Как реализовать сетевую маршрутизацию между двумя OpenVPN серверами?

Question

[Vladislava_L]

У меня есть два OpenVPN сервера, задача каким-либо образом сконектить их между собой так, чтобы пользователь-1, который подключается к серверу-1, мог достучаться до пользователя-2, который подключается к серверу-2.

На текущий момент OpenVPN сервера сконфигурированны, пользователи могут подключиться, все работает, но вот соединение между сервером-1 и сервером-2 не получилось реализовать.

Подскажите каким образом это можно сделать?

топология сети приведена ниже

Comments

[Vladislava_L]

Также прикладываю конфигурации,
Сервер-1:

port 1194
proto tcp

client-to-client
auth-nocache

ca ca.crt
cert vpn-server.crt
key server.key
tls-crypt ta.key
dh none

cipher AES-256-GCM
auth SHA256

user nobody
group nogroup

dev tun
topology subnet

mode server
tls-server

server 10.2.0.0 255.255.255.0 nopool
ifconfig 10.2.0.0 255.255.255.0
ifconfig-pool 10.2.0.100 10.2.0.164 255.255.255.0

txqueuelen 250
keepalive 300 900

persist-key
persist-tun

status /var/log/openvpn/openvpn-status.log 60
status-version 3

log /var/log/openvpn/server.log
verb 6

client-config-dir ccd
duplicate-cn
max-clients 64

mute 20

explicit-exit-notify 0

Сервер-2 (все тоже самое, кроме ip адресов):

server 10.3.0.0 255.255.255.0 nopool
ifconfig 10.3.0.0 255.255.255.0
ifconfig-pool 10.3.0.100 10.3.0.164 255.255.255.0

[Модератор]

Не надо ставить как можно больше тэгов. Лучше оставить один, но конкретный, с которым проблема.
См.п.3.1 Регламента.

Answer 1

[res2001]

Соедините сервера между собой третьим ВПНом, в котором один из серверов будет сервером, второй клиентом.
Адресация внутри этого ВПН должна быть уникальная.
Добавьте соответствующие маршруты для пользователей.

Comments

[Vladislava_L]

Идея очень хорошая, но к сожалению, топология сети это не предусматривает.

Я пыталась сделать вот так:
- создала конфиги для сервера 1 и 2
- подключила OpenVPN сервера друг к другу, каждый из них получил первые ip адреса (10.2.0.100 и 10.3.0.100)
- далее были прописаны маршруты:

на сервере-1:
ip route add 10.3.0.0/24 via 10.2.0.100 dev tun 0

на сервере-2:
ip route add 10.2.0.0/24 via 10.3.0.100 dev tun 0

Таким образом вроде сервера друг друга пингуют, но пользователь не может пингануть другого пользователя (подключенные с разных VPN серверов)

[Valentin Barbolin]

Vladislava_L, покажи вывод ip ad с обоих серверов

[Drno]

Vladislava_L, а это не вопрос "предусматривает топология или нет". это по сути единственный вариант решения

[Vladislava_L]

Valentin Barbolin, вот скрин

[Vladislava_L]

Drno, А нет ли возможности просто передавать трафик с одного сервера на другой? Ибо у 1го сервера одна подсеть, у 2го другая подсеть, и если пользователю, который находится в подсети 1, нужен ресурс из подсети 2, то его маршрут идет через сервер-1 (через который он подключен), к серверу 2, а от сервера 2 уже к ресурсу.

[Vladislava_L]

Drno, Более того, сервера соединяю друг с другом по VPN, и они друг друга видят и пингуют, проблема в том, что клиент не может пропинговать все, что дальше, т.е. клиент-1 не видет ресурсов сервера-2 (подключенных к нему клиентнов) и наоборот.

[Vladislava_L]

Кроме того, у них есть белые ip, поэтому не думаю что промежуточный сервер - единственный вариант...

[Drno]

Vladislava_L, никто не говорит про промежуточный сервер.
Но Вам надо указать клиентам маршрут.
Для клиента из первой сети Маршрут пойдет через впн сервер номер один
А дальше уже должен быть маршрут на сепвере впн, до сети к которой обращается клиент.
Тк сервера не соеденены физически и не подключены к 1 роутеру или свитчу - их надо объединить, чтоб прописать маршруты и чтобы ходил трафик нормально.

А объединить их в 1 сеть можно только посредством ВПНа. Иначе твои «серые» адреса друг друга не найдут, с клиентов.

