Как настроить Client-toClient OpenVPN?

Question

[PrAw]

Требуется организовать доступ к серверу, сидящему за двойным NAT.
Сетевая инфраструктура от арендодателя, сделать ничего не получается.
Сервер в локалке (винда) и внешний сервер (VPS, debian) под полным контролем.
Клиентов может быть несколько, сервер один.
Все клиенты должны видеть сервер WIND_SERVER , будут ли они при этом видеть друг друга - не волнует.
Выход в интернет клиентов через OVPN не нужен.

Собственно вопрос - как настроить?


Пока что конфиги выглядят вот так:
OVPN:
server.conf

port 1194
proto udp
dev tap

mode server
tls-server

ca      /etc/openvpn/easy-rsa/keys/ca.crt    # generated keys
cert    /etc/openvpn/easy-rsa/keys/server.crt
key     /etc/openvpn/easy-rsa/keys/server.key  # keep secret
dh      /etc/openvpn/easy-rsa/keys/dh2048.pem
tls-auth /etc/openvpn/easy-rsa/keys/ta.key 0

ifconfig 192.168.74.1 255.255.255.0
ifconfig-pool 192.168.74.2 192.168.74.200
push "route 192.168.74.0 255.255.255.0 192.168.74.1"
client-config-dir /etc/openvpn/ccd
keepalive 10 120

//пробовал,  тоже не работает
//client-to-client

Пример конфига для клиента - назначение фиксированного адреса, файл ccd/client:
ifconfig-push 192.168.74.2 255.255.255.0

====
Конфиги CLIENT/WIND_SERVER, ключи у всех разные, остальное совпадает:

proto udp
dev tap
remote OVPN_SERVER 1194
resolv-retry infinite
pull
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
tls-auth ta.key 1
auth-nocache
remote-cert-tls server
comp-lzo
verb 3

Если использую dev tun, там локалка с маской /30 поднимается.
Если использую dev tap, рекомендуется запретить client-to-client

Линк до OVPN поднимается успешно.
Когда на CLIENT/WIND_SERVER устанавливаю соединение, до виртуального ип OVPN сервера пинг ходит, друг друга не видят. Плюсом ипшник не назначается виртуальному адаптеру.

В общем, уже запутался. Что я делаю не так?

Comments

[krosh]

После включения туннеля:
- пинг WIND_SERVER -> OVPN есть?
- пинг OVPN -> WIND_SERVER есть?
- покажите WIND_SERVER: ipconfig, route print
- покажите OVPN: ip a, ip r s, cat /proc/sys/net/ipv4/ip_forward, iptables -S FORWARD

"ипшник не назначается виртуальному адаптеру" - где?

Answer 1

[Максим Гришин]

Вам нужно разрешить форвардинг пакетов на vpn-сервере, ИЛИ включить client-to-client в режиме dev tun.
https://serverfault.com/questions/736274/openvpn-c...

Answer 2

[s1dney]

А еще нужно маршруты между клиентами, если поднимается сеть /30 по дефолту маршрут указывается тоже на /30