Dotaz: OpenVPN a propojení do LAN

[Novák Rudolf]

Dobrý den, potřeboval bych poradit s menším problémem. Nejsem moc expert na sítě a potřeboval bych nějak správně nastavit směrování pro OpenVPN server.

Server OpenVPN má dvě síťové karty: Jedna připojená k internetu přes bránu z mikrotik routeru (10.4.4.0 - brána je na IP 10.4.4.1). Druhá síťová karta je připojena do místní LAN (10.0.0.0 - brána je na IP 10.0.0.7).

OpenVPN klienti mají přiřazeny IP 10.8.0.x.

VPN je fuknční a klienti mohou komunikovat mezi sebou. Problém je, že bych potřeboval, aby komunikovali i s místní LAN sítí. Nevím, jak nastavit směrování... Bohužel zatím nemohu nahradit router místní LAN openVPN serverem.

Potřebuji do OpenVPN připojit dva servery tak, aby komunikovali jak s klienty VPN tak s místní sítí.

Děkuji za případné odpovědi :)

Konfigurace server.conf:

port    9066
proto   udp
dev     tun

server  10.8.0.0        255.255.255.0
topology subnet

push "dhcp-option DNS 10.8.0.6"
push "dhcp-option DNS 10.8.0.3"
push "route 10.0.0.0 255.255.255.0"

ifconfig-pool-persist ipp.txt

user    nobody
group   nobody

ca      ca.crt
cert    server.crt
key     server.key  # This file should be kept secret
dh      dh2048.pem

max-clients 10
keepalive 10 120
status openvpn-status.log

comp-lzo
client-to-client
persist-key
persist-tun

Odpovědi

[Josef Kufner]

Na routeru v LAN (na tom, který mají LAN klienti jako default gateway) nastav routu 10.8.0.x na VPN server, tím nasměruješ pakety z LAN do VPN.

Klientům ve VPN by měla stačit default routa na VPN server, ten už v LAN je a ví, kam dál. Pokud nemají/nechtějí default routu, tak jim nech tu 10.x.x.x, kterou už tam máš.

Doporučuju si pustit tcpdump icmp na všech počítačích a všech jejich síťovkách vedle sebe. Pak hezky uvidíš, kam pingy dorazí a odkud se nevrátí. Také bys tam měl vidět ICMP redirect, který default gateway pošle LAN počítačům, aby komunikovali napřímo s VPN serverem a ne přes default gw.

[Novák Rudolf]

Dobrý den, děkuji Vám za odpověď, směrování z LAN na VPN již funguje (pingnu si na 10.8.0.x ze site 10.0.0.0). Opačně ale bohužel ne - VPN klienti si "nepingnou" na LAN...

Klientům ve VPN by měla stačit default routa na VPN server, ten už v LAN je a ví, kam dál. - bohužel toto mi ještě nefunguje. Na serveru bezi FreeBSD s otevrenym firewallem (zatím) a routovací tabulka vypadá takto:

root@VPN:~ # netstat -rn
Routing tables

Internet:
Destination        Gateway            Flags      Netif Expire
default            10.0.0.7           UGS        bge0
10.0.0.0/24        link#1             U          bge0
10.0.0.8           link#1             UHS         lo0
10.4.4.0/24        link#2             U           dc0
10.4.4.2           link#2             UHS         lo0
10.8.0.0/24        10.8.0.1           UGS        tun0
10.8.0.1           link#4             UHS         lo0
10.8.0.2           link#4             UH         tun0
127.0.0.1          link#3             UH          lo0

Zkoušel jsem na VPN serveru "route add 10.0.0.0/24 10.8.0.1", ale něco mám nejspis spatne:

route: writing to routing socket: File exists
add net 10.0.0.0: gateway 10.8.0.1 fib 0: route already in table

[GeorgeWH]

ono by to chcelo detailny popis (mozno obrazok) zapojenia siete, lebo zase zacinam nieco tusit.

[Novák Rudolf]

Příloha:

• Bez názvu.png (157197 bytů)

Zkusil jsem nakreslit orientacni schema, snad to trosku pomuze...

[GeorgeWH]

směrování z LAN na VPN již funguje (pingnu si na 10.8.0.x ze site 10.0.0.0). Opačně ale bohužel ne - VPN klienti si "nepingnou" na LAN

divne. si si tym isty? skontroluj to tym tcpdumpom.

Zkoušel jsem na VPN serveru "route add 10.0.0.0/24 10.8.0.1", ale něco mám nejspis spatne

toto je samozrejme blbost a zbytocne. potrebujes to nastavit na vpn klientoch (to uz mas - push "route 10.0.0.0 255.255.255.0").

posli routovacie tabulky z router 2, lan klient a vpn klient.

ps: tiez som skusal rozbehat openvpn na freebsd a neviem, ci som nemal rovnaky problem. bohuzial som sa potom tomu dalej nevenoval.