Как получить доступ к сети сервера через vpn из сети клиента?

Question

[DrunkGambit]

Доброго времени суток, возникла проблема с проброской ip локальной сети сервера через vpn. Сама задача достаточно простая: создать на одном из устройств (windows 10) /сервере (server 2019) vpn (через openvpn), которая даст возможность подключаться к локальной сети из небезопасной сети (интернета) через внешние устройства. ( ос windows 7-10)
VPN: 10.10.10.0, локальная сеть сервера: 192.168.1.0

Настройки сервера OpenVPN:
port 7777
proto tcp
dev tun
dev-node OpenVPN
ca "C:\\Program Files\\OpenVPN\\ssl\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\ssl\\server.crt"
key "C:\\Program Files\\OpenVPN\\ssl\\server.key"
dh "C:\\Program Files\\OpenVPN\\ssl\\dh1024.pem"
tls-server
tun-mtu 1500
tun-mtu-extra 32
mssfix 1450
server 10.10.10.0 255.255.255.0
log "C:\\Program Files\\OpenVPN\\openvpn.log"
verb 3
mute 20
max-clients 15
keepalive 10 120
client-to-client
comp-lzo
persist-key
persist-tun
route-method exe
route-delay 5
push "route 192.168.1.0 255.255.255.0 10.10.10.1"
route 192.168.1.0 255.255.255.0 10.10.10.1
route 10.10.10.1 255.255.255.0 192.168.1.0
route-gateway 10.10.10.1
topology subnet

Настройки клиента OpenVPN:
dev tun
proto tcp
remote *************** 7777
route-delay 3
client
tls-client
ns-cert-type server
ca "C:\\Program files\\OpenVPN\\ssl\\ca.crt"
cert "C:\\Program files\\OpenVPN\\ssl\\User.crt"
key "C:\\Program files\\OpenVPN\\ssl\\User.key"
comp-lzo
tun-mtu 1500
tun-mtu-extra 32
mssfix 1450
ping-restart 60
ping 10
verb 3

Самое соединение идет, но нет пинга от клиента к локальной сети сервера (192.168.1.0).

Маршрутизация клиента:

Маршрутизация сервера:

Answer 1

[Drno]

В конфиге клиента надо задать маршрут
На сервере разрешить masquarade

Comments

[DrunkGambit]

А можно поточнее, если не затруднит. Через роут прописать маршрут ? И где на сервере разрешить masqurade или какой командой?

[Drno]

DrunkGambit, у Вас в конфиге сервера есть push route.
Вот аналогичные вещи для клиента надо. Чтоб он знал через какой шлюз ему идти к подсети за сервером.
Я думаю этого достаточно будет

[DrunkGambit]

Попробовал в клиенте:
push "route 192.168.1.0 255.255.255.0 10.10.10.1"
Еще попробовал:
route 192.168.1.0 255.255.255.0 10.10.10.1
Все равно не стучится.

[Drno]

DrunkGambit, добрался до ПК наконецто, могу гуглить)
гугление показало что делать NAT (masquarade ) на виндовс то еще приключение, в отличии от линуксов))

Вот есть офф статья
https://community.openvpn.net/openvpn/wiki/NatHack
Брендмауээр выключен в винде(сервер) ?
Клиент после подключения ДОЛЖЕН 100% пинговать vpn сервер, и странно что у Вас не так (если конечно это не режется брендмауэом)

Если после подключения попробовать на клиенте вручную прописать маршрут?

spoiler

Для примера рассмотрим три основных подсети, используемые как локальные:

192.168.0.0/16
10.0.0.0/8
172.16.0.0/16

Соответственно, Вам надо будет прописать 3 вот такие строки:

route add 192.168.0.0 mask 255.255.0.0 <ваш_шлюз>
route add 10.0.0.0 mask 255.0.0.0 <ваш_шлюз>
route add 172.16.0.0 mask 255.240.0.0 <ваш_шлюз>

Например, Ваш шлюз 192.168.50.1, тогда команды будут выглядеть так:

route add 192.168.0.0 mask 255.255.0.0 192.168.50.1
route add 10.0.0.0 mask 255.0.0.0 192.168.50.1
route add 172.16.0.0 mask 255.240.0.0 192.168.50.1

Шлюз - это Ваш впн сервер , который как я понял имеет адрес 10.10.10.1

Вот мои настройки для клиента винды, правда сервак у меня на линуксах

spoiler

client
dev tun
proto tcp
remote myvpnserver.ru 10000
resolv-retry infinite
nobind
client-cert-not-required
persist-key
persist-tun
ca ca.crt
cert user.crt
key user.key
remote-cert-tls server
cipher AES-128-CBC
verb 3
auth-user-pass C:\Program Files\OpenVPN\config\pass.txt

[DrunkGambit]

Прописал в конфигурации сервера:
push "192.168.1.0 255.255.255.0 10.10.10.1"
push "10.10.10.1 255.255.255.0 192.168.1.0"
route 192.168.1.0 255.255.255.0 10.10.10.1
route 10.10.10.1 255.255.255.0 192.168.1.0
route-gateway 10.10.10.1
Клиент стал стучаться к серверу(10.10.10.1). Но вот к локальной сети сервера (192.168.1.100) продолжил не пускать.

