  

Спасибо Вам огромное! в журнале увидел нехорошее сообщение - 

pppd[620]
kernel does not support PPP filtering
 
и если не сложно - подскажите пожалуйста, можно ли все это провернуть - если роутер настроен как Точка доступа/Ретранслятор и сделать так что бы все без исключения подключенные к нему клиенты по WiFi шли по VPN?
NikolayTLM Пользователь

NikolayTLM

Опубликовано
  • Автор
Опубликовано
  В 01.02.2022 в 00:19, MercuryV сказал:

Скрипт для автозагрузки - /opt/etc/init.d/S11openfortivpn 

#!/bin/sh

ENABLED=yes
PROCS=openfortivpn
ARGS=""
PREARGS=""
DESC=$PROCS
PATH=/opt/sbin:/opt/bin:/opt/usr/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

. /opt/etc/init.d/rc.func

Скрипт для форвардинга - /opt/etc/ndm/netfilter.d/111-openfortivpn.sh 

#!/bin/sh

INTERFACE="work"

[ "$type" == "ip6tables" ] && exit 0
[ "$table" != "filter" ] && exit 0
[ -z "$(iptables -S | grep $INTERFACE)" ] || exit 0

iptables -w -I FORWARD -s 192.168.XX.YY -i br0 -o $INTERFACE -j ACCEPT

exit 0

Здесь я разрешаю соединения с конкретного компьютера домашнего сегмента через интерфейс work. Чтобы имя интерфейса было именно таким, в конфиг openfortivpn добавлен параметр pppd-ifname = work

Показать  

Перенастроил я на режим роутера, прописал IP, выставил статический тот же для клиента, но доступа все равно нет... с веб морды роутера ресурсы на VPN пингуються успешно.....

MercuryV Продвинутый пользователь

MercuryV

Опубликовано
Опубликовано
  В 10.02.2022 в 16:31, NikolayTLM сказал:

в журнале увидел нехорошее сообщение

Показать  

можно не обращать внимания

  В 10.02.2022 в 16:31, NikolayTLM сказал:

подскажите пожалуйста, можно ли все это провернуть - если роутер настроен как Точка доступа/Ретранслятор

Показать  

не подскажу

  В 10.02.2022 в 18:07, NikolayTLM сказал:

но доступа все равно нет

Показать  

проверьте, что установлен пакет iptables

проверьте, что в скрипте указано верное название сетевого интерфейса

выполните команду iptables вручную в консоли (прошивка может не сразу дёрнуть скрипт)

NikolayTLM Пользователь

NikolayTLM

Опубликовано
  • Автор
Опубликовано (изменено)
  В 11.02.2022 в 18:10, MercuryV сказал:

можно не обращать внимания

не подскажу

проверьте, что установлен пакет iptables

проверьте, что в скрипте указано верное название сетевого интерфейса

выполните команду iptables вручную в консоли (прошивка может не сразу дёрнуть скрипт)

Показать  

iptables установлен

  Показать контент

с именами интерфейсов все в порядке

так же сейчас подключение по VPN скидывается по прошествии какого то времени 

  Показать контент

можно как ни будь его зафиксировать на постоянку, или сделать скрипт автоподнятия при разрыве?

 

З.Ы. так же после крайнего обновления ПО роутера - root/keenetic перестал работать по SSH, захожу под админской учеткой, потом exec sh

/opt/etc/init.d/S11openfortivpn без изменений из вашего поста
параметр pppd-ifname = work -- добавлен в конфиг openfortivpn
/opt/etc/ndm/netfilter.d/111-openfortivpn.sh выглядит так:

  Показать контент

 

Изменено пользователем NikolayTLM
MercuryV Продвинутый пользователь

MercuryV

Опубликовано
Опубликовано

Пока vpn интерфейс не упал, если выполнить  

iptables -w -I FORWARD -s 192.168.1.220 -i br0 -o work -j ACCEPT

доступ появится с .220 ?

