☰

Meu ISP está bloqueando conexões de entrada para meu servidor OpenVPN?

tag-icon • tag-icon routing firewall openvpn isp pfsense
Meu ISP está bloqueando conexões de entrada para meu servidor OpenVPN?

Trabalhei nisso há algumas semanas, mas não pareço fazer progresso.

Eu tenho um hardware pfsense configurado como meu roteador de Internet, tudo funciona bem, exceto que não consigo me conectar ao servidor OpenVPN em execução no pfsense.

Antes de configurar o pfsense como roteador, coloquei-o atrás do meu roteador antigo, que funcionava como falso-wan e testei minha configuração de VPN - consegui me conectar. Mas posso fazê-lo funcionar na minha rede ISP.

Eu tentei (nesta sequência):

  • Porta de entrada UDP 1195
  • Porta de entrada UDP 1194
  • Porta de entrada TCP 1194
  • Porta de entrada TCP 443

Nada parece funcionar - o tcpdump não mostra nada nestas portas chegando:
tcpdump -lnni igb0 port 1194 and src host xxx.76.19.66(o IP remoto com o qual estou me conectando)

Minha configuração no pfsense segue o guia oficial e assistente de configuração:

  • O modo de servidor é acesso remoto (SSL/TLS + autenticação de usuário)
  • Configuração da chave TLS
  • Certificados testados e configurados
  • Rede de túnel IPv4: 10.0.8.0/24
  • Rede(s) local(is) IPv4: 192.168.10.0/24

Minhas regras de Firewall: insira a descrição da imagem aqui

O IP público do servidor é diferente daquele que é detectado na porta WAN do pfsense: 172.18.36.162 - este é o meu IP local interno ao ISP.

Alguma ideia de como eu poderia solucionar ainda mais o problema? Liguei para o ISP, mas eles não me disseram nada. É um pequeno ISP e nem tenho certeza se eles estão bloqueando alguma coisa de propósito.

Aqui está o que o nmap está me dizendo:

Starting Nmap 7.70 ( https://nmap.org ) at 2019-03-24 09:34 W. Europe Standard Time
Nmap scan report for 24.347.74.101
Host is up (0.00s latency).

PORT     STATE    SERVICE
1194/tcp filtered openvpn

Nmap done: 1 IP address (1 host up) scanned in 0.89 seconds

(ip substituído por números aleatórios)

Isso deve aparecer na captura de pacotes do pfsense, certo?

Responder1

Tarde, mas para fornecer uma resposta aqui. É óbvio se você olhar o IP que minha operadora me atribuiu:172.18.36.162

A sub-rede 172.16.0.0faz parte dobloco de endereço IP privado.

Vários Registros (mantidos pela ARIN). 172.16.0.0/12 (172.16.0.0–172.31.255.255) reservado para redes privadas (RFC 1918).

Isso significa que minha operadora possui uma rede interna (e firewall), tudo canalizado por meio de um único endereço IP público. Isso é chamado de CG-NAT (nat de grau de operadora).

Nessa configuração, não é possível fazer o OpenVPN funcionar sem alterar as regras de Firewall da operadora.

Liguei para eles, eles se ofereceram para me fornecer um endereço IP público e estático por 5 USD/mês. Tudo funcionou a partir daí.

informação relacionada