Выборочно объединить в локальную сеть клиентов OpenVPN?

Question

[Ilya12345]

В наличии есть сервер на котором поднят OpenVPN, клиентов у сервера более 100.
Все работает и хорошо, но после смены провайдера дома пропал внешний доступ к 3д принтеру и прочим девайсам. Все устройства тоже подключенны к этому серверу, как настроить локальную сеть между выбранными профилями при этом не поломав и не дав другим клиентам OpenVPN в нее влезать.
В линуксе я не специалист, объясните пожалуйста на пальцах или дайте мануалы по подобной настройке.
P.s. все что нагуглил неккоректно или я неверно задавал запрос в поисковик.

Comments

[Alexey Dmitriev]

Если вы не специалист - возможно стоит нанять специалиста.
Вам с этим на Фриланс https://freelance.habr.com/, здесь такие вопросы-являющие собой по факту задания - запрещены правилами.

[res2001]

Мало что понял из вашего вопроса.
Что за профиля? Что за сервер вы упоминаете?
Внешний доступ к устройствам вы имели прямой или через ВПН? Устройства находятся во внутренней сети ВПН сервера?
Осталось не ясным - после смены провайдера ВПН у вас работает или нет? Если вы считаете, что ВПН работает, то что конкретно работает (приведите какие-нибудь примеры работающих сервисов, например пинг на какйо-то внутренний адрес), а что не работает (что раньше работало)?

От провайдера работа ВПН клиента не должна зависеть, если конечно провайдер не блокирует почему-то ВПН. Т.е. вы можете бегать от одного провайдера к другому хоть каждый день и это не должно сказываться на работе ВПН.

Вообще при разборках с ВПН, хорошо бы представлять схему сети, адресацию сети, адресацию ВПН. Так же нужен конфиг ВПН сервера и типовой конфиг клиента. Если ключи в конфигах, то их предварительно стоит удалить перед выкладыванием сюда, так же удалить/изменить белые адреса в конфиге клиента.

[Ilya12345]

Alexey Dmitriev, это не задание я просто прошу помочь со списком того какой софт понадобиться, и инструкциями к нему для моего случая.
И да про фриланс: я не буду пускать на свой личный сервер где сидят друзья и знакомые человека из интернета, если учесть что моих компетенций не хватит для отслеживания его действий.
А так идея хороша, не спрашивай помощи на сайте "вопрос ответ", заказывай на фрилансе кстати не забудь фриланс наш и вот еще реферальная ссылочка чтоб мне гишефт капнул.
Зачем вообще что то спрашивать если можно сразу рядом с кнопкой задать вопрос сделать вторую, заказать на фрилансе?

[Ilya12345]

res2001, openvpn установлен и накатан на дебиан этим скриптом https://github.com/angristan/openvpn-install
В нем уже крутиться более 100 человек.
Я хочу связать выборочных "клиентов" (они уже его используют) в локальную подсеть поверх текущей внутренней сети OpenVPN.
Сервер внешний и провайдер к нему отношения не имеет;
С доступностью впн сервера тоже проблем нет.

Основная моя идея чтоб приложение с включенным впн достукивалось до домашнего 3д принтера посредством надстройки на впн сервере, тоесть чтоб связать конкретные устройства к примеру мой телефон, ноутбук, домашний компьютер и компьютера на даче в одну подсеть, из которой можно будет коммуницировать между этими устройствами. Например удаленно включать и выключать 3д принтер, включать компьютер и все такое. И что-бы другие пользователи внешнего сервера не имели доступа к данной сети, только указанные устройства.

[res2001]

Ilya12345, Для отдельной ВПН подсети, думаю, логично настроить второй экземпляр openvpn со своей адресацией. Доступ к устройствам в сети за каким-то из клиентов можно настроить добавив в конфиг openvpn сервера соответствующие опции.
Думаю второй экземпляр лучше поднимать руками, т.к. само по себе это действие не типичное и вряд ли ваш скрипт умеет создавать несколько экземпляров openvpn. Есть вероятность, что он, создав новый экземпляр, убьёт старый.

Answer 1

[AlexVWill]

После сменя провайдера ожнозначно стал иной IP, при этом возможно провайдер вам дал IP из своей внутренней подсети, поэтому для доступа извне к внутреннем ресурсам вашей сети (диски, сервера, принтеры) проще всего перво-наперво надо получить статический белый IP. После этого, надо будет настроить файрволл, открыть соответствующие порты и настроить маршрутизацию на сервере для того, чтобы пакеты извне шли к нужному ресурсу внутри сети.
Но очень много зависит от топологии сети.