Так что на любом из них сделайте еще 1 впн сервер и подключитесь к нему вторым сервером

Далее уже можно настраивать маршруты

[Drno]

Vladislava_L, передавать трафик можно, но оперрируя другими вещами. Например портом tcp, так можно перенаправить запросы веб сервера например
По сути - проброс порта, с 1 внешнего адреса на другой.
Но для объединение сетей это работать не будет

[Vladislava_L]

Drno, А нельзя ли это реализовать с уже развернутыми VPN серверами? Каждый сервер подключается друг к другу и получают адреса (на скриншоте зеленым)


И после этого у меня сервер-1 пингует сервер-2 и наоборот, а вот с клиентами беда, совершенно не понимаю как прописать/передать им маршруты,
у клиента (server-1-to-server-2) в ccd прописано вот это:

route 10.3.0.0 255.255.255.0
push "route 10.3.0.0 255.255.255.0"
iroute 10.3.0.0 255.255.255.0

у другого тоже самое, только не 3я, а 2я сеть.

Кроме того, в server.conf прописано:

route 10.2.0.0 255.255.255.0
push "route 10.2.0.0 255.255.255.0"

а в другом

route 10.3.0.0 255.255.255.0
push "route 10.3.0.0 255.255.255.0"

Но все равно пользователи из разных подсетей никак не видят друг друга

[Dimonchik]

Но все равно пользователи из разных подсетей никак не видят друг друга

трейсроут

[Dimonchik]

и изучите
https://openvpn.net/community-resources/setting-up...

пути вы понимаете правильно,
и у вас, может, все правильно прописано ( в тексте вопроса нет - какие-то дописывания идут) но конфиг ОВПНа перетирает обычно любые настройки на сервере, потому надо следить че и где

проще всего - потренируйтесь на 2х виртуалках и потом перенесите на рабочий

[Vladislava_L]

Dimonchik, первый tracert - когда все работает и когда пользоваьель-1 и пользователь-2 на одном сервере, второй tracert - когда пользователи на разных серверах

[Vladislava_L]

Dimonchik, Спасибо!

[ValdikSS]

Необходимо:
1. Соединить оба сервера каким-либо L3-туннелем, не обязательно OpenVPN, даже желательно чем-нибудь попроще, без собственных подсистем маршрутизации и проверок адреса источника: IPIP, GRE, L2TP. Адрес на интерфейсах назначать не обязательно.
2. Настроить маршруты и файрволлы на серверах;
3. Настроить маршруты в обе сети на клиентах.

Обратите внимание, что L3-туннели (в т.ч. OpenVPN TUN, WireGuard) не позволяют указывать IP-адрес, через который происходит маршрутизация (ip route … via 10.2.0.100) — эта опция требует L2-связности. Многопользовательские L3-серверы требуют конфигурации внутренней маршрутизации (опция iroute в OpenVPN, AllowedIPs в WireGuard), поэтому новичку для связи серверов лучше использовать простые Peer-to-peer L3-туннели.

[Dimonchik]

Vladislava_L, на скрине чертишо, конечно,
а чертишо потому что надо на клиентских машинах настроить что путь е ВПНовским сеткам через ВПНовские же DEV - прописывайте и все заработает

сейчас он просто по дефолту уходит не заходя в ВПН

[res2001]

Популярная тема оказалась :-)

Vladislava_L, Вы на верном пути. Но не доводите задачу до конца.
Нужен только 1 дополнительный ВПН между серверами. 2 ВПН не нужно - это избыточно и создаст дополнительные проблемы. Адресация внутри этого ВПН должна быть уникальная и не пересекаться с другими ВПНами и адресами.
После того как поднимете ВПН между серверами, проверьте связь между серверами.
Для клиентов ВПН1 нужно добавить маршруты в сеть клиентов ВПН2 через ВПН1 сервер. И наоборот.
Это делается через конфигурацию ВПН1 и ВПН2.
Дальше проверяете прохождение трафика с сервера ВПН1 к клиенту ВПН2 и сервера ВПН2 к клиенту ВПН1.
Когда это заработает, проверяете трафик между клиентами разных ВПН.

Когда у вас все 3 ВПНа работают и трафик внутри каждого из ВПНов ходит, то дальше уже лишь дело настройки правильной маршрутизации заставить этот трафик ходить и между ВПНами в любых комбинациях.
Процессу на любом этапе могут мешать фаерволы на любых узлах, участвующих в трафике.
Поэтому пока настраиваете маршрутизацию фаерволы лучше отключить. Когда добьетесь результата с отключенными фаерволами, то включайте фаерволы по одному и проверяйте прохождение трафика по всей цепочке после каждого включения.
Если включить сразу все фаерволы и трафик перестанет идти, то будет не ясно, какой же из них блокирует трафик.

Answer 2

[Valentin Barbolin]

Vladislava_L, Ты осознаешь что у тебя избыточные туннели между серверами? У тебя два туннеля вместо одного.

Для решения такой задачи лучше запустить еще один процесс openvpn на другом порту и использовать другую адресацию между серверами.