Доброго времени суток. Заранее прошу прощения за довольно тупой вопрос.
Имеется промежуточный сервер, который периодически связывается с клиентами, собирает от них данные, и пересылает эти данные на ещё один сервер. С клиентами должен быть связан по OpenVPN. В общем, проблема в том что не соображу как завернуть все запросы допустим по маске 32.15.46.0 в OpenVPN. В конфиге сервера пробовал прописать "push route 32.15.46.0 255.255.255.0", пробовал через client config, указав там ipush 32.15.46.0 255.255.255.0 - всё равно пинг допустим адреса 32.15.46.11 идёт через основную сеть, не через ВПН.
В iptables все форварды для порта ВПН разрешил
Заранее спасибо
Andrey Barbolin,
Сервер ставился скриптом. Я мало работал с OpenVPN, так что всех опций не знаю.
> client-config-dir /etc/openvpn/client_conf
Хм. Я всегда думал что такая опция на сервере принудительно всем клиентам в независимости от конфигурации применяет определенные настройки. Ну типа маршрутизации, можно писать в конфиг клиента, можно в client_config на сервере.
Собственно, буду безмерно благодарен за совет как причесать настройки. Это, так сказать, настройки по умолчанию. С ними сервер прекрасно работал в качестве прокси, но вот работать как промежуточный уже не хочет. Просто вышестоящий сервер тоже за туннелем, только уже VipNet, и их ещё предстоит подружить
Andrey Barbolin, тогда снова тупой вопрос - что прописать, чтобы клиент OpenVPN использовал свои настройки ДНС, в частности hosts? Просто доступ к серверу нужно там прописывать, доменов нет.
My_Second_Nickname,
> клиент OpenVPN использовал свои настройки ДНС
Свои? DNS которые они получают от домашнего роутера?
Так не отдавай им DNS, убери эти строки
push "dhcp-option DNS 32.15.46.138"
push "dhcp-option DNS 32.15.46.138"
push "dhcp-option DNS 1.1.1.1"
Если надо определенную сеть заворачивать, то убери
push "redirect-gateway def1 bypass-dhcp"
но оставь
push "route 32.15.46.0/24 255.255.255.0"
port 55555
proto udp
dev tun
user nobody
group nogroup
persist-key
persist-tun
keepalive 10 120
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 32.15.46.0/24 255.255.255.0"
client-config-dir /etc/openvpn/client_conf
dh none
ecdh-curve prime256v1
tls-crypt tls-crypt.key
crl-verify crl.pem
ca ca.crt
cert server_sample.crt
key server_sample.key
auth SHA256
cipher AES-128-GCM
ncp-ciphers AES-128-GCM
tls-server
tls-version-min 1.2
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256
client-config-dir /etc/openvpn/ccd
status /var/log/openvpn/status.log
Трассировка узла 32.15.46.11 снова показывает что идёт через интернет. И сайты стали выдавать ошибку
DNS_PROBE_FINISHED_NO_INTERNET
В конфиге клиента убрал
ignore-unknown-option block-outside-dns
My_Second_Nickname, Где находится сеть 32.15.46.0?
Компы в сети 32.15.46.0 знают маршрут до ВПН клиента?
Хорошо бы увидеть схему сети с адресацией.
В последнем конфиге синтаксис в push route не правильный. Правильно: push "route 32.15.46.0 255.255.255.0"
После подключения к ВПН маршрут должен появиться в таблице маршрутизации клиента (route print). Если не появился - надо смотреть лог клиента, там должны быть ошибки.
res2001,
>Компы в сети 32.15.46.0 знают маршрут до ВПН клиента?
Там нет как таковых компов в сети. Это один промежуточный сервер. На нём ещё VipNET, и т.д. Выше писал об этом.
По хорошему этот сервер вообще не должен смотреть никуда, кроме двух туннелей
>В последнем конфиге синтаксис в push route не правильный. Правильно:
Ок, щас попробую
UPD:
Поправил push. Пинг до 32.15.46.11 вообще не ходит, сайты по прежнему ругаются на ДНС.
My_Second_Nickname, VipNet ... вы подключаетесь к какому-то гос.сервису?
Там обычно требуют, чтоб заходили к ним со строго определенных адресов, которые они же и выдают. Для этого нужно поднимать NAT на конечном шлюзе.
На самом ОВПН сервере есть маршрут к сети 32.15.46.0? Или он сам ее участник?
res2001,
> VipNet ... вы подключаетесь к какому-то гос.сервису?
Можно и так сказать. Про строго определенные адреса - да, именно с этого сервера разрешено соединение. NAT на нём это уже следующий пункт. Щас хотябы завернуть трафик туда
>Или он сам ее участник?
Да, он её участник. Это внешний IP-адрес этого сервера. Грубо говоря, когда клиент пытается обратиться к любому адресу в сети 32.15.46.0 - нужно чтобы его заворачивало в туннель. Все остальные запросы должны идти по открытой сети
My_Second_Nickname, Ок. Как только на клиенте после подключения появится маршрут до сети 32.15.46.0, считайте, что вы завернули трафик.
Не забывайте, что блокировать трафик может фаервол как на клиенте, так и на сервере.
My_Second_Nickname, Что значит отваливается ДНС? Что конкретно происходит с настройками ДНС на клиенте?
В конфиге ВПН сервера нет опций, влияющих на ДНС. Возможно что-то есть в клиентском конфиге или в /etc/openvpn/client_conf.
Простой