[Drno]

push "192.168.1.0 255.255.255.0 10.10.10.1"
route 192.168.1.0 255.255.255.0 10.10.10.1
route-gateway 10.10.10.1
Вот это правильные настройки для клиента.

Если попробовать в командной строке винды прописать маршрут, вот так вот...
route add 192.168.1.0 mask 255.255.255.0 10.10.10.1
Попробуйте

Я надеюсь локальная сеть клиента у Вас не 192.168.1.0 /24 ??? )

[DrunkGambit]

Drno, ну и если прописать в push " rout 10.10.10.1 255.255.255.0 192.168.1.0", то клиент не подключается или аналогично прописать в клиенте rout 10.10.10.1 255.255.255.0
при прописании push "rout 192.168.1.0 255.255.255.0 10.10.10.1" или rout 192.168.1.0 255.255.255.0 10.10.10.1 клиент грузится, но на локалку доступ не дает

[Drno]

DrunkGambit,
push "192.168.1.0 255.255.255.0 10.10.10.1"
route 192.168.1.0 255.255.255.0 10.10.10.1
route-gateway 10.10.10.1
Вот это правильные настройки для клиента.

Если попробовать в командной строке винды прописать маршрут, вот так вот...
route add 192.168.1.0 mask 255.255.255.0 10.10.10.1
Попробуйте

Я надеюсь локальная сеть клиента у Вас не 192.168.1.0 /24 ??? )

[DrunkGambit]

Drno, Локальные конечно разные. По маршруту через cmd: "Сбой добавления маршрута: Этот объект уже существует."

[Drno]

DrunkGambit, в таком случае, пока я в расстеряности.
если я правильно понял - любые ip из подсети впн недоступны?

[res2001]

DrunkGambit,

Локальные конечно разные.

Это хорошо. Я сразу подумал, что и у клиента такая же сеть. Вообще опасно брать в работу сеть 192.168.1.0 - большой риск в дальнейшем нарваться на такую же сеть у контрагента и потом придумывать обходные варианты. Пришлось прочитать весь топик, чтоб найти ответ.
Зачем это в конфиге сервера?

route 192.168.1.0 255.255.255.252
route-gateway 10.10.10.1

Они не нужны.
Маскарадинг не нужен, т.к.

Локальные конечно разные.

Сбой добавления маршрута: Этот объект уже существует.

Это на какой стороне (сервер или клиент)?
Вообще опишите ситуацию сейчас. Обновите конфиги в вопросе, если нужно.

В сети сервера, сам сервер ВПН является шлюзом по умолчанию?

[Drno]

res2001, вот про шлюз я кстати забыл спросить...
Просто для меня очевидно, что впн сервер выступает и шлюзом для сети)

[DrunkGambit]

res2001, Обновил. Шлюз, как я понимаю, 10.10.10.1. Маршруты скинул в вопрос.

[res2001]

Drno,

Просто для меня очевидно, что впн сервер выступает и шлюзом для сети)

Совсем не очевидно.
Судя по новым данным адрес ВПН сервера внутри сети 192.168.1.51. Шлюз по умолчанию внутри сети 192.168.1.1.
DrunkGambit, я прав?
Уберите вот эти строки из конфига сервера:

route 192.168.1.0 255.255.255.0 10.10.10.1
route 10.10.10.1 255.255.255.0 192.168.1.0
route-gateway 10.10.10.1

Они не нужны.

Далее, учитывая, что ВПН сервер не является шлюзом по умолчанию для своей сети, то надо на компах внутри сети прописать маршрут до ВПН сети через внутренний адрес ВПН сервера. Что-то типа этого:
route -p add 10.10.10.0 mask 255.255.255.0 192.168.1.51
Маршруты на компах можно прописывать разными способами, в зависимости от того что у вас в сети развернуто. Проще всего добавить маршрут в опции DHCP сервера, тогда при получении адреса комп получит и маршрут. Наверное можно раздать маршрут через GPO, если развернута AD. На крайняк и руками команду прописать.

Доступ к сети за ВПН клиентом из сети за сервером вам нужно настраивать?
Если да, то дополнительно на клмпах нужно добавить и маршруты для сетей за клиентом. Там что-то у вас зоопарк сетей. Ну и на компах в сети за ВПН клиентом то же нужен маршрут до сети за ВПН сервером.
В общем должна быть настроена обычная IP маршрутизация. Вообще абстрагируйтесь от того, что у вас там через ВПН доступ, просто настраивайте стандартную маршрутизацию стандартными средствами. Кроме ВПН сервера и ВПН клиента - у них маршрутизация настраивается через ВПН конфиги.
https://openvpn.net/community-resources/expanding-...

[Drno]

res2001, ну не знал я что у них шлюз отдельно) втаком случае Вы конечно правы

[DrunkGambit]

res2001, был немного занят эти дни. В целом, буду сегодня пробовать. Сеть за клиентом не нужна, только сеть за сервером.