Маршрутизация в linux. OрenVPN?

Question

[baden555]

Имеется удаленный сервер с ip xxx.xxx.xxx.xxx с запущенным сервером OpenVPN. Имеется компьютер с подсетью 192.168.31.0/24. Имеется роутер с клиентом OpenVPN. Подсеть 192.168.1.0/24

При установке соединения все компьютеры и роутеры имееют доступ по своим адресам, выдаваемым сервером OpenVPN (подсеть 10.8.0.0/24).

Нужно получить доступ к устройствам не по адресам впн, а по локальным их адресам (например 192.168.1.1). Также нужно получить доступ к устройствам из подсети 192.168.1.0/24 находящимся за роутером.

Сам не осилил разобраться с iptables. Но например сервис vpnki.ru делает это без проблем, причем без настройки маршрутизации на клиентах.

Конфиг сервера:

port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
client-config-dir /etc/openvpn/ccd
client-to-client
route 192.168.1.0 255.255.255.0
route 192.168.2.0 255.255.255.0
route 192.168.31.0 255.255.255.0
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

Конфиг клиента:

client
dev tun
proto udp
sndbuf 0
rcvbuf 0
remote ххх. ххх. ххх. ххх 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
key-direction 1
verb 3

В папке ccd в файлах с именами клиентов прописаны:

ifconfig-push 10.8.0.110 255.255.255.0
push «route 10.8.0.0 255.255.255.0»
push «route 192.168.1.0 255.255.255.0»

в соответствии с нужными сетями.

Подскажите люди умные, как победить.

Оперативно выполню любые действия для предоставления дополнительной информации.

Answer 1

[baden555]

Вот ответ на мой вопрос, теперь все работает как надо:

Конфиг сервера:

port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
client-config-dir /etc/openvpn/ccd
client-to-client
push "route 192.168.1.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
push "route 192.168.31.0 255.255.255.0"
route 192.168.1.0 255.255.255.0
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
log-append openvpn.log
verb 3
crl-verify crl.pem

В файле /etc/openvpn/ccd/router:

iroute 192.168.1.0 255.255.255.0

Конфиги клиентов без изменений.

Comments

[baden555]

Роутер и сеть за ним доступны с сетей клиентов openvpn из сетей 192.168.31.0/24 и 192.168.2.0/24

Answer 2

[Денис]

В конфиге сервера route 192.168.1.0 ... совсем лишний.
и в директиве route адреса шлюза для сети не хватает.
push "route 192.168.1.0 ... один на всех
вообщем перечитать HOWTO и man

Comments

[baden555]

push "route 192.168.1.0 ... один на всех

он не один на всех, для каждого клиента написано свое (для 192.168.1.1 - 192.168.1.0, для 192.168.31.1 - 192.168.31.0

route 192.168.1.0 ... совсем лишний.

это появилось после кучи разных "инструкций"))

[mureevms]

Опишите другим словами что хотите сделать. Мне не до конца понятно из топика что где находится у куда должно ходить baden555

[Денис]

baden555, Вы плохо читали man и HOWTO.
push "route ..." командует клиенту добавить маршрут к сети через адрес openvpn сервера.
просто route добавляет маршрут до сети клиента на сервере.

[baden555]

mureevms, OpenVPN сервер на vps. C рабочего компьютера нужно ходить в домашнюю сеть. Домашний роутер подключен как клиент OpenVPN.
Сейчас все прекрасно работает, но только по адресам впн (10.8.0.Х), работает до роутера, дальше нет.
Нужно получить доступ в сеть за домашним роутером.

[baden555]

mureevms, ходить в домашнюю сеть по внутренним адресам

[Денис]

baden555, тады в route добавить параметр gateway в соответствии с раздаваемыми openvpn адресами.

ifconfig-push при наличии
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
нафиг не нужен.

[mureevms]

baden555, надо дать для клиентов маршрутыв сети, которые находятся за впн сервером (делается при помощи client-config-dir):
1. только для клиента на работе запушить один маршрут только до подсети роутера (push "route 192.168.1.0 255.255.255.0")
2. только для роутера запушить один маршрут только до рабочей подсети (push "route 192.168.31.0 255.255.255.0")
На первый взгляд этого должно быть достаточно.
И да, Денис правильно говорит по поводу 'route' и 'push route'. И даже про 'ifconfig-push'

[mureevms]

baden555 ну и при подключении клиентов проверяйте добавились ли на них роуты для тех подсетей, куда хотите получит доступ. Т.е. после подключения должны добавиться маршруты, выглядит примерно так:

192.168.1.0/24 via 10.8.0.0.X dev tun0 # на работе
192.168.31.0/24 via 10.8.0.0.X dev tun0 # на роутере

[baden555]

В общем почти победил сам, с учетом подсказок, может кому-то пригодится:

