Как запретить другим использовать мой интернет в OPENVPN?

Question

[dsslesarev]

Всем Привет!

Создал опенвпн, но возникла проблема, все кто подключается к нему использует мой интернет канал.
Как запретить им использовать интернет через мой openvpn? При удалении "push "redirect-gateway def1 bypass-dhcp"" Интернет блокируется на других компьютерах пока подключен OPENVPN, после того как люди отключаются они могут использовать свой интернет канал.

Задача что бы все компьютеры были объединены в одну сеть, но использовали свой интернет трафик.

Config servera:

port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
route 10.8.0.0 255.255.255.0 192.168.1.1
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
#push "dhcp-option DNS 1.1.1.1"
#push "dhcp-option DNS 1.0.0.1"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

config Clienta

client
dev tun
proto udp
sndbuf 0
rcvbuf 0
remote 192.168.1.71 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
setenv opt block-outside-dns
key-direction 1
verb 3

Answer 1

[res2001]

Убирайте: push "redirect-gateway def1 bypass-dhcp"
это выключит изменение шлюза по умолчанию, а следовательно клиенты и дальше смогут ходить в инет.
Зачем это: push "dhcp-option DNS 8.8.8.8"?
Если у клиентов есть интернет, то они уже имеют свой собственный настроенный DNS. Уберите.
В целом должно работать.

Если не заработает, подключите клиентак ВПН и на клиенте посмотрите таблицу маршрутизации, в ней маршурт по умолчанию должен быть прежним (как до подключения). Если с этим все нормально, но инета нет, то видимо причина в другом.

Comments

[dsslesarev]

Убрал все но интернет не проходит, даже трасировка не идет не удается разрешить системное имя узла.

Так же пока что убрал запись route 10.8.0.0 mask 255.255.255.0 192.168.1.1

Вот что показывает route print

===========================================================================
Список интерфейсов
16...00 ff 35 6f 5b db ......TAP-Windows Adapter V9
11...00 01 2e 3d d9 a7 ......Сетевая карта Realtek RTL8168D/8111D Family PCI-E
Gigabit Ethernet NIC (NDIS 6.20)
1...........................Software Loopback Interface 1
12...00 00 00 00 00 00 00 e0 Адаптер Microsoft ISATAP
13...00 00 00 00 00 00 00 e0 Адаптер Microsoft ISATAP #3
===========================================================================

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.1.254 192.168.1.100 10
10.8.0.0 255.255.255.0 On-link 10.8.0.2 259
10.8.0.2 255.255.255.255 On-link 10.8.0.2 259
10.8.0.255 255.255.255.255 On-link 10.8.0.2 259
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
192.168.1.100 255.255.255.255 On-link 192.168.1.100 266
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 192.168.1.100 266
224.0.0.0 240.0.0.0 On-link 10.8.0.2 259
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 192.168.1.100 266
255.255.255.255 255.255.255.255 On-link 10.8.0.2 259
===========================================================================
Постоянные маршруты:
Отсутствует

IPv6 таблица маршрута
===========================================================================
Активные маршруты:
Метрика Сетевой адрес Шлюз
1 306 ::1/128 On-link
11 266 fe80::/64 On-link
16 259 fe80::/64 On-link
16 259 fe80::9473:1aa4:ec9b:e403/128
On-link
11 266 fe80::fcfa:5777:8fb2:1f3c/128
On-link
1 306 ff00::/8 On-link
11 266 ff00::/8 On-link
16 259 ff00::/8 On-link
===========================================================================
Постоянные маршруты:
Отсутствует

C:\Windows\system32>

[dsslesarev]

root@server:~# iptables -L -t nat
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all -- 10.8.0.0/24 !10.8.0.0/24 to:192.168.1.71

[dsslesarev]

Не подскажите еще такой момент, почему openvpn режет скорость до 100, хотя канал гигабитный с двух сторон. Искал в интернете пробовал многое не помогло.

[res2001]

dsslesarev, OpenVPN ничего не режет. Но из-за накладных расходов скорость, конечно, будет меньше расчетных показателей, но не на столько.
Чем вы меряли? 100 - это мегабиты или мегабайты в секунду?

[dsslesarev]

res2001, Мегабит больше не выдает. Пытался загрузить файл открытый при помощи самба, скорость режется 100 и не больше. Внутри офиса без OPENVPN гигабит спокойно.

[res2001]

dsslesarev, Наверное надо что-то уже "тюнить", возможно увеличить какие-нибудь кэши/буфера и т.п. Гуглите. Еще можете посмотреть загрузку проца во время передачи - фиг знает где там тонкое место.
https://community.openvpn.net/openvpn/wiki/Gigabit...

