Пытаюсь настроить удаленный доступ к локальной сети через OpenVPN. Почему недоступны ресурсы локальной сети?

Question

[tmkbl]

Есть домашняя сеть 192.168.1.0/24, закрытая NAT'ом провайдера. На VPS с белым ip настроил OpenVPN сервер. Задумка следующая. В домашней сети есть ПК, на котором поднимается OpenVPN клиент. Этот ПК как бы является мостом между VPN сетью и локальной сетью. И другие OpenVPN клиенты должны иметь доступ к устройствам сети 192.168.1.0/24.
Вроде бы всё настроил, но с удаленных устройств не получается достучаться до сети 192.168.1.0/24. Программой Wireshark, запущенной на том самом домашнем ПК с OpenVPN клиентом, увидел, что пакеты с адресом назначения сети 192.168.1.0/24 на этот ПК приходят:
(попытка зайти в вебморду роутера 192.168.1.1 с OpenVPN клиента 10.8.0.4)

Пакеты приходят, но что с ними происходит дальше - не ясно, т.к. от роутера 192.168.1.1 ответа не приходит. То ли их ПК дальше никуда не отправляет, то ли хост 192.168.1.1 куда-то не туда ответы шлет...
В чем может быть дело?

Comments

[Alexey Dmitriev]

Маршрутизатор может стать клиентом openvpn? Какая ось установлена на компьютере с клиентом openvpn?

Answer 1

[Bermut]

Два варианта - или не включен форвардинг на пека (в случае линукса sysctl -w net.ipv4.conf.all.forwarding=1, в случае винды - не использовать ее как какой-либо сервер)
Или да, отсутствует обратный маршрут до вашего vps, решается или SNAT на ПК, или прописыванием обратного маршрута на основном GW, только отмечу, соединения от него не должны идти через snat.

Comments

[tmkbl]

Спасибо. Наиболее подходящим решением выбрал добавление правила SNAT. Все работает, ура!

Answer 2

[Дмитрий]

Роутеру пропишите статический маршрут до сети 10.8.0.0/24 (или какая там маска) через 192.168.1.x (адрес вашего ПК). И на самом ПК должна работать маршрутизация

Comments

[m-musikhin]

Поддерживаю.
1. Не надо пашить default и заоуливать весь трафик на контору
2. Описать push нужных сетей
3. Если надо - прописать iroute
4. Проверить forwarding
5. Не использовать nat, как пишут во всех статьях в инете, через нат будет по сути анонимайзер и потом хрен поймешь кто зашёл и устроил косяк.

Ну и tcpdump в помощь чтобы понять что происходит

Answer 3

[Константин Фролов]

1. Заменить домашний роутер на Микротик.
Если это невозможно, то ваша домашняя машина, на которой стоит OpenVPN должна стать для других компьютеров шлюзом.

Answer 4

[Антон Южный]

Настраивал OpenVPN достаточно давно...
Добавь строку ниже в кофиг сервера...

client-config-dir "C:\\Program Files\\OpenVPN\\config" # путь к конфигурационному файлу клиента на сервере VPN

По указанному пути выше должен лежать файл, уже не помню точно, но вроде как должен совпадать именем с именем конфига клиента... Файл должен быть след содержания...

ifconfig-push 172.16.10.4 255.255.255.0
iroute 192.168.121.0 255.255.255.0 #маршрут который появится у клиента
#Включить или отключить доступ убрав решетку ниже
#disable

По поводу второй строки проверяй может там еще шлюз указывать надо, нашел какие-то старые свои наработки...
Такое решение, как по мне самое лучшее, так как ты можешь настраивать маршрутизацию клиента плюс отключить его из конфига который у тебя на сервере лежит, обращу внимание что маршруты прописываются в момент подключения клиента...

Comments

[UncleStark]

Этот ответ верный. Нужен CCD и iroute, либо топология subnet. Настройки форвардинга и в целом маршрутизации без этого работать не будут

Answer 5

[novikovalejandro]

Как выше писали вариант с микротик хороший но требует денежных вложений. Как вариант поднять pfsence. Если нужно получить доступ к определеным сервисам на локальном пк, то можно обойтись ssh сервером и перенаправлять локальные порты.

Answer 6

[Farrux28]

Попробуй отключить автоматическую маршрутизацию у себя, на стороне клиента

Answer 7

[makapohmgn]

Если там винда, то вряд ли она будет натить трафик из опенвпн в сеть, если линукс, то настраивай маршрутизацию и форвардинг, чтобы пакеты летели в обе стороны.

Answer 8

[Pavel Parpura]

Если же ничего не поможет, то используйте ZeroTier.
Этот VPN работает даже там, где внешне всё закрыто.

Answer 9

[lanuser]

Если NAT не включен, на 192.168.1.1 прилетает пакет от 10.8.0.4, а т.к. 10.8.0.4 не принадлежит подсети 192.168.1.0/24 ответ уйдет на default gateway, т.е. в интернет. Можно включить NAT,а можно прописать на роутере маршрут для подсети 10.8.0... в локалку. И firewall проверить, конечно.

Answer 10

[MaximusUfa]

Попробуйте на роутере домашнем изменить подсесть 192.168.1.0/24 на отличную от той куда подключаетесь, например 192.168.25.0/24