OpenVPN conecta mas não acessa rede.

[saut]

Galera, to começando a mexer com as RBs e estou com dificuldade em resolver um problema.

Estou usando uma RB750Gr3 e minha topologia é mais ou menos a seguinte:

Eth1 - PPPoE Client. Recebo internet de um provedor local
Eth2 - LAN 172.16.10.0/24. DHCP Server ativado. Masquarade. Dispositivos navegam.
Eth3 - NC
Eth4 - NC
Eth5 - Sai para uma outra rede, que NÃO deve navegar na internet mais eu quero acessar pela VPN.

Na Eth5 Estão diversas subredes (já estavam criadas quando assumi). Nenhuma tem DHCP nem GW.
Ex.
192.168.0.0/24
192.168.1.0/24
172.16.113.0/16

Meu objetivo é acessar as redes na Eth5 pela VPN.
Minha configuração já está OK e funcional, desde que eu ative na Eth5 arp-proxy.
Se eu não ativo o arp-proxy, consigo pingar a RB, mas nada que estiver pro trás dela (pela rb, pingo os demais dispositivos que gostaria de acessar).
Acontece que quando ativo arp-proxy nessa eth, um dos meus serviços na rede para de responder.

Então, penso que estou precisando criar alguma rota.
Alguma sugestão de como proceder com essa configuração?


ps. Antes, eu estava recebendo o link em um Roteador TP-Link, e a eth1 da rb estava como DHCP client.
Nessa forma eu conseguia acessar sem problemas os dispositivos por trás da rede.
Depois que mudei a Eth1 pra PPPoE client, não consigo acessar mais.

[patriciomartins]

Boa noite

Olha se o seu nat não está restrito.

Se tiver coloca uma exceção para as redes que você quer acesso.

[saut]

Na verdade, teno somente essas duas regras de NAT

1) Liberar o acesso da rede eth2
srcnat | src address - 172.16.10.0/24 | Out Interface - WAN | Action - masquarade


2) direcionar a porta de acesso externo para o servidor OpenVPN
dstnat | Prot - tcp | dst port 64502 | action dst-nat | to address - 172.16.10.1 | to ports - 1194

Deveria ter alguma mais?

[saut]

Upp.
Alguém com alguma ideia?

[patriciomartins]

Nessa sua regra de masquerade que a out interface é essa wan, por um acaso ela é o pppoe que você está recebendo?

[saut]

Sim, é um cliente PPPoE.

Quando a "WAN" era conectada numa portador de um roteador (que discava o PPPoE), eu conseguia o acesso que preciso. Foi colocar a RB "pra frente" do roteador e fazer ela discar o PPPoE que não funcionou mais.

[patriciomartins]

Nesse caso você vai ter que criar uma regra pra aceitar que a rede que você está, seja traduzida para as redes que estão na ether5

[saut]

Seria uma regra de Nat/forward ou uma Rota?

Ja tentei ambos, mas não obtive êxito.
Alguma sugestão?

[patriciomartins]

Você vai ter que colocar uma src address list com as redes que você quer ter acesso, e retirar do src address a rede que está lá substituindo pela lista com aquelas redes.

[saut]

Mas ai vem um porem.
As redes que estão na ether5 vão acessar a internet, certo?
Eu não quero que elas acessem.

[patriciomartins]

Então coloca só a rede da sua VPN no nat e a rede que você quer que saia

[saut]

Criei essa regra

chain=srcnat action=masquerade src-address=192.168.101.0/24 out-interface=<ovpn-saut> log=no log-prefix=""

Mas ainda não foi.

[patriciomartins]

Você faz isso na regra atual de NAT na aba advanced tem uma área chamada src address list, coloca o nome que você quer, depois lá em address list você coloca as rede da vpn e a rede que já estava lá em src address list, assim você otimiza a sua regra, e remove a que você criou aí que ela não vai funcionar porquê a saída é o endereço público que está no PPPoE.

[saut]

Minha regra ficou assim

chain=srcnat action=masquerade src-address=172.16.10.0/24 src-address-list=192.168.101.0/24 out-interface=Link-PPPoE log=no log-prefix=""

Lembrando que a rede que quero acessar é 192.168.101.0/24
Minha VPN esta configurada Local 192.168.101.17 Remota 192.168.101.18

Mas ainda não foi.

[patriciomartins]

você colocou as redes na lista?

Se você observar lá em src address list é um nome que você tá dando pra uma lista não um endereço, em ip firewall address list é que você coloca as redes

[saut]

Criei a lista de dois jeitos, ambas não rodaram.

# LIST ADDRESS CREATION-TIME
0 Digi 192.168.101.0/24 nov/29/2018 13:08:40

# LIST ADDRESS CREATION-TIME
0 Digi 192.168.101.1-192.168.101.254 nov/29/2018 13:08:40

E a NAT ficou assim
chain=srcnat action=masquerade src-address=172.16.10.0/24 src-address-list=Digi out-interface=Link-PPPoE log=no log-prefix=""

[patriciomartins]

ip firewall nat/
add chain=srcnat action=masquerade src-address-list=Digi out-interface=Link-PPPoE

ip firewall address-list/
add list=Digi address=192.168.101.0/24
add list=Digi address=172.16.10.0/24