OpenVPN: Как дать доступ к ресурсу сервера на клиентском ПК?

Question

[BLOOD_ELF]

Здравствуйте. Есть сервер с двумя сетевыми картами. По одной сети сервер выходит в интернет, по второй сети сервер имеет доступ к одному единственному IP адресу, сервис электронных рецептов (на модеме поднят VPN провайдера на свой LAN порт). Через route add доступ на сервере к адресу электронных рецептов настроен корректно, интернет работает, адрес сервиса пингуется, программа (использующая этот адрес) работает. Установил на сервер OpenVPN сервер, осуществил стандартные настройки.

Дальше установил OpenVPN клиент на сторонний удаленный ПК. Соединение VPN между клиентом и сервером поднимется. Ошибок нет. Но, мне нужно, чтобы сторонний ПК имел так же доступ к сервису электронных рецептов, как и сам сервер. И вот тут проблема, не понимаю как это сделать. Подозреваю, что необходимо route прописать, но вот как именно, не понятно.

Пробовал по аналогии с сервером, прописывал роут и явно указывал на TAP адаптер. Но в итоге адрес не пингуется и ругается, что заданный узел недоступен (ip адрес, назначаемый vpn сервером).

Вот команды route print.

Сервер

===========================================================================
Список интерфейсов
13...50 3e aa 16 09 c3 ......Realtek PCIe GBE Family Controller
20...00 ff f9 20 52 a9 ......TAP-Windows Adapter V9
4...bc 5f f4 2d 69 d7 ......NVIDIA nForce Networking Controller
1...........................Software Loopback Interface 1
14...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter
3...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
10...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #2
16...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #3
===========================================================================

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.100.1 192.168.100.72 291
10.8.0.0 255.255.255.0 10.8.0.2 10.8.0.1 25
10.8.0.0 255.255.255.252 On-link 10.8.0.1 281
10.8.0.1 255.255.255.255 On-link 10.8.0.1 281
10.8.0.3 255.255.255.255 On-link 10.8.0.1 281
127.0.0.0 255.0.0.0 On-link 127.0.0.1 331
127.0.0.1 255.255.255.255 On-link 127.0.0.1 331
127.255.255.255 255.255.255.255 On-link 127.0.0.1 331
192.168.10.82 255.255.255.255 192.168.100.1 192.168.100.222 26
192.168.100.0 255.255.255.0 On-link 192.168.100.72 291
192.168.100.0 255.255.255.0 On-link 192.168.100.222 281
192.168.100.72 255.255.255.255 On-link 192.168.100.72 291
192.168.100.222 255.255.255.255 On-link 192.168.100.222 281
192.168.100.255 255.255.255.255 On-link 192.168.100.72 291
192.168.100.255 255.255.255.255 On-link 192.168.100.222 281
224.0.0.0 240.0.0.0 On-link 127.0.0.1 331
224.0.0.0 240.0.0.0 On-link 192.168.100.72 291
224.0.0.0 240.0.0.0 On-link 10.8.0.1 281
224.0.0.0 240.0.0.0 On-link 192.168.100.222 281
255.255.255.255 255.255.255.255 On-link 127.0.0.1 331
255.255.255.255 255.255.255.255 On-link 192.168.100.72 291
255.255.255.255 255.255.255.255 On-link 10.8.0.1 281
255.255.255.255 255.255.255.255 On-link 192.168.100.222 281
===========================================================================
Постоянные маршруты:
Сетевой адрес Маска Адрес шлюза Метрика
192.168.10.82 255.255.255.255 192.168.100.1 1
0.0.0.0 0.0.0.0 192.168.100.1 По умолчанию
===========================================================================

IPv6 таблица маршрута
===========================================================================
Активные маршруты:
Метрика Сетевой адрес Шлюз
1 331 ::1/128 On-link
20 281 fe80::/64 On-link
20 281 fe80::69c3:3efa:48c7:7656/128
On-link
1 331 ff00::/8 On-link
20 281 ff00::/8 On-link
===========================================================================
Постоянные маршруты:
Отсутствует

192.168.100.72 - адрес сервера в локальной сети, через эту сетевую карту выходит в интернет.
192.168.100.222 - адрес второй сетевой карты, в которую вставлен LAN кабель от роутера, где поднят VPN от првайдера.
192.168.10.82 - адрес в сети VPN провайдера, по которому осуществляется доступ на сервис рецептов.

