Почему не доступна одна из сетей за OpenVPN?

Question

[nfire]

Сервер OpenVPN установлен на виртуальную машину с ubuntu-16.04.1-server-amd64, выделенная линия, белый IP. С другой стороны клиент OpenVPN windows 10 через tp-link tl-3020 с openwrt и 3G-модемом. Впн устанавливается, из вин10 видна сеть за сервером, но с сервера пингуется только интерфейс openvpn клиента. А нужно что бы обе сети были досупны друг для друга.
Сервер OpenVPN - 192.168.3.252, впн - 10.8.0.1
Вин10 - 192.168.4.249, впн - 10.8.0.4
Из вин 10 пингуются/доступны устройства 3 подсети. Из севера пингуется только 10.8.0.4.
Маршрута в 4 подсеть на сервере нет. Пробовал добавлят вручную - не помогло.

конфиг сервера

port 1194
proto udp
dev tap
ca ca.crt
cert cert.crt
key key.key
dh dh2048.pem
server 10.8.0.0 255.255.255.0
route 10.8.0.0 255.255.255.252
route 192.168.4.0 255.255.255.0
client-to-client
client-config-dir /etc/openvpn/vpn-tun/ccd
ifconfig-pool-persist ipp.txt
keepalive 10 120
tls-auth ta.key 0
key-direction 0
cipher AES-128-CBC
auth SHA256
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

конфиг клиента

client
dev tap
proto udp
remote 11.22.33.44 1194
resolv-retry infinite
nobind
user nobody
group nogroup
persist-key
persist-tun
remote-cert-tls server
cipher AES-128-CBC
auth SHA256
key-direction 1
comp-lzo
verb 3


-----BEGIN CERTIFICATE-----
... ключи и сертификаты ...

client-config ccd

#disable
#ifconfig-push 10.8.0.6 10.8.0.7
iroute 192.168.4.0 255.255.255.0
push "route 192.168.3.0 255.255.255.0"

Comments

[Vladimir Zhurkin]

но с сервера пингуется только интерфейс openvpn клиента.

Ну а на сервере прописаны маршруты ?

Неплохо показать маршруты сервера и клиента .

[nfire]

Vladimir Zhurkin:
сервер:
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.3.254 0.0.0.0 UG 0 0 0 eth0
10.8.0.0 0.0.0.0 255.255.255.0 U 0 0 0 tap0
192.168.3.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
192.168.4.0 10.8.0.1 255.255.255.0 UG 0 0 0 tap0

[nfire]

Vladimir Zhurkin:
клиент:
IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.4.254 192.168.4.249 35
10.8.0.0 255.255.255.0 On-link 10.8.0.4 291
10.8.0.4 255.255.255.255 On-link 10.8.0.4 291
10.8.0.255 255.255.255.255 On-link 10.8.0.4 291
127.0.0.0 255.0.0.0 On-link 127.0.0.1 331
127.0.0.1 255.255.255.255 On-link 127.0.0.1 331
127.255.255.255 255.255.255.255 On-link 127.0.0.1 331
192.168.3.0 255.255.255.0 10.8.0.1 10.8.0.4 291
192.168.4.0 255.255.255.0 On-link 192.168.4.249 291
192.168.4.249 255.255.255.255 On-link 192.168.4.249 291
192.168.4.255 255.255.255.255 On-link 192.168.4.249 291
224.0.0.0 240.0.0.0 On-link 127.0.0.1 331
224.0.0.0 240.0.0.0 On-link 10.8.0.4 291
224.0.0.0 240.0.0.0 On-link 192.168.4.249 291
255.255.255.255 255.255.255.255 On-link 127.0.0.1 331
255.255.255.255 255.255.255.255 On-link 10.8.0.4 291
255.255.255.255 255.255.255.255 On-link 192.168.4.249 291
===========================================================================
Постоянные маршруты:
Отсутствует

[Vladimir Zhurkin]

>192.168.4.0 10.8.0.1 255.255.255.0 UG 0 0 0 tap0

А почему он обращается к сети 4.0 сам на себя, хотя сеть за win10 ?

Потом у вас за сеть 4.0 отвечает роутер 192.168.4.254, а у win10 ip 4.249 и она не является роутером , что в общем логично. Как вы думаете должны будут ходить пакеты ? Устройство получить пакет из вне и она обратится к своему роутеру, который вообще о таких сетях не сном не духом.

В итоге вы делаете site-to-client, а вам надо site-to-site

[nfire]

Vladimir Zhurkin: я рассчитывал на магию openvpn. Все делал как раз по хау-ту для сайт-ту-сайт. Правда в примере клиентом тоже был никсовый сервер.

[Vladimir Zhurkin]

nfire: Нет ну соединение же вы в итоге получили :)

Клиент у вас прекрасно ходит куда надо.

По хорошему можно сделать таким образом.
Прописать на роуторе вашем, что все запросы для 192.168.3.0 передавать через 192.168.4.249
Ну итд проследить всю логику. Правда я не знаю, может ли такие вещи делать сама win10 ? Не когда из десктоп OS не делал серверный вариант.

Еще вариант, что если есть ssh на вашем роуторе, то просто vpn ssh. Правда будет конечно медленно чем openvpn.
Это если нельзя поставить openvpn на сам роутер.

[nfire]

Vladimir Zhurkin: собственно на тплинк с опенврт и планируется в качестве внп-шлюза. Просто хотел протестировать на более удобном при конфигурировании варианте. Опенврт на этом устройстве сильно урезан. Дополнительно, без сумасшедших танцев с переносом системы на флэшку, ничего установить нельзя.
Ладно, буду вкорячивать все это на роутер.