Dotaz: openvpn jako brige - jak nastavit default gateway?

[Zopper]

Mám openvpn server (nastavený, bez problému se můžu připojit...), přičemž virtuální rozhraní tap0 mám svázané s eth0 (nastavená IP 192.168.2.113) - takže připojení klienti se tváří jako zapojení přímo do lokální sítě. Nedaří se mi ale nastavit pomocí openvpn konfigurace směrování všeho provozu skrz tunel.

PC v síti se vzájemně vidí, takže tunel jako takový je v pořádku, jen připojení klienti nemají jako výchozí bránu router v síti do které se připojili (192.168.2.1) ale stále svou původní. Pokud zadám na klientovi bránu ručně (route add default gw 192.168.2.1 + routa pro zachování spojení se serverem), tak se všechno rozfunguje jak má a dostanu se na internet skrz tunel.

Snažil jsem si hrát s direktivami route, route-gateway a redirect-gateway, ale nebyl jsem schopný dosáhnout toho, aby se mi jako brána nastavila mnou zadaná IP - pokud to vůbec něco nastavilo, byla to vždy adresa openvpn serveru (jako by byl v režimu routeru).

Server je ubuntu 11.04. konfigurace:

mode server
port 88
proto tcp-server
tls-server
dev tap0

server-bridge 192.168.2.113 255.255.255.0 192.168.2.60 192.168.2.70
duplicate-cn

ca /etc/openvpn/cert/cacert.pem
cert /etc/openvpn/cert/cert.pem
key /etc/openvpn/cert/key.pem
dh /etc/openvpn/cert/dh1024.pem

log-append /var/log/openvpn
status /tmp/vpn.status 10

user openvpn
group openvpn
comp-lzo
verb 3

#push "route-gateway 192.168.2.1"
#push "route 0.0.0.0 0.0.0.0"
#push "redirect-gateway "

push "dhcp-option DNS 8.8.8.8"

persist-tun
persist-key

keepalive 1 220

konfigurace klienta:

remote moje-adresa
proto tcp-client
tls-client
port 88
dev tap
pull

ns-cert-type server

mute 10
ca cacert.pem
cert cert.pem
key key.pem


comp-lzo
verb 3

---

---

Odpovědi

[Franta Hanzlík]

openvpn používám v bridge modu v topologii klient-síť i síť-síť, ale default gateway (a ani DNS servery) neměním, nechávám ji na původní hodnotě. Pokud je chcete změnit také, tak správná konfigurace by měla být zhruba takováto (příklad předpokládá IP(br0 serveru)=192.168.101.99, LAN na straně serveru 192.168.100/23, a klienti dostávají přidělené adresy z rozsahu 192.168.100.120 - 192.168.100.197) :

# server side: /etc/openvpn/client.conf:
local ServerPublicIP
port 1194
proto udp
dev tap0
up up.sh
down down.sh
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/pki/tls/certs/openvpn-dh1024.pem
ifconfig-pool-persist ipp.txt
server-bridge 192.168.101.99 255.255.254.0 192.168.100.120 192.168.100.197
push "redirect-gateway"
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
#verb 3

#!/bin/sh
# server side: /etc/openvpn/up.sh 
# the tap interface name is passed as first argument
bridge=br0
logger -t openvpn-up "#=$#, @:$@"
/usr/sbin/brctl addif "$bridge" "$1"
/sbin/ip link set $1 up

#!/bin/sh
# server side: /etc/openvpn/down.sh 
# the tap interface name is passed as first argument
bridge=br0
logger -t openvpn-down "#=$#, @:$@"
/sbin/ip link set $1 down
/usr/sbin/brctl delif "$bridge" "$1"

# client side: /etc/openvpn/client.conf:
client
dev tap
proto udp
remote ServerIP-or-FQDN 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/client3.crt
key /etc/openvpn/easy-rsa/keys/client3.key
ns-cert-type server
comp-lzo
#verb 3

#!/bin/sh
# client /etc/openvpn/up.sh 
# the tap interface name is passed as first argument
logger -t openvpn-up "client #=$#, @:$@"
nastav_DNS_servery
 
#!/bin/sh
# client /etc/openvpn/down.sh 
# the tap interface name is passed as first argument
logger -t openvpn-down "client #=$#, @:$@"
navrat_puvodni_DNS_servery

[Franta Hanzlík]

Všeliké kvaltování... :))

V /etc/openvpn/client.conf má být specifikace up/down custom scriptů (kterými, jak bylo naznačeno, se např. při zřízení VPN uschovají původní DNS servery a nastaví nové ze strany VPN serveru, a při zrušení VPN obnoví původní apod. A openvpn je verze 2.1.x, pro 2.2.x to bude stejné):

up up.sh
down down.sh

[Zopper]

Tak jsem zkusil (po prostudování vašeho konfigu) znova povolit push "redirect-gateway" a rozfungovalo se to - sice je výchozí brána pořád server, ale už zřejmě předá požadavky dál (teď si nevybavuju, jestli jsem vůbec zkusil tuto direktivu samotnou). Každopádně díky za nakopnutí, skripty jsem vůbec nepotřeboval.