Клиент

===========================================================================
Список интерфейсов
27...00 ff 6c fd 58 a8 ......TAP-Windows Adapter V9
11...dc fe 07 e0 e2 b2 ......Realtek PCIe GBE Family Controller
1...........................Software Loopback Interface 1
18...00 00 00 00 00 00 00 e0 Адаптер Microsoft ISATAP
26...00 00 00 00 00 00 00 e0 Адаптер Microsoft ISATAP #2
13...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
===========================================================================

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.100.1 192.168.100.27 276
10.8.0.1 255.255.255.255 10.8.0.5 10.8.0.6 20
10.8.0.4 255.255.255.252 On-link 10.8.0.6 276
10.8.0.6 255.255.255.255 On-link 10.8.0.6 276
10.8.0.7 255.255.255.255 On-link 10.8.0.6 276
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
192.168.10.82 255.255.255.255 192.168.100.1 10.8.0.6 21
192.168.100.0 255.255.255.0 On-link 192.168.100.27 276
192.168.100.27 255.255.255.255 On-link 192.168.100.27 276
192.168.100.255 255.255.255.255 On-link 192.168.100.27 276
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 192.168.100.27 276
224.0.0.0 240.0.0.0 On-link 10.8.0.6 276
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 192.168.100.27 276
255.255.255.255 255.255.255.255 On-link 10.8.0.6 276
===========================================================================
Постоянные маршруты:
Сетевой адрес Маска Адрес шлюза Метрика
0.0.0.0 0.0.0.0 192.168.100.1 По умолчанию
192.168.10.82 255.255.255.255 192.168.100.1 1
===========================================================================

IPv6 таблица маршрута
===========================================================================
Активные маршруты:
Метрика Сетевой адрес Шлюз
1 306 ::1/128 On-link
1 306 ff00::/8 On-link
===========================================================================
Постоянные маршруты:
Отсутствует

10.8.0.6 - адрес, назначаемый VPN сервером для клиента.
192.168.100.27 - адрес ПК.

P.S. В логах клиент VPN прописывает такой роут: add 10.8.0.1 MASK 255.255.255.255 10.8.0.5

Comments

[res2001]

Вы правы, надо добавить маршрут к сети за сервером. Это делается с помощью опции в конфиге сервера:
push "route <subnet ip> <subnet mask>"
Кроме того, возможно понадобиться добавить маршрут до ВПН сети (10.8.0.0) на "сервис электронных рецептов", но это не обязательно, зависит от того является ли шлюз, через который вы получаете доступ к этому сервису шлюзом по умолчанию для него. Если с той стороны вы ничего изменить не можете, то нужно поднимать еще и NAT и пускать трафик к сервису от ВПН клиента через NAT.

[BLOOD_ELF]

res2001,

маршрут до ВПН сети (10.8.0.0) на "сервис электронных рецептов"

Это невозможно. Туда доступа нет ни у кого. Там вообще цепочка из нескольких гос. структур, дающих доступы друг другу.
На роутере поднято VPN соединение от провайдера, где вбиты CE\PE, которые выдал провайдер. VPN подключение выведено на отдельный LAN порт роутера, кабель от которого идет во вторую сетевую карту.
На сервере прописан такой роут:

route -p add 192.168.10.82 mask 255.255.255.255 192.168.100.1 IF 13

В итоге весь интернет идет через одну сетевую карту, а когда пингуешь 192.168.10.82, то он идет через вторую сетевую карту. Все работает как часы.

Вот что делать дальше, не ясно. VPN вроде как подключается на клиентском ПК, но эффекта ноль.
Пробовал прописать похожий роут, как на сервере,

route -p add 192.168.10.82 mask 255.255.255.255 192.168.100.1 IF 27

, где 27 это TAP адаптер. Но при пинге адреса 192.168.10.82, получаю ошибку

заданный узел недоступен: 10.8.0.6

, где 10.8.0.6 это адрес в сети VPN, назначенный OpenVPN сервером.

[res2001]

BLOOD_ELF,

Это невозможно.

Если это не возможно, то как вы получаете к нему доступ без ВПН? :-)
Вам просто в опции надо указать IP адрес этого сервиса (192.168.10.82) и маску, по которому клиент будет к нему обращаться, а маршрутизатором для клиента будет выступать ВПН сервер. Команду прописать в конфиге ВПН сервера, в формате, который я привел.
NAT вам придется то же поднимать, если его еще нет в каком-то виде.