Comments

[Ilya12345]

Видимо я не правильно расписал вопрос, сервер внешний и на нем висят устройства и мои в том числе которые я хочу объеденить в локальную подсеть. По поводу провайдера я знаю что он дал мне статический внутренний ип, фаервола как такового нет в случае включенного впн. Локальная сеть от руетера у меня хорошо работает только доступа из вне (например с телефона) нет поскольку провайдер зажопил доступ и требует деньги за дополнительную внешнюю статику. Плюс софт управляющий 3д принтера явно намекает что не нужно его выпускать в открытый интернет.

[AlexVWill]

Ilya12345, "правильно поставленный вопрос - уже половина ответа", так, мы уже поняли, что VPN сервер сидит снаружи, и от провайдера не зависит (?), значит на какой то VPSке по видимому. Тогда задача проще, осталось понять, введен ли роутер, на котором висит железо (принтер и пр.) в VPN. Если да, то надо на роутере открыть порты для доступа извне и настроить маршрутизацию на железки (как это сделать - курить мануал к роутеру), а доступ к принтеру внутри VPN будет например по адресу 10.0.0.1:50, где 10.0.0.1 - это адрес роутера в VPN сети, а 50, это открытый на роутере порт, по которому пакеты маршрутизируются на принтер.
Ну это если по простому. А вообще, лучше нанять грамотного Linux админа, который все это настроит.
Никакого софта особо не надо, Linux server, + iptables, OpenVPN server, роутер и прямыеруки.sys

[Ilya12345]

Спасибо за внятный ответ, внешний VPS сервер виден на него даже домен закреплен и телеграм бот, все сокрытие портов и маршрутизацию я там настроил. Если вас не затруднит сбросьте мануал если есть на настройку для моего случая ( или хотя бы близко похожего) заранее спасибо!

[AlexVWill]

Ilya12345, это настраивается не на уровне сервера VPN, а на уровне роутера, на котором висят все внутренние железки. Надо сначала роутер ввести в VPN подсеть как клиента, получить для него IP от VPN сервера, а потом на роутре настраивать порты и маршрутизацию.
Что хоть за роутер то?

[Ilya12345]

AlexVWill, а напрямую не выйдет между девайсами прокинуть маршруты?
Роутер Саяны mi router 4a, стоковый и особо морочиться с ним я не хочу.
По сути мне надо только телефон и принтер законнектить, гипотетически путь у принтера адрес будет 192.168.1.3, а у телефона 192.168.1.9 как мне настроить подсесть между ними?

[AlexVWill]

Ilya12345, если все внутри одной сети - то должно видеть и так. Если снаружи - напрямую можно если у роутера будет статический IP, тогда и VPN не нужен, хотя это и не безопасно, нужна какая то авторизация. Если по правильному, через VPN, тогда весь трафик пойдет через VPN сервер. Но для этого надо чтобы роутрер был клиентом VPN сети. После этого можно на нем настройки проводить.
Как открыть порт и установить маршут на твоем рутере - написано вроде тут https://miwifi.ru/15-probros-portov-na-routere-xia...
В поле internal ip - введи IP твоего принтера. Должно сработать.
Кстати, принтер то как подключен, как LAN девайс со своим внутреннем IP?

[Ilya12345]

AlexVWill, принтером рулит малинка 3, Я просто думал на ней поднять впн клиент в обход роутера, а на самом внешнем сервере как то связать смартфон и малинку принтера в локальную сеть, внутри OpenVPN, насколько я верно понимаю что в опенвпн все клиенты поумолчанию изолированны.

[AlexVWill]

Ilya12345, если под "изолированны" ты имеешь ввиду видят ли они друг-дружку - то да, есть опция, которая позволяет им видеть друг-дружку:

# Uncomment this directive to allow different
# clients to be able to "see" each other.
# By default, clients will only see the server.
# To force clients to only see the server, you
# will also need to appropriately firewall the
# server's TUN/TAP interface.
client-to-client

насчет малины - не самая лучшая идея, т.к. еще одно промежуточное звено, но если принтер LAN не поддерживает, и по другому никак - тогда да.

[Ilya12345]

Спасибо за разжовывание и потраченное время, дальше буду возиться сам ;)