Как настроить доступ в локальную сеть за клиентом OpenVPN?

Question

[dhemming]

Доброго времени суток.
Имеется 2 локальных сети: 192.168.1.0/24 и 192.168.2.0/24.
Сеть 192.168.1.0/24 находится за сервером OpenVPN. У сервера 2 сетевые карты eth0 и eth1(eth1 смотрит в Интернет, eth0 в локальную сеть).
Роутер сети 192.168.2.0/24 подключается к интернету модемом Мегафон. Это сеть клиента OpenVPN(сам клиент находиться за NAT в этой сети и имеет IP 192.168.1.100).
Клиент подключается к серверу, может пинговать локальную сеть за сервером. Пинг с сервера до локальной сети клиента не идёт. Также компьютеры из сети клиента не могуть пинговать локальную сеть за сервером.

Конфиг сервера:

local XX.XX.XX.XX
port 1194
proto tcp
dev tun
ca ca.crt
cert server.crt
key server.key  
dh dh2048.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.1.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
client-to-client
keepalive 10 120
tls-auth ta.key 0
persist-key
persist-tun
status openvpn-status.log
log         /var/log/openvpn.log
verb 3

Файл /etc/openvpn/ccd/vpn на сервере:
iroute 192.168.2.0 255.255.255.0

Конфиг клиента:

remote XX.XX.XX.XX 1194
client
dev tun
resolv-retry infinite
proto tcp
nobind
persist-key
persist-tun
tls-auth ta.key 1
ca ca.crt
cert vpn.crt
key vpn.key
verb 3
pull

Вывод route на сервере:

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default       IP на внеш.интерф 0.0.0.0         UG    0      0        0 eth1
10.8.0.0        10.8.0.2        255.255.255.0   UG    0      0        0 tun0
10.8.0.2        *               255.255.255.255 UH    0      0        0 tun0
IP на внеш.     *               255.255.252.0   U     0      0        0 eth1
192.168.1.0     *               255.255.255.0   U     0      0        0 eth0

Вывод route на клиенте:

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         10.8.0.13       128.0.0.0       UG    0      0        0 tun0
default         192.168.2.1     0.0.0.0         UG    202    0        0 eth0
Внеш.IP сервера 192.168.2.1     255.255.255.255 UGH   0      0        0 eth0
10.8.0.0        10.8.0.13       255.255.255.0   UG    0      0        0 tun0
10.8.0.13       *               255.255.255.255 UH    0      0        0 tun0
128.0.0.0       10.8.0.13       128.0.0.0       UG    0      0        0 tun0
192.168.1.0     10.8.0.13       255.255.255.0   UG    0      0        0 tun0
192.168.2.0     *               255.255.255.0   U     0      0        0 eth0
192.168.2.0     *               255.255.255.0   U     202    0        0 eth0

Клиент поднят на Raspberry PI 2. Пытаюсь решить проблему уже несколько дней. Прошу помощи)

Answer 1

[mureevms]

Пинг с сервера до локальной сети клиента не идёт. Также компьютеры из сети клиента не могуть пинговать локальную сеть за сервером.

Это нормальное поведение. Дело в том, что у Вас просто одиночный клиент. С чего бы всей сети в которой находится клиент вообще знать о второй удаленной сети, в которой находится сервер? Т.е. Вы все настроили правильно.
Если Вы хотите дать доступ всей подсети 192.168.2.0, то надо ставить или 1. OVPN клиента на роутер, или 2. пускать весь трафик через машину с установленный клиентом (т.е. она станет роутером со всеми вытекающими). Если же только нескольним компам, то подключите и их как клиентов.

Comments

[dhemming]

Большое спасибо за ответ.
Т.е. компьютер с OpenVPN клиентом должен быть шлюзом по умолчанию для сети 192.168.2.0/24?
И ещё один вопрос: почему команда route не показывает существование маршрута из сети 192.168.1.0/24 в сеть 192.168.2.0/24 и через сеть OpenVPN? Ведь он прописан в конфигурации OpenVPN сервера.

[mureevms]

Никита Денисов:
1. Да. Или на каждом хосте сети прописывать маршрут до удаленной подсети c клиентом в качестве шлюза, а на клиенте маршрутизировать эту подсеть.
2. Уточните вопрос. На коком именно хосте смотрите тиблицу маршрутизации. OVPN сервер является шлюзом для своей подсети? Если да, то клиенты и не должны знать этот маршрут, т.к. идут в DG, а он уже маршрутизирует. Вообще, на клиентах должно быть только два маршрута - локальный и до DG

[dhemming]

mureevms:
1. Маршрутизатизировать с помощью iptables? Если я правильно понял, то не подскажете правила для маршрутизации пакетов из сети клиента в сеть локальную сеть за сервером.На клиенте сетевые интерфейсы eth0 и tun0.
2. Выше есть вывод команды route для клиента и сервера. Маршрута нет как на клиенте, так и на сервере.

[dhemming]

mureevms:
Если посмотреть логи, то маршрут до сети 192.168.2.0/24 отправляется всем клиентам OpenVPN, кроме клиента в сети 192.168.2.0/24. Локальный адрес OpenVPN клиента в сети 192.168.2.0/24 - 192.168.1.100.
Этот адрес можно пропинговать с любого из клиентов сети OpenVPN, но только его(саму сеть 192.168.2.0/24 остальные клиенты не видят. Но вот в чём странность: с сервера OpenVPN клиента 192.168.2.100 пропинговать не получается.
В чём может быть причина?

[mureevms]

Никита Денисов: Не совсем понятно для чего пушится этот роут: push "route 192.168.2.0 255.255.255.0"
Мне кажется Вы не совсем верно строите сеть. У Вас есть две локальных сети 192.168.1.0/24 (тут находится сервер OVPN) и 192.168.2.0/24 (тут находятся клиенты, которые подключаются к серверу OVPN). Строка конфига server 10.8.0.0 255.255.255.0 говорит о том, что сервер получает первый адрес из этой подсети, а клиенты все последующие. Т.е. одиночный клиент, который подключен к серверу будет иметь адрес 10.8.0.6 и коннектиться к нему надо по этому адресу, а не по локальному 192.168.2.X.
Если же выбран путь подключения одного клиента, являющегося шлюзом в сети 192.168.2.0/24, то на нем и будут маршрутизироваться пакеты в подсеть 192.168.1.0/24. А на сервере OVPN должен быть маршрут на 192.168.1.0/24 подсеть через tunX интерфейс.