Не вижу сеть за сервером openvpn?

Question

[dsslesarev]

Вроде все правильно настроено но не вижу сеть за сервером openvpn. В чем дело подскажите?
Сеть которая за сервером: 10.15.17.0
Хотя сам сервер как 10.15.17.1 виден.
А вот 10.15.17.2 и тд уже нет.

И еще проблема когда хочу маршрут 10.15.17.0 дать тока одному клиенту
В сервер конфиге убрал push route "10.15.17.0 255.255.255.0"

И добавил iroute 10.15.17.0 255.255.255.0 в файл клиента в ccd и пинговать 10.15.17.1 не могу

Клиентские сети:
192.168.0.0
192.168.1.0

server.conf

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist /var/log/openvpn/ipp.txt
## передача маршрутов клиентам (сети для примера)
## можно передавать всем все сразу, или выборочно в файлах ccd/clientX
push "route 192.168.0.0 255.255.255.0"
push "route 192.168.1.0 255.255.255.0"
push "route 10.15.17.0 255.255.255.0"
;push "redirect-gateway def1 bypass-dhcp"
;push "dhcp-option DNS 208.67.222.222"
;push "dhcp-option DNS 208.67.220.220"
client-config-dir ccd
## маршрутизация для сервера, если понадобится
route 192.168.0.0 255.255.255.0
route 192.168.1.0 255.255.255.0
route-gateway 10.8.0.1
client-to-client
keepalive 10 120
tls-auth ta.key 0
cipher AES-128-CBC
auth SHA1
comp-lzo
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log /var/log/openvpn/openvpn.log
log-append /var/log/openvpn/openvpn.log
verb 3
explicit-exit-notify 1
sndbuf 524288
rcvbuf 524288
push "sndbuf 524288"
push "rcvbuf 524288"

сcd clinet

/etc/openvpn/ccd/client1
iroute 192.168.0.0 255.255.255.0
ifconfig-push 10.8.0.11 255.255.255.0

client.conf

client
dev tun
proto udp
remote vpn.ru
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher aes-128-cbc
auth sha1
comp-lzo
tls-client
remote-cert-tls server
key-direction 1

Настройка cистемы

/etc/sysctl.conf раскомментировал net.ipv4.ip_forward=1
/etc/default/ufw DEFAULT_FORWARD_POLICY="ACCEPT"

Answer 1

[res2001]

Да, конфиг вроде у вас правильный.
Для проверки можете на клиенте, после подключения к ВПН посмотреть таблицу маршрутизации, там должен быть маршрут до нужной сети через сервер ВПН.

Но этого не достаточно - компы в сети за сервером ВПН должны знать маршрут до компов в ВПН сети. Если ВПН сервер не является шлюзом по умолчанию для компов в сети, то этот маршрут надо добавлять на каждый комп (которому нужно взаимодействовать с клиентами ВПН) вручную (или любым доступным способом, например через опции DHCP и т.п.).

Comments

[dsslesarev]

Подключения идет через роутер кинетик, в настройка маршрутизации я вижу маршрут:
10.15.17.0 через 10.8.0.1

И пингует север 10.15.17.1 которому ip адрес задан.
Если убираю push route 10.15.17.0 то перестает пинговать 10.15.17.1

То есть походу сервер не пропускает ответ из той сети, внутрь ему нужен маршрут.

[res2001]

dsslesarev, Роутер (он же ВПН сервер) является шлюзом по умолчанию для сети 10.15.17.0?

Блокировать могут фаерволы как на роутере так и на клиентах и хостах внутри сети.
По хорошему надо взять клиента и хост внутри сети, отключить в них фаеры, запустить пинг с клиента на хост и смотреть на роутере с помощью аналога tcpdump какие пакеты к нему попадают по ВПН интерфейсу. По отсутствию каких-то пакетов (запросов или ответов) вы поймете на какой стороне проблема. Возможно, после отключения фаерволов проблема сама рассосется, но это будет означать, что вам нужно правильно настроить фаерволы.

[dsslesarev]

xJkeee, Кинь свой напишу у меня закрыт

[dsslesarev]

res2001, Просто клиент 192.168.1.0 и 192.168.0.0 гуляют между собой нормально. На файр грешить даже не вижу смысла.

Сам с любого устройства могу попасть на любую сеть где сервер в винде просто прописал:

route -p add 192.168.1.0 mask 255.255.255.0 10.15.17.1 и все норм

[res2001]

dsslesarev,

Сам с любого устройства могу попасть на любую сеть

Если бы это было так, ваш бы вопрос не появился в принципе.
Вообще этот маршрут на ВПН клиентах должен сам появиться после подключения к ВПН.
За это отвечают директивы push route.

На файр грешить даже не вижу смысла.