  В 11.02.2022 в 18:42, NikolayTLM сказал:

захожу под админской учеткой, потом exec sh

Показать  

зря, лучше почините окружение

 

  В 11.02.2022 в 18:42, NikolayTLM сказал:

зафиксировать на постоянку

Показать  

теоретически можно добавить в конфиг параметр persistent = ... но как именно оно будет работать зависит в том числе и от настроек сервера, так что только пробовать

  В 11.02.2022 в 18:42, NikolayTLM сказал:

скрипт автоподнятия при разрыве

Показать  

именно при разрыве сложно, так как интерфейс не управляется прошивкой, никакого события с хуком не возникнет

можно при помощи cron выполнять стартовый скрипт с нужной частотой, но это костыль

я полную автоматику на этот случай себе делать не стал, отваливается редко.

NikolayTLM Пользователь

NikolayTLM

Опубликовано
  • Автор
Опубликовано
  В 11.02.2022 в 19:19, MercuryV сказал:

доступ появится с .220 ?

Показать  

нет, может я еще что то забыл? какие команды может запустить?

  В 11.02.2022 в 19:19, MercuryV сказал:

зря, лучше почините окружение

Показать  

переустановить OPKG?

 

  В 11.02.2022 в 19:19, MercuryV сказал:

теоретически можно добавить в конфиг параметр persistent =

Показать  

в конфиг openfortivpn?

 

  В 11.02.2022 в 19:19, MercuryV сказал:

но это костыль

Показать  

согласен, это люто не верно.

NikolayTLM Пользователь

NikolayTLM

Опубликовано
  • Автор
Опубликовано (изменено)

@MercuryV

немного смущает ответ системы на # iptables -L FORWARD

  Показать контент

anywhere - так и должно быть?

ну и судя по всему что то происходит, но не совсем так как надо, ибо доступ в сеть "интернет" пропал с требуемого IP для VPN, но и доступа к ресурсам VPN то же нет((((

возможно я не правильно настроил config для openfortivpn?

  Показать контент

 

Изменено пользователем NikolayTLM
NikolayTLM Пользователь

NikolayTLM

Опубликовано
  • Автор
Опубликовано (изменено)
  В 15.02.2022 в 11:02, MercuryV сказал:

я смотрю так

Показать  

# iptables -S | grep work
-A FORWARD -s 192.168.1.221/32 -i br0 -o work -j ACCEPT
-A FORWARD -s 192.168.1.220/32 -i br0 -o work -j ACCEPT

 

с виду все ок, но доступа так и нет у клиента с нужным IP, как буд то не резолвит система IP адреса по доменному имени машины.

с веб интерфейса роутера делаю пинг:

  Показать контент

с клиента выдает- Ping request could not find host nizndt001.xxx.local. Please check the name and try again.

Изменено пользователем NikolayTLM
MercuryV Продвинутый пользователь

MercuryV

Опубликовано
Опубликовано (изменено)
  В 15.02.2022 в 11:17, NikolayTLM сказал:

с клиента выдает- Ping request could not find host nizndt001.xxx.local. Please check the name and try again.

Показать  

Проверьте по IP адресу, а не по имени. А потом решайте проблему с DNS.

Изменено пользователем MercuryV
NikolayTLM Пользователь

NikolayTLM

Опубликовано
  • Автор
Опубликовано (изменено)

@MercuryV

  В 15.02.2022 в 12:40, MercuryV сказал:

Проверьте по IP адресу, а не по имени. А потом решайте проблему с DNS.

Показать  

я провел доп поератора связи - специально под это дело... вобщем по IP рабоает, и с прописанного по IP клиента (Wi-Fi) доступ есть по IP запросу (иду на веб морду, пингую машину по доменному имени и уже по полученному IP работаю с клиента). Лог выдает: 

  Показать контент

не подскажите - можно ли их как то автоматически использовать только для определенных IP, или только вручную забивать на стороне клиента? Я просто не уверен что они статические....

 

P.S. теперь openfortivpn перестал автоматически подниматься после перезагрузки роутера (после того как настроил PPoE соединение) - опять окружение переустанавливать?))))