[res2001]

BLOOD_ELF,

route -p add 192.168.10.82 mask 255.255.255.255 192.168.100.1 IF 27

Это не правильная команда - вы не правильно указали IP адрес шлюза. Он должен быть внутренним ВПН адресом ВПН сервера (т.е. шлюзом будет ВПН сервер).

[BLOOD_ELF]

res2001, т.е. так должно выглядеть?

route -p add 192.168.10.82 mask 255.255.255.255 10.8.0.1 IF 27

Если оставить IF 27 (tap адаптер), то при пинге 192.168.10.82 все-равно ошибка:

Ответ от 10.8.0.6: Заданный узел недоступен.

Без IF тоже не работает. В конфиге сервера прописал push route 192.168.0.0 255.255.255.0.

[res2001]

BLOOD_ELF,

т.е. так должно выглядеть?

Да, интерфейс задавать не нужно.

[BLOOD_ELF]

res2001, если я правильно понял, то адрес VPN шлюза 10.8.0.2.

spoiler

Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.100.1 192.168.100.72 291
10.8.0.0 255.255.255.0 10.8.0.2 10.8.0.1 25

Прописал

route -p add 192.168.10.82 mask 255.255.255.255 10.8.0.2

и ничего. Уже в качестве адреса шлюза что только не пробовал.

[res2001]

BLOOD_ELF, Адрес сервера вы можете посмотреть на сервере (ipconfig), но обычно openvpn сервер получает первый адрес из диапазона. 10.8.0.2 - это адрес клиента.

[BLOOD_ELF]

res2001, ну да, адрес сервера vpn 10.8.0.1.

route -p add 192.168.10.82 mask 255.255.255.255 10.8.0.1

И не помогает. И ладно бы весь трафик по умолчанию шел через VPN. Так нет. Вообще ничего не идет через VPN, словно нет его, хотя он есть. Я в отчаянии.

[res2001]

BLOOD_ELF, Давайте сюда конфиги клиента и сервера.
В логах ошибки есть?
И посмотрите мой первый пост - там указано, как правильно указать маршрут в конфиге ВПН.

[res2001]

BLOOD_ELF, ВПН вообще работает? Можете пропинговать с клиента сервер по внутреннему ВПН адресу?
Фаерволы не блокируют ВПН трафик?

[BLOOD_ELF]

res2001, да, 10.8.0.1 пингуется.

Сервер

port 1194
proto udp
dev tun
ca "C:\\Program Files\\OpenVPN\\ssl\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\ssl\\server.crt"
key "C:\\Program Files\\OpenVPN\\ssl\\server.key" # This file should be kept secret
dh "C:\\Program Files\\OpenVPN\\ssl\\dh2048.pem"
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.0.0 255.255.255.0"
keepalive 10 120
tls-auth "C:\\Program Files\\OpenVPN\\ssl\\ta.key" 0 # This file is secret
cipher AES-256-CBC
persist-key
persist-tun
status "C:\\Program Files\\OpenVPN\\log\\status.log"
log "C:\\Program Files\\OpenVPN\\log\\openvpn.log"
verb 3
explicit-exit-notify 1

Клиент

client
dev tun
proto udp
remote БЕЛЫЙ_IP_СЕРВЕРА 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca "C:\\Program Files\\OpenVPN\\config\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\config\\aptekatest1.crt"
key "C:\\Program Files\\OpenVPN\\config\\aptekatest1.key"
remote-cert-tls server
tls-auth "C:\\Program Files\\OpenVPN\\config\\ta.key" 1
cipher AES-256-CBC
verb 3

[res2001]

BLOOD_ELF, В целом конфиги рабочие и раз 10.8.0.1 пингуется, значит ВПН работает.
Удалите постоянный маршрут на клиенте до 192.168.10.82.
Добавьте в серверный конфиг опцию: push "route 192.168.10.82 255.255.255.255"
Проследите, что бы после подключения ВПН на клиенте появился маршрут к 192.168.10.82 через 10.8.0.1.
Когда маршрут появится, то со стороны ВПН настройки окончены.

Какие есть ограничения на доступ к сервису со стороны провайдера? В свое время я имел дело с похожим сервисом. Там нам выделили диапазон адресов (нам выделили \30 подсеть), с которых мы имели право туда ходить, эти адреса были жестко зафиксированы в конфигах оператора сервиса. Наверняка у вас то же есть подобные ограничения.

