younghacker

Вы не написали где установлен OpenVPN и как устроена сеть.
Для windows
route print
или
ip route
линукс/мак
Смотритe куда настроен default gate или 0.0.0.0/0 на той машине где установлен OpenVPN.

В конфиг сервера нужно добавить:
script-security 2 # to run scripts
client-disconnect "scripts/on-client-disconnect.sh"

Заготовка скрипта.

/etc/openvpn/script/on-client-disconnect.sh

#!/bin/bash
## Parse variables

if [ ! -z "${time_ascii}" ]; then
  sessionStart=${time_ascii}
else
  sessionStart="UNSET"
fi

if [ ! -z "${trusted_ip}" ]; then
  clientHostAddress=${trusted_ip}
else
  clientHostAddress="UNSET"
fi

if [ ! -z "${username}" ]; then
  clientUID=${username}
else
  clientUID="UNSET"
fi

if [ ! -z "${time_duration}" ]; then
  sessionDuration=${time_duration}
else
  sessionDuration="UNSET"
fi

if [ ! -z "${bytes_sent}" ]; then
  txVolume=${bytes_sent}
else
  txVolume="UNSET"
fi

if [ ! -z "${bytes_received}" ]; then
  rxVolume=${bytes_received}
else
  rxVolume="UNSET"
fi

if [ ! -z "${common_name}" ]; then
  client_cn=${common_name}
else
  client_cn="UNSET"
fi

## Send to syslog
logger -t openvpn -- "Disconnect: CommonName: ${client_cn} Username: ${clientUID} HostIP: ${clientHostAddress} Duration: ${sessionDuration} seconds opened at ${sessionStart} Session Traffic: TX: ${txVolume} bytes RX: ${rxVolume} bytes"

В логе будут такие вот записи, которые Вы можете затем парсить.

Sep 17 17:02:35 gw1-vpn openvpn: Disconnect: CommonName: vpn-client14 Username: UNSET HostIP: 444.555.666.777 Duration: 755 seconds opened at Sat Sep 17 16:50:00 2016 Session Traffic: TX: 20676207 bytes RX: 3596392 bytes

В скрипте Вы всегда можете запустить export и слить его в файл. Увидите там переменные которые установил OpenVPN.

И не забудьте поставить для скрипта атрибут на запуск и добавить в selinux правило открывающее доступ openvpn демону к этому файлу.

Я бы поставил на статическом IP в интернете OpenVPN сервер. На Raspberry Pi OpenVPN клиент. Вернее настроил бы как клиента. Настроил бы iptables на нужные пробросы portforwarding или же включил бы маршрутизацию и анонсировал бы адрес Raspberry Pi на VPN сервер, а оттуда на клиентов которые будут к нему подключаться чтобы получить доступ к Raspberry Pi. Или http прямо на публичный интерфейс как у Вас нарисовано на схеме.

ssh -vvv username@ip.ad.dr.es
покажет детальную информацию о ходе соединения

Возможно будет удобнее для копирования использовать scp

Выход наружу через виртуалку?
Основная система с гипервизором — Windows? Может ещё и Windows 10? Если это так то это всё слишком завёрнуто. Сделайте наоборот. Гипервизор на Linux на нём же поднять VPN и DNS и только уже внутри виртуальной машины запустить лучше линукс, но можно и Windows. Firewall настроить на хост системе так чтобы по умолчанию блокировал весь входящий и исходящий трафик. Затем потихоньку разрешать. В этом случае трафик отфильтруется очень просто.
Есть специально заточенные дистрибутивы Linux для таких целей. Например WHONIX.
Там две виртуалки, одна клиентская другая служит гейтом. Но всё это можно сделать самостоятельно на любом полноценном дистрибутиве Linux.

Ещё одна возможность, взять роутер который можно прошить OpenWRT на нём поднять VPN компьютер подключить к нему. Такой вариант наиболее надёжный. Роутер разумеется тоже нужно настроить чтобы при падении VPN не выбросил пакет в открытом виде.

На линукс, для того чтобы трафик не уходил в обход VPN нужно прописать правила для интерфейсов. Блокируем весь исходящий трафик кроме адреса на VPN сервер и даже порт прописать в правило. А остальной трафик в том числе DNS разрешить через TUNx интерфейс. Всё это очень просто. А вот как это сделать на Windows тем более средствами OpenSource файрволов — не знаю, сам ищу ответ.

Но вопрос слишком общий. Будут конкретные вопросы будут и конкретные ответы.

А каким образом получить гарантированное доказательство того что тот кто выдаёт себя за Автора именно он и есть? Или что тот кто подпишет бумагу является автором. На мой взгляд это довольно скользкий вопрос.

Если Вам бэкапить то поставьте специальный инструмент для бэкапа например bacula/bareos. Сходу кажется многоголовой гидрой, но после освоения очень даже приятный и вполне автономный инструмент.