Фаерволы как один из участников сетевого обмена вполне могут быть при делах. Я не утверждаю, что в вашем случае это именно так, но это вполне возможный вариант.
Кстати, я не увидел в клиентском конфиге директиву:
tls-auth ta.key 1
Она должна быть, раз вы на сервере ее прописываете.

На мой вопрос вы принципиально, видимо, не отвечаете?

Роутер (он же ВПН сервер) является шлюзом по умолчанию для сети 10.15.17.0?

[dsslesarev]

tls-auth ta.key 0 стоит.

По поводу route

Я это сделал внутри сети где север, что бы не подключать свой же роутер к openvpn

Роутер (он же ВПН сервер) является шлюзом по умолчанию для сети 10.15.17.0?

Не понял данного вопроса?

[res2001]

dsslesarev,

tls-auth ta.key 0 стоит.

Что бы это работало в клиентских конфигах нужна аналогичная директива, только с 1 на конце. И файл ключа на клиенте то же нужен, тот же что и на сервере. https://openvpn.net/community-resources/reference-...
Впрочем это к вопросу отношения не имеет.

Не понял данного вопроса?

Вы не знаете, что такое "шлюз по умолчанию"?
Ну загляните в настройки IP в винде, увидите.
На сколько я понимаю адрес роутера (ВПН сервер) внутри сети 10.15.17.1 - он и должен быть шлюзом по умолчанию.

Сам с любого устройства могу попасть на любую сеть где сервер в винде просто прописал:

route -p add 192.168.1.0 mask 255.255.255.0 10.15.17.1 и все норм

Исходя из этого прихожу к выводу, что роутер (ВПН сервер) не является шлюзом по умолчанию для сети 10.15.17.0. А значит вам нужно выдать эту команду на компах внутри сети, что бы был доступ к клиентам ВПН.

[dsslesarev]

res2001, Все я понял о чем Вы, нет шлюзом является роутером который стоит где сервер 10.15.17.254 (мозг уже кипит)

А уже на машине 10.15.17.1 стоит openvpn

В принципе проблема в том что как я сейчас вижу:
Клиент обращается к серверу 10.8.0.1 тот уже не понимает куда должен передать маршрут что бы клиент попал на 10.15.17.2 по факту дальше openvpn должен отправить этот запрос на 10.15.17.254 и дальше уже тогда попадут на машину. И трасировка это подтвердила, сервер незнает куда направить этот запрос.

10.8.0.1 это тот же 10.15.17.1

[res2001]

dsslesarev, Вы не правильно видите!
Ваши клиенты ВПН и сервер ВПН прекрасно знают где находится сеть 10.15.17.0 и как туда слать пакеты (об этом говорит наличие соответствующих маршрутов в их таблице маршрутизации).
Но вашы компы в сети 10.15.17.0 не знают куда слать ответы клиентам ВПН, поэтому они шлют эти ответы на шлюз по умолчанию, а шлюз по умолчанию то же ничего не знает о сетях за ВПН клиентами, таким образом ответы просто теряются.
Поэтому смотри мой второй абзац в ответе!
На каждом компе нужно выдать команду
route -p add 192.168.1.0 mask 255.255.255.0 10.15.17.1
что б он мог отправлять пакеты в сеть за клиентом.
Прописать маршруты можно разными способами, например, если у вас используется DHCP для раздачи адресов, то можно настроить соответствующую опцию в DHCP сервере и маршрут будет прописываться автоматически при получении адреса.

Проблема не имеет отношения к ВПН - это чисто проблема IP маршрутизации.

[dsslesarev]

res2001,

Маршруты прописал на роутере, все внутренние устройства где сервер теперь видят машины в 192 сети, но сети 192 не видят сеть 10.15.17

[res2001]

dsslesarev, С чего вы взяли?
Пинги с хостов внутри сети 10.15.17.0 доходят до хосто за ВПН клитами?
Если ответы на пинги приходят, то и с обратной связью все нормально.

На каком роутере вы прописали маршруты? Похоже на шлюзе по умолчанию? Тем самым вы удлинили путь пакетов - они теперь у вас по 2 раза будут внутри сети проходить. Оно вам надо?

[res2001]

dsslesarev,

но сети 192 не видят сеть 10.15.17

Аналогичный вопрос по сетям за ВПН клиентами.
ВПН клиенты для своих сетей являются шлюзами по умолчанию?
Если нет, то нужно на все хосты в клиентских сетях прописать маршрут до сети за ВПН сервером.

[dsslesarev]

res2001, Прописал маршруты на роутере к которому подключен сервер, 192.168.* пингуются попадаю отлично с других машин из сети 10.15.17.0 без всяких ключиков. Если свой роутер подключаю ключем к впн, начинаю видеть сеть 10.15.17.0 с других клиентов. Но это не правильно

[res2001]

dsslesarev,

Если свой роутер подключаю ключем к впн, начинаю видеть сеть 10.15.17.0 с других клиентов.

Вот это не понял. Какой "свой" роутер, откуда начинаете видеть?