Ограничение доступа в интернет клиентам OpenVPN?

Question

[mike89klein]

Здравствуйте. При создании VPN сети настроил все так, чтоб клиенты пользовались лишь своим интернетом. Опции "push redirect-gateway def1 bypass-dhcp" и "push "dhcp-option DNS 8.8.8.8" не добавлял.
Маршрутизацию прописывал
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.20.0.0/24 -o eth0 -j MASQUERADE
Но теперь возникла необходимость чтобы некоторые клиенты при подключении к OpenVPN могли использовать свой интернет канал только для создания туннеля OpenVPN сервером, а работа в самой сети VPN велась только с подключенными устройствами, без доступа в интернет через сервер. Возможно ли это сделать через конфиг ccd?

Comments

[Valentin Barbolin]

> Но теперь возникла необходимость чтобы некоторые клиенты при подключении к OpenVPN могли использовать свой интернет канал только для создания туннеля OpenVPN сервером, а работа в самой сети VPN велась только с подключенными устройствами, без доступа в интернет через сервер. Возможно ли это сделать через конфиг ccd?

Как-то замудро написано. Ты хочешь, что бы при поднятии тоннеля, интернет на клиенте не работал, но был доступ к устройствам VPN?

[mike89klein]

Andrey Barbolin, да

[Valentin Barbolin]

mike89klein, да, можно через ccd.
Тогда пуш им gw и dns и закрывай доступ для них в интернет по средствам iptables.
def1 bypass-dhcp" и "push "dhcp-option DNS 8.8.8.8

Answer 1

[ky0]

Разделяете тех, кому надо в интернет, и кому не надо, по разным диапазонам адресов, и закручиваете доступы в iptables.

Comments

[mike89klein]

Разделение в плане жесткой привязки в определенному IP?

[ky0]

mike89klein, не обязательно - это можно разрулить на уровне разных конфигов, внутри которых адреса выдаются динамически.

Answer 2

[res2001]

добавляя опции

Это странно, мягко говоря. Похоже вы добились прямо противоположного. Опция
push redirect-gateway def1 bypass-dhcp
Делает ВПН сервер шлюзом по умолчанию на клиентах. Так что интернет у клиента будет идти через ВПН.
Вторая опция просто добавляет DNS сервер клиенту.
Что бы клиент использовал свой интернет - удалите обе опции из конфига сервера.

Все это легко проверяется - соединитесь с ВПН и посмотрите таблицу маршрутизации на клиенте стандартными средствами. Если маршрут по умолчанию будет через ВПН сервер - значит клиент будет получать интернет через ВПН.

Включение NAT на ВПН интерфейсе то же не обязательно. Использовать его или нет - зависит от текущих настроек сети за клиентом и сервером и от того для чего вы используете ВПН.

Comments

[mike89klein]

Опция
push redirect-gateway def1 bypass-dhcp

Добавив эту опцию в настройки сервера я перенаправлю трафик для всех клиентов, а необходимо только для определенных и работа только в сети VPN, без доступа к внешним ресурсам.

[res2001]

mike89klein, Увидел изменение поста.
Добавьте опцию push redirect-gateway def1 bypass-dhcp в ccd нужных клиентов.
А затем на фаерволе ВПН сервера блокируйте адреса клиентов для выхода в интернет, как советовал ky0