Как настроить маршрутизацию в OpenVPN?

Question

[ENigma371]

Имеется Openvpn сервер с IP10.20.0.1,
Для клиентов выделил сеть 10.30.0.0
Создал директорию ccd с файлом имени клиента и прописал iroute 10.21.0.0 255.255.255.0
Но почему та маршрутизация не происходит, и в другие сети не удается попасть 10.21.0.1 10.22.0.1 хотя в логах есть запись

Подскажите куда копнуть

OPTIONS IMPORT: reading client specific options from: /etc/openvpn/ccd/client1
client1/92.255.201.62:3784 MULTI: Learn: 10.30.0.4 -> client1/15.28.158.62:3784
client1/92.255.201.62:3784 MULTI: primary virtual IP for client1/15.28.158.62:3784: 10.30.0.4
client1/92.255.201.62:3784 MULTI: internal route 10.21.0.0/24 -> client1/15.28.158.62:3784
client1/92.255.201.62:3784 MULTI: Learn: 10.21.0.0/24 -> client1/15.28.158.62:3784

port 1194
 
# Протокол, который использует OpenVPN
;proto tcp
proto tcp
 
# Интерфейс
;dev tap
dev tun
topology subnet 
# Ключи
 
# Сертификат CA
ca /etc/openvpn/certs/ca.crt
# Сертификат сервера
cert /etc/openvpn/certs/server.crt
# Приватный ключ сервера
key /etc/openvpn/certs/server.key #не распространяется и хранится в секрете
 
# параметры Diffie Hellman
dh /etc/openvpn/certs/dh2048.pem
 
# Создание виртуальной сети и ее параметры
 
# IP и маска подсети
server 10.30.0.0 255.255.255.0
 
# После перезапуска сервера клиенту будет выдан прежний IP
ifconfig-pool-persist /etc/openvpn/ipp.txt
 
# Установка шлюза по умолчанию
push "redirect–gateway def1 bypass–dhcp"
 
# Разрешить использовать нескольким клиентами одну и ту же пару ключей
# не рекомендуется использовать, закомментирована
;duplicate–cn
 
# Пинговать удаленный узел с интервалом в 10 секунд
# Если узел не отвечает в течение 120 секунд, то будет выполнена попытка повторного подключения к клиенту
keepalive 10 120

client-config-dir /etc/openvpn/ccd
route 10.21.0.0 255.255.255.0

# Защита от DoS–атак портов UDP с помощью HMAC 
remote-cert-tls client
tls-auth /etc/openvpn/certs/ta.key 0 # файл хранится в секрете
 
# Криптографические шифры
cipher AES-256-CBC #для клиентов нужно указывать такой же
 
# Сжатие и отправка настроек клиенту
;compress lz4–v2
;push "compress lz4–v2"
 
# Максимальное число одновременных подключений
;max–clients 100
 
# Понижение привилегий демона OpenVPN
# после запуска
# Не использовать для Windows
;user nobody
;group nobody
 
# При падении туннеля не выключать интерфейсы, не перечитывать ключи
persist-key
persist-tun
 
# Лог текущих соединений
# Каждую минуту обрезается и перезаписываться
status openvpn–status.log
 
# Логи syslog
# Используется только один. Раскомментировать необходимый
 
# перезаписывать файл журнала при каждом запуске OpenVPN
log openvpn.log
 
# дополнять журнал
;log–append openvpn.log
 
# Уровень вербальности
#
# 0 тихий, кроме фатальных ошибок
# 4 подходит для обычного использования
# 5 и 6 помогают в отладке при решении проблем с подключением
# 9 крайне вербальный
verb 4
 
# Предупреждение клиента о перезапуске сервера
#explicit-exit-notify 1

Comments

[Valentin Barbolin]

Openvpn сервер с IP10.20.0.1,
Для клиентов выделил сеть 10.30.0.0

То есть у тебя клиенты и сервер в разных подсетях? Интересная реализация, если учесть что GW нужен что бы покинуть пределы своей подсети, но при этом GW уже находиться в другой подсети)

Покажи хоть таблицу маршрутизации на клиенте после подключения к VPN.

[Ziptar]

Valentin Barbolin,

server 10.30.0.0 255.255.255.0

10.30.0.1 у него адрес сервера для клиентов
А 10.20.0.1 айпишник в офисной сети, очевидно

[Ziptar]

Я могу сейчас хрень сказать, ибо помню смутно, но по-моему iroute 10.21.0.0 255.255.255.0 для клиента указывает как раз таки искать эту сеть на стороне клиента, а вовсе не на стороне сервера, и нужно это для маршрутизации между клиентами

[ENigma371]

Ziptar, это тоже не помогает, надо iptables перенаправление делать
+ удалять всякую не нужную хню типа push "redirect–gateway def1 bypass–dhcp"
Перелопатил много статей и тд прежде чем завелось

[Ziptar]

ENigma371, ммм, если ты iroute используешь, то там до iptables дело не доходит, трафик обрабатывается внутри овпн сервера, и либо уходит на другого клиента, в соответствии с внутренним роутингом, либо, если маршрутизация не на другого клиента идёт, то уже идёт через ядро, и тогда уже iptables.

[ENigma371]

Ziptar, ccd и iroute это первое что было сделано но не завелось
iptables -t nat -A POSTROUTING -s 172.16.61.0/24 -o enp0s5 -j MASQUERADE - меняем на свой интерфейс + сеть

[Ziptar]

ENigma371, а обратный маршрут указывал? А то в посте только для одного клиента видно. Я, правда, не знаю надо ли обратный указывать, может ovpn вумный и сам должен, но это не точно.