[dsslesarev]

res2001, Можешь подсказать смотри, прописал push route в конфиге двух сетей которые хочу что бы видели офисы друг друга.

После прописывания: iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE
Вижу под сеть сервера, но на стране другого офиса которые подключены инет ложится, их сеть с сервера пингануть не могу. Клиент у них стоит на роутере. Сам факт роутер все пингует, весь офис лежит.

[res2001]

dsslesarev, NAT вообще не нужен внутри ВПН. Только если пересекаются адреса внутренних сетей.
Многие howto в инете вставляют NAT в свои конфиги, но на самом деле он больше мешает. В некоторых ситуациях конфиг с NAT работает, в других NAT просто мешает при правильном конфиге ВПН.

рописал push route в конфиге двух сетей которые хочу что бы видели офисы друг друга.

push "route ..." - прописывается в конфиге сервера для сети, находящейся за сервером. Аналогично, наверное, можно прописать в конфиге клиента для сети за ним. Но этот push route действует только для соседа по ВПН подключению, т.е. либо на подключенного клиента либо на сервер.

Для сетей, которые находятся за клиентами ... зависит от того как происходит конфигурация клиентов и является ли ВПН сервер шлюзом по умолчанию для клиентов.
Наиболее типичный вариант: ВПН сервер не является шлюзом по умолчанию для клиентов и клиенты конфигурируются с помощью файла конфигурации клиента на ВПН сервере (в конфиге сервера используется опция client-config-dir и в этом каталоге лежат конфиг файлы клиентов).
В таком случае сети за клиентами прописываются в файле конфигурации соответствующего клиента с помощью директивы iroute - она заставляет ВПН сервер при подключении этого клиента добавить маршрут к сети за клиентом в собственную таблицу маршрутизации.
При этом сам сервер ВПН сможет иметь доступ к сети за клиентом.
Что бы сеть за сервером могла иметь туда доступ нужно либо, что бы ВПН сервер был шлюзом по умолчанию для компов сети, либо на каждом компе любым способом прописать маршрут до сети через ВПН сервер.
Что бы второй ВПН клиент мог иметь доступ к сети ВПН первого клиента, кроме iroute нужно добавить маршрут к этой сети в таблицу маршрутизации второго клиента. Это можно сделать с помощью push route в файле конфигурации второго клиента.

Немного сумбурно получилось

[dsslesarev]

res2001, Тяжко с маршрутизацией можете расписать, помочь с конфигом?

Есть офис 192.168.0.* это сеть сервера который имеет ip 192.168.0.2
Далее есть офис клиентский подключен к нему через роутер кинетик это 192.168.1.0
И офис два 192.168.0.2 тоже подключен к тому же серверу, через кинетик.

Как прописать настройки что бы все ip адреса офисов были доступны из любого офиса.

Конфиг сервера:

port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
route 10.8.0.0 mask 255.255.255.0
client-to-client
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

конфиг клиента:

client
dev tun
proto udp
sndbuf 0
rcvbuf 0
remote 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
key-direction 1
verb 3

[res2001]

dsslesarev,
1. В серверный конфиг надо добавить директиву route для каждой из подсетей клиентов - она добавит на ВПН сервере маршруты в его таблицу маршрутизации.
2. В сервереный конфиг надо добавить push route для сети за сервером - она распространит маршрут до сети за сервером на клиенты при подключении.
3. В каждом из конфигов клиента надо добавить директиву route до сети второго клиента. Сеть сервера не нужно добавлять таким образом - ее добавит push route из п.2
4. Если ВПН точки в своих сетях являются шлюзами по умолчанию, то дальше для этих сетей ничего делать не нужно. Уже должно работать
5. Если ВПН точки не являются шлюзами по умолчанию внутри своих сетей, то нужно любым доступным способом добавить маршрут на компы сети до сетей участников ВПН через свою ВПН точку доступа. Это можно сделать руками с помощью команды route add, или настроить DHCP сервер, чтоб он раздавал опцию с соответствующими маршрутами или еще как-то.

Проверить работу п.1-3 можно установив ВПН соединение и посмотрев таблицу маршрутизации на этой ВПН точке. Маршруты описанные в конфиге в директиве route и/или в push route сервера должны там быть.

На самом деле вся эта возня с маршрутизацией не имеет прямого отношения к ВПН. Вы можете все маршруты добавить статически и оно должно работать. Относитесь к ВПН точкам как к обычным шлюзам между сетями.

Answer 2

[dsslesarev]

Задачу решил, путем исключения из файла клиента еще строчки: setenv opt block-outside-dns