Изменено пользователем NikolayTLM
MercuryV Продвинутый пользователь

MercuryV

Опубликовано
Опубликовано
  В 16.02.2022 в 08:55, NikolayTLM сказал:

можно ли их как то автоматически использовать только для определенных IP

Показать  

Можно использовать нужные DNS серверы для определенного домена (рабочего). Посмотрите справку. Детали не подскажу, пользуюсь своим DNS сервером, а не комплектным из прошивки. 

  • 1 год спустя...
Alex Klink Новичок

Alex Klink

Опубликовано
Опубликовано

Подскажите, а как запускать сценарий/скрипт при поднятии и/или разрыве подключения? 

Пробовал через скрипт в /opt/etc/ndm/wan.d  не работает.

avn Старожил

avn

Опубликовано
Опубликовано
  В 30.08.2023 в 17:25, Alex Klink сказал:

Подскажите, а как запускать сценарий/скрипт при поднятии и/или разрыве подключения? 

Пробовал через скрипт в /opt/etc/ndm/wan.d  не работает.

Показать  

Можно

backup-Tor-202308-31.tarПолучение информации...

avn Старожил

avn

Опубликовано
Опубликовано
  В 16.02.2022 в 12:58, MercuryV сказал:

Можно использовать нужные DNS серверы для определенного домена (рабочего). Посмотрите справку. Детали не подскажу, пользуюсь своим DNS сервером, а не комплектным из прошивки. 

Показать  

Можно и из прошивки 

    tls upstream us-ny-alula.heliumcloud.cc 853 sni us-ny-alula.heliumcloud.cc domain lib

Ключевое слово domain

avn Старожил

avn

Опубликовано
Опубликовано
  В 01.02.2022 в 00:19, MercuryV сказал:

Скрипт для автозагрузки - /opt/etc/init.d/S11openfortivpn 

#!/bin/sh

ENABLED=yes
PROCS=openfortivpn
ARGS=""
PREARGS=""
DESC=$PROCS
PATH=/opt/sbin:/opt/bin:/opt/usr/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

. /opt/etc/init.d/rc.func

Скрипт для форвардинга - /opt/etc/ndm/netfilter.d/111-openfortivpn.sh 

#!/bin/sh

INTERFACE="work"

[ "$type" == "ip6tables" ] && exit 0
[ "$table" != "filter" ] && exit 0
[ -z "$(iptables -S | grep $INTERFACE)" ] || exit 0

iptables -w -I FORWARD -s 192.168.XX.YY -i br0 -o $INTERFACE -j ACCEPT

exit 0

Здесь я разрешаю соединения с конкретного компьютера домашнего сегмента через интерфейс work. Чтобы имя интерфейса было именно таким, в конфиг openfortivpn добавлен параметр pppd-ifname = work

Показать  

/opt/etc/ppp/ip-up.d/10-accept.sh 

#!/bin/sh

INTERFACE=$1

cat << EOF >/opt/etc/ndm/netfilter.d/55f-fortivpn-${INTERFACE}.sh
#!/bin/sh

[ "\$type" != "iptables" ] && exit 0
[ "\$table" != "filter" ] && exit 0

ip4t() {
	if ! iptables -C "\$@" &>/dev/null; then
		iptables -A "\$@" || exit 0
	fi
}

ip4t _NDM_SL_FORWARD -m mac --mac-source dd:33:35:64:18:a7 -i br0 -o ${INTERFACE} -j ACCEPT
ip4t _NDM_SL_FORWARD -m mac --mac-source ff:22:56:49:e1:fc -i br0 -o ${INTERFACE} -j ACCEPT

exit 0
EOF

chmod +x /opt/etc/ndm/netfilter.d/55f-fortivpn-${INTERFACE}.sh
type=iptables table=filter /opt/etc/ndm/netfilter.d/55f-fortivpn-${INTERFACE}.sh &

 

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку тем

  • Последние посетители   0 пользователей онлайн

    • Ни одного зарегистрированного пользователя не просматривает данную страницу
×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю