Решено! VPN-клиенты не видят локальную сеть — что я делаю не так?

Решено! VPN-клиенты не видят локальную сеть — что я делаю не так?, UniFi Network

gilgongo

Guest

11.05.2025 17:00:00

Спасибо всем за помощь – я наконец-то выследил проблему до странной настройки файрвола с геозонированием, о которой я даже не подозревал.

Я прочитал несколько вопросов и ответов на эту тему, но не могу разобраться. Судя по всему, VPN-клиенты по умолчанию должны иметь доступ ко всем внутренним сетям. Однако, хотя они могут подключаться к VPN, получают доступ к интернету/DNS нормально и могут пинговать хосты в локальной сети – они не могут подключиться к ним по SSH (я не пробовал другие протоколы).

Помимо включения сервера и создания конфигурации клиента, есть ли что-то еще, что мне нужно сделать?

Моя конфигурация:

UCG-Ultra (Network v9.1)
LAN-подсеть 192.168.0.0/24 (шлюз 192.168.0.1) – без VLAN.
VPN-подсеть 192.168.1.0/24 (шлюз 192.168.1.1)
Я еще не перешел на файрвол на основе зон.
Конфигурация клиента установлена на значения по умолчанию. У меня есть pi-hole на 192.168.0.7, который, похоже, работает для клиентов, чтобы блокировать рекламу (DNS установлен на "auto" в конфигурации VPN-сервера). Странно, но клиенты не могут пинговать IP-адрес pi-hole (но они могут все остальные в локальной сети).

Я пробовал создавать явные правила файрвола "LAN in" и "LAN out", чтобы разрешить трафик из/в VPN-подсеть в локальную сеть. Это не влияет.

Я пробовал изменить VPN-подсеть на 172.16.1.0/24 – без эффекта.

Если я открою порт 22 в файрволе, я могу войти из удаленных сетей.

Если включить обнаружение вторжений (только уведомления), я вижу «попытки вторжений», когда клиенты пытаются получить доступ к хосту в локальной сети.

Я не вижу других ошибок, кроме таймаутов на стороне клиента при попытке подключения к чему-либо в локальной сети.

Я думаю, что могу настроить Wireguard-сервер в сети, но VPN Unifi должен работать! Что я делаю не так?

(Кстати, по пути я выяснил, что UCG сохраняет файл конфигурации WG с именем, которое слишком длинное, чтобы импортировать в клиент с ошибкой "Invalid name". И клиенты WG не могут прочитать QR-код тоже.)

Alex7021

Guest

11.05.2025 22:43:00

Возможно, вы уже об этом подумали, может, у вас включена сетевая изоляция?

Что касается этого: "И клиенты WG не могут прочитать QR-код тоже" — есть известная проблема с темной темой. Если в вашем браузере включен темный режим, QR-код невозможно прочитать. Переключитесь в светлый режим, затем нажмите на QR-код, чтобы увеличить его, и вы увидите, что клиенты сканируют его без проблем.

gilgongo

Guest

11.05.2025 21:00:00

Включение защиты от вторжений показывает это, когда я пытаюсь подключиться к хосту в локальной сети через ssh: IPS Alert 2: Попытка утечки информации. Signature ET SCAN Potential SSH Scan. От: 192.168.1.2:38088, к: 192.168.0.6:22, протокол: TCP. У меня включены только уведомления, так что это не блокировка.

gilgongo

Guest

11.05.2025 20:43:00

Если я подключаюсь по SSH к IP-адресу сервера, клиент получает таймаут. Вот это странно. Пингует IP - всё нормально. Подключается по SSH к IP - таймаут. Может, SSH-сервер не любит VPN-клиентов? По сути, стандартная настройка OpenSSH (Ubuntu 22.04). В системном журнале ничего не видно.

kanewolf Guest	#5 11.05.2025 20:15:00 Это правда, что они не могут подключиться, или проблема в DNS? Можешь ли ты подключиться по SSH к IP-адресу?

gilgongo

Guest

11.05.2025 19:53:00

Хм. Там уже есть встроенное правило для LAN Out: "Разрешает трафик из сети 192.168.0.0/24". Ты имеешь в виду, что нужно что-то еще? Могу попробовать обновиться до файрвола на основе зон и посмотреть, станет ли проще разобраться....Окей, сделал. Там зона VPN описана как "Содержит VPN-серверы и Site-to-Site VPN, которым по умолчанию разрешен доступ ко всем остальным встроенным зонам. Policy-Based IPsec VPN не включены." Мой акцент здесь - ну и почему же тогда не работает? Может, дело в клиентах? Странно, что клиенты могут пинговать хосты во внутренней зоне. Может, это связано с pi-hole (он же занимается DHCP)? Но это не объясняет, почему они не могут подключиться по IP-адресу.

gilgongo Guest	#7 11.05.2025 19:48:00 Извини, использую Wireguard сервер на UCG.

xenitive Guest	#8 11.05.2025 19:21:00 Какой VPN ты сейчас используешь на Ульте? Ты упоминал про внешний Wireguard, но я не видел, чтобы ты говорил, что сейчас используешь Wireguard.

travis.vitek

Guest

11.05.2025 19:17:00

До использования файрвола на основе зон трафик от VPN-клиентов считается исходящим от шлюза, поэтому приходится управлять им с помощью правил LAN Out. По-моему, придерживаться классического файрвола просто усложняет это больше, чем нужно.

gilgongo

Guest

#10

12.05.2025 15:22:00

Пытался переключиться на OpenVPN сервер. То же самое поведение. Вижу, что, за исключением нескольких странных решений, которые работали у кого-то, когда других затронула эта проблема, решения не находится :-(

https://www.google.com/search?q=unifi+network+VPN+clients+cannot+see+LAN

gilgongo

Guest

#11

12.05.2025 06:59:00

iptables -L ничего не показывает, что могло бы быть связано с проблемой на сервере. Сеть довольно простая, а UCG в основном в настройках по умолчанию (настроил его только на прошлой неделе, чтобы заменить свой старый роутер). Я вообще не понимаю, что происходит.

gilgongo

Guest

#12

12.05.2025 06:30:00

Никаких множественных сетевых интерфейсов. Там есть Docker-сервер с сетевым мостом, но сомневаюсь, что это как-то повлияет.

Destination Gateway Genmask Flags MSS Window irtt Iface
default 192.168.0.1 0.0.0.0 UG 0 0 0 eth0
172.17.0.0 0.0.0.0 255.255.0.0 U 0 0 0 docker0
172.18.0.0 0.0.0.0 255.255.0.0 U 0 0 0 br-4cc6cd27b5c2
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

gilgongo Guest	#13 12.05.2025 06:26:00 Спасибо, но это не работает (нельзя включить в стандартной сети).

kanewolf Guest	#14 11.05.2025 23:29:00 Твой сервер имеет несколько сетевых карт? Может, проблема в асимметричном маршрутизации? А может, дело в неправильном шлюзе по умолчанию на этом хосте?

Читают тему (гостей: 1)