Tutorial sobre pfSense. OpenVPN sin DHCP.

[ Introducción ] [ Caso-Estudio ] [ Instalación ] [ Configuración base ] [ Alias ] [ NAT ] [ Reglas ] [ DNS ] [ DHCP ] [ Caudal ] [ OpenVPN ] [ Portal ]
[ OpenVPN sin DHCP ] [ spamd ]

OpenVPN sin DHCP

Para poder comprender bien lo que se explica en esta página hay que estar al corriente de lo explicado en [ OpenVPN ] ...

Cuando las comunicaciones son un tanto difíciles conviene sacarle trabajo al servidor OpenVPN que incorpora pfSense. Se trata por tanto de que el cliente se conecte empleando una dirección estática y, mejor aún, estableciendo él mismo las rutas, el servidor DNS, el servidor WINS (si hace falta), etc.

Cambios en la configuración del cliente Windows XP
Cambios en la configuración del servidor OpenVPN
¿Y cómo le decimos los DNS? ¿Y los WINS?

Cambios en la configuración del cliente Windows XP

Modificamos nuestro archivo dominio.ejemplo.ovpn de la carpeta C:\Archivos de programa\OpenVPN\config dejándolo de la siguiente forma:

dev tun
dev-node TAP
proto tcp-client
nobind

ifconfig 192.168.VVV.2 192.168.VVV.1
route 192.168.XXX.0 255.255.255.0
route 192.168.YYY.0 255.255.255.0
route 192.168.ZZZ.0 255.255.255.0

remote RRR.RRR.RRR.RRR 1194
keepalive 10 60

tls-client
ca ca.crt
cert client.crt
key client.key
ns-cert-type server

comp-lzo

verb 4

Siendo 192.168.VVV.0/30 la VPN que sólo contendrá la IP del servidor (VVV.1) y la del cliente (VVV.2) que emplea el administrador de las redes.

El uso de tls-client en lugar de client (que implica pull y tls-client) hace que el servidor no transmita ninguna orden de cómo configurarse al cliente (no pull). Por tanto, el servidor no enviará ni la ruta para la red 192.168.XXX.0/24 y habrá que ponerla en la configuración. Per a más detalles visítese http://openvpn.net/man.html.

Cambios en la configuración del servidor OpenVPN

En el lado del servidor habrá que ...

Obsérvese que:

Hemos deshabilitado la casilla [Dynamic IP].
Que el cajetín [Address pool] contiene la IP del servidor OpenVPN que definimos, que a su vez es la puerta de enlace de la interfase TAP de nuestro cliente Windows.
Que activamos la casilla [Use static IPs].
Que el cajetín [Local network] no debe servir para nada. No lo tocamos ...
Que el cajetín [Custom options] no contiene nada.

Desgraciadamente parece que hay un error en la versión 1.0.1 de pfSense y el servidor OpenVPN no se reinicia de forma limpia, por lo que habrá que reiniciar todo el cortafuegos una vez cambiada la configuración.

¿Y cómo le decimos los DNS? ¿Y los WINS?

Resulta que el cliente Windows de OpenVPN no tiene forma de configurar servidores DNS y/o WINS si no se emplea DHCP desde el servidor OpenVPN.

Por tanto, habrá que decirle a nuestra interfase de red virtual (que hemos llamado TAP) estos datos. Iremos pues a las propiedades de red y las rellenaremos a nuestro gusto. Incluso tendremos que introducirle la IP 192.168.VVV.2, ya que Windows no nos dejará guardar la configuración sin una IP.

Si en nuestro cliente ejecutamos ipconfig /all veremos algo como (incluso sin habernos conectado):

Servidores DNS . . . . . . . . . .: 192.168.XXX.1
                                    192.168.XXX.2
                                    DDD.DDD.DDD.DDD
                                    DDD.DDD.DDD.DDD

Adaptador Ethernet TAP :

Sufijo de conexión específica DNS : dominio.ejemplo
Descripción. . . . . . . . . . . : TAP-Win32 Adapter V8
Dirección física. . . . . . . . . : 00-FF-D5-A4-3F-FC
DHCP habilitado. . . . . . . . . : No
Dirección IP. . . . . . . . . . . : 192.168.VVV.2
Máscara de subred . . . . . . . . : 255.255.255.252
Puerta de enlace predeterminada . : 192.168.VVV.1
Servidores DNS . . . . . . . . . .: 192.168.XXX.1
                                    192.168.XXX.2
Servidor WINS principal . . . . . : 192.168.XXX.2

Obsérvese que hemos configurado, tanto en la tarjeta física (la primera, llamada LAN) como en la virtual (la segunda, llamada TAP) los servidores DNS que tenemos en la red 192.168.XXX.0/24. De esta forma evitaremos problemas de resolución de nombres al administrar nuestra red.

Otro aspecto importante es que al estar trabajando con subredes es aconsejable disponer de un servidor WINS para los clientes Windows, el cual también hemos indicado (192.168.XXX.2) y que en nuestro caso está en la misma máquina que el segundo DNS.

Con todo esto podremos acceder a nuestras máquinas por IP, nombre en el dominio y nombre NetBIOS. Por ejemplo 192.168.XXX.70, Pc70.dominio.ejemplo o Pc70.