Openvpn+локальные сети+printer+windows share

Добрый день
Есть филлиалы с локальными сетями, на границах стоят Debian которые поднимают соединеня (openvpn) к главному офису.
При поднятых соединениях ус рабочих мест филиалов есть возможность подключатся к терминальным серверам главного офиса, соответственно с сети главного офиса можно подключатся к терминальным сервам филлиалов.
Проблема в подключении к виндовс шарам, подключения нет.
Подскажите пожалуйста правильно ли я думаю что нужно работать с фаерволом для решения данной проблемы.
Хотелось бы сделать так чтоб компьютеры с удаленых филиалов были доступны как будто все в локальной сети. :rolleyes:

Ну это уже дело практики) В первую очередь правильно настроить openvpn а точнее маршруты которые даёт клиентам.
После правильно настроить debian. В вашем случае лучше использовать единый dns + wins сервер.
Если правильно настроить то можно обойтись без iptables. Для вас даже будет лучше использовать маску /24 если у вас в сумме не больше 250 компов.

Хотя чуток надо будет поработать над iptables ну это мелочь.

dns сервер есть
wins сервера нет
на сервере openvpn в конфиге есть строчка
push "dhcp-option DNS 192.168.1.5"
обращения меджу сетями идет по айпи адресаам, доменные именна не используются

если особых требований безопастности нет то в iptables разрешаешь ходить трафику безпрепятственно во обе стороны (гл. офис - уд. офис), подымаешь tap интерфейсы и push "redirect-gateway" в конфиги. профит

а в чем разница между tap и tun
примерно так разрешить ходить трафику, на строне сервера
iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.0.0/24 -j ACCEPT
и на строне удаленки
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 192.168.1.0/24 -j ACCEPT?

T0PT написал:

а в чем разница между tap и tun

tap передает ethernet трафик в то время как tun - ip трафик.

T0PT написал:

примерно так разрешить ходить трафику, на строне сервера
iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.0.0/24 -j ACCEPT
и на строне удаленки
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 192.168.1.0/24 -j ACCEPT?

я бы сделал иначе/проще
[console]iptables -A FORWARD -p all -i tap+(tun+) -j ACCEPT
iptables -A FORWARD -p all -o tap+(tun+) -j ACCEPT [/console]

еще вопрос
при замене tun на tap
необходимо сервер впн настраивать бриджом или нет

необходимо сервер впн настраивать бриджом или нет

что вы под этим подразумеваете

что вы под этим подразумеваете

разобрался, без бриджа подключится удалось
но все равно расшареные ресурсы и принтеры в подсетях филиалов не доступны oO

T0PT написал:

что вы под этим подразумеваете

разобрался, без бриджа подключится удалось
но все равно расшареные ресурсы и принтеры в подсетях филиалов не доступны oO

А по йп? Типа \\x.y.z.w\share

надо смотреть конфиг и iptables.
у меня в свое время все работало отлично, однако в конечном итоге пришлось от этого отказаться в связи с кучей "паразитного" трафика. это только мешало работать, а канал то не резиновый...

CyberDaemon написал:

[quote=T0PT]

что вы под этим подразумеваете

разобрался, без бриджа подключится удалось
но все равно расшареные ресурсы и принтеры в подсетях филиалов не доступны oO

А по йп? Типа \\x.y.z.w\share[/quote]
не ходит, пинги работают к удаленному рабочему столу подключается, а к шарам нет

osorkon написал:

надо смотреть конфиг и iptables.
у меня в свое время все работало отлично, однако в конечном итоге пришлось от этого отказаться в связи с кучей "паразитного" трафика. это только мешало работать, а канал то не резиновый...

я вот думаю попробовать с mtu поигратся

mtu ничего не решило, неправильный выбор решения :(

Удаленный рабочий стол находится там же где и шара?
Если да, то в iptables цепочка FORWARD. Если нет, то я не телепат.

mtu тут непричем. давайте конфиги iptables и openvpn. a-x прав, все телепаты в отпуске

a-x написал:

Удаленный рабочий стол находится там же где и шара?
Если да, то в iptables цепочка FORWARD. Если нет, то я не телепат.

да вы правы есть такая цепочка,
значит нужно правильно конфигурировать правила фаервола