Александр Карабанов

У Hetzner ограничение трафика 20tb.
У vdsina.ru ограничение трафика 32tb.
Маклауд ограничение трафика 64tb.

Наверно потому что у всех клиентов одинаковые сертифиаты.
И да, что у вас в /etc/openvpn/ccd находится?

Network-Manager умеет сам импортировать конфиг OpenVPN:



Попробуйте воспользоваться этой возможностью...

Спасибо, @ValdikSS

Да, topology - это то, что нужно (и даже лучше оказалось возможным назначить tun интерфейсу IP 172.30.1.1/24). Какая незаметная опция, я её почему-то не встречал раньше, а искать в документации то не знаю что, тоже не будешь...
Выяснил, что разработчики рекомендуют использовать topology subnet, но не назначают её по умолчанию ради обратной совместимости, по умолчанию используется как раз запутаный способ нарезания на /30 подсети. Чтобы адрес пира пинговался следует использовать topology ptp, тогда получится аутентичный тоннель.

Вот собственно интерфейс на сервере:

~$ ip addr list dev tun1
45: tun1: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 100
    link/none 
    inet 172.30.1.1/24 brd 172.30.1.255 scope global tun1
       valid_lft forever preferred_lft forever
~$

А это на клиенте:

~$ ip addr list dev tun1
32: tun1: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 100
    link/none 
    inet 172.30.1.2/24 brd 172.30.1.255 scope global tun1
~$

И таблица маршрутизации выглядит менее запутанной. Раньше было как-то так:

172.31.1.1 via 172.31.1.5 dev tun0 
172.31.1.5 dev tun0  proto kernel  scope link  src 172.31.1.6

А теперь сама лаконичность:

172.30.1.0/24 dev tun1  proto kernel  scope link  src 172.30.1.2

Вы говорили про IP 192.168.21.130/29, а у вас 192.168.21.132/29
Вы говорили про порт 564 а у вас 2014 (но это правило фигня)

Аааа. Да. Забыл. Так iptables выведет только таблицу filter, а нам надо b nat и filter. Тем не менее у вас в этом правиле используется порт 2014 (хоть это ни на что и не влияет так как политика по умолчанию policy ACCEPT).

Должно выглядеть так:

zend@book:~$ sudo iptables -L --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:564

...

А чтоб посмотреть в таблицу nat надо использовать команду iptables -t nat -L --line-numbers и вывод её должен выглядеть так:

zend@book:~$ sudo iptables -t nat -L --line-numbers
Chain PREROUTING (policy ACCEPT)
num  target     prot opt source               destination         
1    DNAT       tcp  --  anywhere             anywhere             tcp dpt:564 to:192.168.21.130:564

...

Если у вас не так сделайте следующее:

sudo iptables -X
sudo iptables -F
sudo iptables -t nat -X
sudo iptables -t nat -F
sudo iptables -A INPUT -i tun0 -p tcp --dport 564 -j ACCEPT
sudo iptables -t nat -A PREROUTING -p tcp -i tun0 --dport 564 -j DNAT --to-destination 192.168.21.130:564

И IP исправьте на 192.168.21.130/29