Конфиг сервера:

port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
client-config-dir /etc/openvpn/ccd
client-to-client
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
push "route 192.168.1.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
push "route 192.168.31.0 255.255.255.0"
route 192.168.1.0 255.255.255.0
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
log-append openvpn.log
verb 3
crl-verify crl.pem

Для роутера в папке ccd прописано следующее:

iroute 192.168.1.0 255.255.255.0

С таким конфигом свободно коннектится из сетей 192.168.31.0/24 или 192.168.2.0/24 в сеть 192.168.1.0/24.
Компьютеры 192.168.31.0/24 и 192.168.2.0/24 выходят в интернет через впн, роутер 192.168.1.1 также выходит в инет, а вот устройства за роутером связь с интернетом теряют сразу после установки впн соединения на роутере (причем внутри впн сети все работает хорошо).

Куда теперь копать?

[mureevms]

baden555,

Для роутера в папке ccd прописано следующее:
iroute 192.168.1.0 255.255.255.0

читайте мои комменты еще раз.

push "redirect-gateway def1 bypass-dhcp"

Вы понимаете что делает эта строка?

[baden555]

mureevms,

Для роутера в папке ccd прописано следующее:
iroute 192.168.1.0 255.255.255.0

читайте мои комменты еще раз.

Это по инструкции с сайта разработчика. У Вас совсем не так.

push "redirect-gateway def1 bypass-dhcp"

Переопределяет шлюз по умолчанию. Без этой строки не работал доступ по внутренним адресам, только по адресам впн.

[mureevms]

baden555,

Это по инструкции с сайта разработчика.

Круто!

У Вас совсем не так.

У Вас тоже не так, как у разработчика. А если Вы используете его конфиг, то зачем задаете вопросы? Должно же работать, по Вашей логике.

Переопределяет шлюз по умолчанию

Это правильное утверждение

Без этой строки не работал доступ по внутренним адресам

Это ошибочное. Параметры не связаны

[baden555]

mureevms,
Спасибо за участие в решении моей проблемы, но я не специалист, и не все ответы могу додумать и расшифровать сам. По советам в этой ветке и мануалам в сети настроил таки роутинг между нужных мне клиентов. Сейчас проблема другая - компьютеры за клиентом роутером не имеют доступ в интернет. Если есть какие советы по решению - буду очень благодарен.

[mureevms]

Ну конечно не имеют, вы же переписали на роутере шлюз по умолчанию и все пакеты из этой подсети отправляются на ОВПН сервер. Сделайте как я сказал в первых двух комментах и удалите из конфига сервера строки
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
push "route 192.168.1.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
push "route 192.168.31.0 255.255.255.0"
route 192.168.1.0 255.255.255.0

[baden555]

mureevms,

push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
push "route 192.168.1.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
push "route 192.168.31.0 255.255.255.0"
route 192.168.1.0 255.255.255.0

Удалил.

В папке ccd
в файле work добавил push "route 192.168.1.0 255.255.255.0"
в файле router добавил push "route 192.168.31.0 255.255.255.0"
На рабочем компьютере route print:

По адресам вида 10.8.0.х доступ к роутеру есть, по адресу 192.168.1.1 нет. Компьютеров за роутером не видно.
Что не так? Или забыл что по Вашим рекоммендациям?

[mureevms]

На копах за роутером основным шлюзом является роутер?

[baden555]

mureevms, Да

[mureevms]

baden555, покажите FORWARD правила Iptables с сервера

[Денис]

в конфиге openvpn сервера изменить директивы c
route 192.168.1.0 255.255.255.0
.
.
.
на

route 192.168.1.0 255.255.255.0 !!!!!!!адрес выдаваемый openvpn!!!!!!!!!!
.
.
.
вы настраиваете маршрутиризацию через впн сервер , а сервер не знает куда что слать.

[baden555]

Денис, Я же выше написал, что уже работает все. И там в конфиге сервера нет

route 192.168.1.0 255.255.255.0 !!!!!!!адрес выдаваемый openvpn!!!!!!!!!!

Текущий конфиг выше.
Вот как выглядит:

[Денис]

baden555, А интернет работает после подключения впн? Читайте man и очень внимательно. У вас сервер согласно дерективе server... раздакт адреса клиентам. у клиента это устройство tun. вот адрес этого устройства и надо писать 3 параметром route.. И директивой push redirect-gateway вы ломаете доступ к интернету

[baden555]

Денис,
Вот:

Конфиг сервера:
port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
client-config-dir /etc/openvpn/ccd
client-to-client
push "route 192.168.1.0 255.255.255.0"
route 192.168.1.0 255.255.255.0
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
log-append openvpn.log
verb 3
crl-verify crl.pem

В файле /etc/openvpn/ccd/router:
iroute 192.168.1.0 255.255.255.0

Работает все и везде. Про push redirect-gateway я уже понял и давно исправил.