Какие правила маршрутизации необходимы для связи сетей через OpenVPN?

Question

[GeorgNegoro]

1. Есть удаленные клиенты - сети (офис и филиалы), подсети (192.168.10.0/24, 192.168.20.0/24, 192.168.30.0/24),
2. Есть VPS, на нем UBUNTU, OpenVPN сервер. В интернете, так как стабильного интернета на филиалах нет, в офисе тоже.
3. Всем OpenVPN клиентам присваивается статичный IP.

Задача: Соединить все в одну VPN-сеть, по схеме подключения "один офис -> все филиалы", т.е из офиса в каждый филиал можно подключаться, из филиала в филиал нет.

Что сделано: OpenVPN сервер поднят (UBUNTA), клиенты (филиалы, mikrotik) подключаются. Но абсолютно никто никого не видит (ping), только с самого сервера все клиенты.

Как такое реализовать?

Answer 1

[neol]

В конфиге openvpn необходимо прописать добавление маршрутов до удалённых сетей на сервере:

route 192.168.10.0 255.255.255.0 client_ip1
route 192.168.20.0 255.255.255.0 client_ip2
route 192.168.30.0 255.255.255.0 client_ip3

В ccd добавить маршруты до удалённых сетей для клиентов. Например для 192.168.10.0/24:

push "route 192.168.20.0 255.255.255.0"
push "route 192.168.30.0 255.255.255.0"

Для двух других аналогично.

На сервере разрешите маршрутизацию трафика:
sysctl net.ipv4.ip_forward=1

И в цепочке FORWARD iptables разруливаете какие пакеты куда должны ходить:

iptables -A FORWARD -o tun0 -s 192.168.10.0/24 -j ACCEPT # Из сети 192.168.10.0/24 можно подключаться куда угодно
iptables -A FORWARD -o tun0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT # разрешить пакеты по уже установленным соединениям
iptables -A FORWARD -j REJECT # Остальное запрещаем

Если я ничего не забыл, то должно взлететь.

Comments

[Максим]

neol, а разве тут

route 192.168.10.0 255.255.255.0 client_ip1
route 192.168.20.0 255.255.255.0 client_ip2
route 192.168.30.0 255.255.255.0 client_ip3

client_ip требуются? По-моему должно быть просто

route 192.168.10.0 255.255.255.0
route 192.168.20.0 255.255.255.0
route 192.168.30.0 255.255.255.0

[neol]

Максим, без этого сервер не сможет угадать за каким из клиентов скрывается сеть.

[Дмитрий Шицков]

neol, мне кажется, Микротики не умеют обрабатывать push роута

[neol]

Дмитрий Шицков, Вот тут я не в курсе, возможно. Но добавить свой маршрут в них наверняка можно, так что задача решаема, хоть и немного геморнее.

[Дмитрий Шицков]

GeorgNegoro динамическая маршрутизация (ospf) топикстартеру в руки и рекомендация использовать VPN отличный от OpenVPN для микротиков (gre over ipsec, l2tp ipsec)

[GeorgNegoro]

Всем спасибо за участие, все получилось как задумывалось.