Как обеспечить доступ клиентов друг к другу внутри сети OpenVpn Tun (ASUS RT-AC66U B1)?

Question

[f00kat]

Привет. Есть роутер ASUS RT-AC66U B1. На нём включил OpenVPN сервер и выбрал TUN. Не выбрал TAP, потому что хочу в дальнейшем зайти с Android`a. Затем смог подключиться с win и linux клиентом OpenVPN.

На роутере вижу, что соединение с клиентами активно и им назначены адреса. В этом случае адреса
10.8.0.6 и 10.8.0.14. При этом находясь на машине 0.6 я не могу пингануть 0.14.

Насколько я понял - нужно настроить роутинг, чтобы клиенты сети VPN могли видеть друг друга, но как это сделать я не знаю как.

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.8.0.2        *               255.255.255.255 UH    0      0        0 tun21
XX.XX.XX.XX    *               255.255.255.255 UH    0      0        0 eth0
XX.XX.XX.XX    *               255.255.255.128 U     0      0        0 eth0
10.8.0.0        10.8.0.2        255.255.255.0   UG    0      0        0 tun21
192.168.1.0     *               255.255.255.0   U     0      0        0 br0
127.0.0.0       *               255.0.0.0       U     0      0        0 lo
default         broadband-188-2 0.0.0.0         UG    0      0        0 eth0

10.8.0.2 dev tun21  proto kernel  scope link  src 10.8.0.1
XX.XX.XX.XX dev eth0  proto kernel  scope link
XX.XX.XX.XX/25 dev eth0  proto kernel  scope link  src XX.XX.XX.XX
10.8.0.0/24 via 10.8.0.2 dev tun21
192.168.1.0/24 dev br0  proto kernel  scope link  src 192.168.1.1
127.0.0.0/8 dev lo  scope link
default via 188.244.35.1 dev eth0

Собственно вопрос - как настроить доступ клиентов друг к другу?

Answer 1

[ky0]

Да, нужна маршрутизация или директива client-to-client в конфиге сервера.

https://serverfault.com/questions/736274/openvpn-c...

Comments

[f00kat]

Можно про маршрутизацию по подробнее?
И по вашей ссылке ситуация у человека другая - ему нужно наоборот запретить. Т.е. там есть про конфиг сервера и про client-to-client, но не про маршрутизацию.

[ky0]

f00kat, если вы хотите контролировать передачу данных, то есть, чтобы пакеты отправлялись на уровне IP через ваш впн-сервер, то нужно:

1. Разрешить на VPN-сервере форвардинг пакетов
   
2. Настроить маршрут в нужную подсеть на клиентах, например, отдавая его прямо при подключении через route
   
3. Настроить обработку пакетов (как минимум - разрешить их прохождение) между клиентами на VPN-сервере, например, с помощью iptables или аналогичного ПО
   

При включенном client-to-client ничего этого не нужно, т. к. клиенты помещаются внутрь виртуального широковещательного диапазона, как будто они подключены к одному свитчу без вланов.

[f00kat]

Я долго не хотел править конфиг сервера на роутере, потому что думал, что придётся потрошить его через ssh, но как всегда - слона то я и не заметил. В окне конфигурирования, в ВЕБ-ГУИ, есть огромное поле "Custom Configuration" и туда вбил "client-to-client". Пинг пошёл.

Спасибо :)