[BLOOD_ELF]

res2001, удалил на клиенте. Прописал роут в конфиге сервера. При подключении на локальном ПК, роутинги идут на 10.8.0.5.
Вот

список роутов из журнала клиента

192.168.0.0 MASK 255.255.255.0 10.8.0.5
192.168.10.82 MASK 255.255.255.255 10.8.0.5
10.8.0.1 MASK 255.255.255.255 10.8.0.5

В логах вот есть что: DHCP-serv: 10.8.0.5

10.8.0.1 все так же пингуется. А 192.168.10.82 нет.

В локальной сети по адресу 10.8.0.1 могу зайти на удаленный сервер и посмотреть расшаренные папки.

Вроде как нет особых ограничений. Провайдер выделяет свой VPN канал для доступа к этому сервису (он физически подключается по адресу подключения). Втыкай провод в нужный LAN разъем роутера и дальше делай что хочешь. Те, кто предоставляет доступ к сервису, сами сказали, что можно сделать сервер на OpenVPN и раздавать доступы куда угодно.

Грубо говоря на сервере два провайдера на двух сетевых картах. Одни ip адреса гуляют через одну карту, другие адреса через другую. И вот надо на клиенте сделать так, чтобы все адреса гуляли с подключенным VPN.

[BLOOD_ELF]

Список роутов клиента.

[res2001]

BLOOD_ELF,

При подключении на локальном ПК, роутинги идут на 10.8.0.5.

В openvpn есть несколько режимов работы (топологий виртуальной сети), режим по умолчанию (ваш случай) net30 - это когда для каждого клиента выделяется своя 30 подсеть из выделенного диапазона, первый адрес в подсети назначается серверу, второй- клиенту. При этом, видимо, адрес 10.8.0.1 постоянно зарезервирован за сервером. Режим устаревший, но сохраняется для обратной совместимости.
В конфиге сервера укажите topology subnet
Это изменит режим маршрутизации openvpn, в этом случае ВПН серверу так же будет назначаться 1 адрес 10.8.0.1, но все клиенты будут находится в одном адресном пространстве без деления на подсети.

Провайдер выделяет свой VPN канал для доступа к этому сервису (он физически подключается по адресу подключения).

Ну как-бы такого не может быть, они должны знать ваш IP диапазон, что бы правильно настроить маршрутизацию у себя.
Роутер на котором ВПН провайдера - провайдерский? Они им управляют или вы?
Адрес 192.168.100.222 на сервере выделяется динамически? Подозреваю, что вам выделена сетка 192.168.100.0\24, возможно не 24, а меньше.
Можете на роутере посмотреть настройки DHCP сервера - диапазон раздаваемых адресов.
Так же посмотрите, поднят ли NAT. Возможно, что на роутере уже поднят NAT, поэтому для провайдера ограничений на ваши адреса нет - они уже забили 1 адрес на роутере и на нем висит NAT.
Поэтому тут вижу несколько вариантов развития событий:
1. настроить маршрутизацию на роутере для подсети 10.8.0.0\24 через 192.168.100.222. В этом случае адрес 192.168.100.222 на сервере должен быть статический, чтоб не менялся со временем.
2.openvpn настроить в режиме бриджа, тогда ВПН клиенты то же будут как-бы в локальной сети и смогут получать адрес от DHCP роутера и свободно смогут ходить за сервисом.
Я никогда не использовал openvpn в режиме бриджа, но теоретически настройка еще проще, чем в режиме роутинга. Но все равно предпочитаю роутинг бриджу. Правда в вашем случае, если управление роутером вам не доступно, то возможно особо выбирать будет не из чего.

[res2001]

продолжение
3.Можно подсетку 192.168.100.0/24 поделить на 2 подсети. В одной оставить ваш сервер и роутер, а второю назначить на ВПН. Тогда можно не трогать роутер, все манипуляции будут только на вашем сервере
4.Поднять NAT на интерфейсе 192.168.100.222 и пакеты из ВПН отправлять через NAT.

В общем 2 и 4 вариант мне лично не нравятся.

[BLOOD_ELF]

Поменя топологию на subnet.
Теперь роут идет на 10.8.0.1.

192.168.10.82 MASK 255.255.255.255 10.8.0.1

192.168.10.82 на клиенте все так же не пингуется.

IP роутера 192.168.100.1.
Раздает он адреса от 192.168.100.2 до 192.168.100.255.

Вот VPN от провайдера в роутере:

На сетевой карте, в которую подключена VPN сеть провайдера, вот такие настройки.

