Добрый, господа.
Имею две локалки и два шлюза под OpenBSD4.5. Шлюзы эти как две капли воды, за исключением, того что один из них OpenVPN-сервер, другой - клиент. И все то там прекрасно работает, да вот только локалки друг друга не видят. Причем как только на шлюзе-клиенте, я заменяю все фильтрующие правила на "pass all", локалки становятся доступными друг для друга; я вновь меняю правила в исходное положение (pfctl -f ессно делаю) и, чудо, сети продолжают друг друга видеть, до первой перезагрузки шлюза.
Такое ощущение будто шлюзы должны "понюхать" друг друга, как собаки, а pf им мешает.

Ниже pf.conf для обоих шлюзов. Буду благодарен за совет.

----------------------------------------------------------
set block-policy return
set loginterface $ext_if
set skip on { lo tun0 }
scrub in

nat on $ext_if from $local_net to any -> $ext_ip

block all
pass out on $int_if from any to $local_net
pass in quick on $int_if from $local_net to $int_if
pass in on $int_if proto tcp from $local_net to any flags S/SA modulate state
pass in on $int_if proto { icmp udp } from $local_net to any keep state

pass out on $ext_if proto tcp from any to any flags S/SA modulate state
pass out on $ext_if proto { icmp udp } from any to any keep state

pass in on $ext_if proto tcp from any to $ext_ip port 22 flags S/SA modulate state
pass in on $ext_if proto udp from any to $ext_ip port 1194 keep state
-------------------------------------------------------------

• OpenVPN & PF: что открыть?,local, 13:24 , 08-Окт-09
  • OpenVPN & PF: что открыть?,SaveMeGood, 14:18 , 08-Окт-09
    • OpenVPN & PF: что открыть?,reader, 16:02 , 08-Окт-09
      • OpenVPN & PF: что открыть?,SaveMeGood, 16:48 , 08-Окт-09
        • OpenVPN & PF: что открыть?,SaveMeGood, 17:00 , 08-Окт-09

Попробуйте изменить на
pass in on $ext_if proto {tcp udp} from any to $ext_ip port 1194 keep state

>Попробуйте изменить на
>pass in on $ext_if proto {tcp udp} from any to $ext_ip port
>1194 keep state

Openvpn настроен на передачу по upd; я всеже изменил, но это не помогло.

>>Попробуйте изменить на
>>pass in on $ext_if proto {tcp udp} from any to $ext_ip port
>>1194 keep state
>
>Openvpn настроен на передачу по upd; я всеже изменил, но это не
>помогло.

сделайте логирование того что блокируется и посмотрите

>>>Попробуйте изменить на
>>>pass in on $ext_if proto {tcp udp} from any to $ext_ip port
>>>1194 keep state
>>
>>Openvpn настроен на передачу по upd; я всеже изменил, но это не
>>помогло.
>
>сделайте логирование того что блокируется и посмотрите

Oct 08 16:38:52.570648 rule 0/(match) block in on tun0: 94.*.*.178 > 192.168.2.20: icmp: echo request

set skip tun0 - не решает?

>[оверквотинг удален]
>>>>1194 keep state
>>>
>>>Openvpn настроен на передачу по upd; я всеже изменил, но это не
>>>помогло.
>>
>>сделайте логирование того что блокируется и посмотрите
>
>Oct 08 16:38:52.570648 rule 0/(match) block in on tun0: 94.*.*.178 > 192.168.2.20: icmp: echo request
>
>set skip tun0 - не решает?

Спасибо за ответ, это действительно так ((. На обоих шлюзах указано set skip on { lo tun0 }, но заработало только после того, как я явно указал это правилами:

#VPN
pass in on tun0 proto tcp from any to any $tcpstate
pass in on tun0 proto { icmp udp } from any to any $udpstate
pass out on tun0 proto tcp from any to any $tcpstate
pass out on tun0 proto { icmp udp } from any to any $udpstate

для меня это останется загадкой....