Прописан роут на сервере: route -p add 192.168.10.82 mask 255.255.255.255 192.168.100.1 IF 13
Так делали на другом ПК сами сотрудники этого сервиса, который предоставлял доступы.
Адрес 192.168.100.222 статический, я сам назначил его для сетевой, в которую идет провайдеровский VPN. Локальный адрес сервера 192.168.100.72.

[BLOOD_ELF]

Вроде заработало. Включил общий доступ в подключении на сервере и стало как мне надо. Интернет на клиенте работает независимо, плюс доступ к сервису по VPN есть. Огромное спасибо res2001 .

И еще маленький вопрос. Как сделать, чтобы OpenVPN при автозапуске подключался автоматически, а не просто грузился GUI.

[res2001]

BLOOD_ELF, Включить службы в автозагрузку. По умолчанию openvpn регшистрирует свои службы, но они в ручном управлении.

Включил общий доступ в подключении на сервере

Общий доступ в винде - изрядный костыль. Я бы не рекомендовал его использовать в критичных местах.
Раз у вас есть доступ к роутеру, то проще всего настроить 1 вариант из предложенных, надо только на роутере добавить маршрут до ВПН сети 10.8.0.0\24 через ваш сервер. И все!

[BLOOD_ELF]

Включить службы в автозагрузку

Как-то не проверил на клиентском ПК службу. На сервере включил, а тут не подумал проверить...

Общий доступ в винде - изрядный костыль.

Чем чревато?

добавить маршрут до ВПН сети

Вот тут настраивать?

Только не совсем понимаю, чем это поможет. Ведь по VPN я уже подключен к серверу. И мне надо получить доступ к подключению на этом же сервере.

[res2001]

BLOOD_ELF,

Только не совсем понимаю, чем это поможет.

Дело в том, что роутер ничего не знает о сети 10.8.0.0, поэтому пакеты для этой сети он отправляет на шлюз по умолчанию. А шлюз по умолчанию у него явно не 192.168.100.222, поэтому ответные пакеты до клиента не дойдут.
Вы добавите маршрут, тогда роутер начнет слать ответы в правильном направлении.

Вот тут настраивать?

Да

[res2001]

BLOOD_ELF,

Чем чревато?

Общий доступ подключения активирует урезанную версию DHCP сервера и NATа. При этом никак это все не настраивается, используются некие настройки по умолчанию. У вас в сети появляется левый DHCP сервер.
Кроме того, время от времени вся эта хрень не стартует корректно.
Я в свое время пытался на этом заставить работать сеть из 3 компов - раздавал интернет, который получал с телефона, работающего в режиме модема на одном из компов. Оно работает, но крайне не стабильно.
У вас все заработало, потому что в комплекте с общим доступом идет и NAT, про необходимость NATа я вам неоднократно писал, но только не в таком варианте.

[BLOOD_ELF]

Не помогло. Настроил маршрут, отключил общий доступ у подключения. Может роутер надо перезагрузить... Но что-то сомневаюсь.

[BLOOD_ELF]

res2001,

Общий доступ подключения активирует урезанную версию DHCP сервера и NATа. При этом никак это все не настраивается, используются некие настройки по умолчанию. У вас в сети появляется левый DHCP сервер.

Ну это не такая уж и проблема. Сервер будет стоять только для того, чтобы на нем крутился OpenVPN сервер и к нему подключались другие клиенты для доступа к единственному ресурсу. Если в такой связке будет работать стабильно, то я и не против =)

[res2001]

BLOOD_ELF,

Может роутер надо перезагрузить...

Может быть.
Добавьте в серверный конфиг: push "route 192.168.100.0 255.255.255.0"
После этого при добавлении маршрута в роутер и при подключенном клиенте попробуйте пропинговать с роутера клиента, по ВПН адресу - должно работать и наоборот то же, если только фаерволами где-то не будет блокироваться.
Когда это заработает, то и доступ к сервису то же, по идее, будет работать.

[BLOOD_ELF]

Дабы закрыть тему, все получилось. Нужно было в маршруте роутера вписать IP адрес сервера в локальной сети (в моем случае 192.168.100.72), а я писал IP адрес (192.168.100.222) сетевой карты, которая подключена в LAN порт роутера, который раздавал VPN провайдера.

Ну и как говорил res2001, про общее подключение по сети.

Кроме того, время от времени вся эта хрень не стартует корректно.

Все так и оказалось. Периодически доступ переставал работать и необходимо было его закрывать и заново открывать.