А если Вам нужно сделать систему верёвочек чтобы через месяц не помнить почему что-то не работает или ещё лучше подарить это "ацкое" наследие следующему админу то нужно написать самому. Вариантов масса.

Да вы отважный шутник батенька!
И конечно php скрипт будет запускаться удалённо...
Запустите php с правами рута и будет вам счастье!
Кроме изменения файла нужно бы и iptables перезапустить.
Так может лучше правила заливать в IPTABLES без изменения файла?

На порядок безопаснее будет записать обычный файл от обычного непривилигированного пользователя, где-то в его домашней папке, а на него натравить inotify в режиме монитора который увидит что он изменился, запустит скрипт с привилегиями рута, тот распарсит его сформирует команду для управления iptables и выполнит её. Формат файла текстовый, никаких прямых команд. Работа строго по словарю. Строка не прошла словарь — удаляется, в лог пишется уведомление.

Вы бы описали задачу. Может она уже давно решена.

Если у вас нет рутового доступа к серверам, то это будет вложенный VPN.

Вам нужен роут через внешний интерфейс от вас до первого VPN1.
Затем внутр полученного TUN1 нужно положить роут до второго VPN2 поднимем и получим TUN2. В него нужно отправить роут до третьего VPN3. Поднять VPN3 и в полученный TUN3 отправить Default route.

Не забыть про DNS leak
Законопатить на клиенте Firewall так чтобы пакет ни один пакет не прошмыгнул через ваш WAN интерфейс. Через WAN вам позволяется только один путь IP VPN1:PORT. Всё остальное DROP.

Но логичнее взять три виртуалки и поднять свой нормальный трипл VPN с DNS.

Похоже что клиент из офиса2 получает DNS push из офиса 1.

DNS-серверы. . . . . . . . . . . : 192.168.0.28
                                   8.8.4.4
                                   192.168.3.1

Таймаут может быть потому что:
1) DNS не слушает нужный интерфейс не хочет отвечать в чужую подсеть
2) Нет маршрута
3) Firewall дропает пакеты приходящие из TUN интерфейса
4) OpenVPN ничего не знает о том что чужая подсеть находится за TUN интерфейсом.

Извините, но на из ваших описаний и копипастов нельзя понять где выполнялся пинг и трейсроут. Одно дело если с гейта. Другое если с машины в чужой подсети. Две большие разницы с точки зрения маршрутизации.

P.S.
Я очень поверхностно знаком с микротиковским OpenVPN. Из-за того что его там "кастрировали" — не вижу смысла. Только прошить OpenWRT на неплохое микротиковское железо и получить полный функционал OpenVPN. :)
P.P.S.
Средства шифрования по определению не могут быть закрыты от анализа. Поэтому только OpenSource!

Отключите IPv6. Для вашей анонимности он опасен.

Вот эта опция железобетонная!
iptables -A OUTPUT -o eth0 -j DROP
Вы уверены что у вас VPN работает? А если работает то через какой интерфейс? eth1, wlan? Куда смотрит default gate в ip route ?

Перед дропом нужно было поставить акцепт для пакетов в адрес сервера. Ну и дропать нужно на всех интерфейсах кроме TUN... Зачем же вам TAP интерфейс ???

Можно!
Хотите я вам скину сертификаты и конфиги? :)
дальше будет пару команд:
1) поставить openvpn
2) скопировать конфиги и сертификаты клиента и сервера
3) запустить сервис на сервере и на клиенте.
И всё.

Но сертификаты генерируются на раз-два. Главное разобраться что и как.

Кроме того чтобы настроить это два или три раза, нужно пробросить Default Gate таким макаром чтобы пакет прошёл как нужно. И я так подозреваю что топикстартеру нужно добиться и того чтобы пакет случайно не вывалился в паблик, когда инженер связи рвёт VPN коннект. :)

T_y_l_e_r как с вами связаться? Что-то тостеровцы два года назад обещали личные сообщения, а воз и ныне там.

Опции OpenVPN сервера:
route - сказать ядру что такие-то пакеты нужно отправлять в openvpn процесс
iroute - сказать что такая-то подсеть находится у такого-то клиента. Вяжется с CN common name сертификата клиента, поэтому шаред сертификаты не пойдут. Роутерам идут только индивидуальные сертификаты.
push route - сказать клиенту что пакеты отправлять через TUN интерфейс на OpenVPN сервер.

И не забудьте включить маршрутизацию в ядре. :) (в винде тоже она выключена по умолчанию)
Firewall — настройте.
Если у вас Linux c Selinux то ахтунг! Но не выключить, а настроить!

Никаких маршрутов прописывать руками в системе нет нужды. Всё работает прямо из OpenVPN если его правильно сконфигурировать.

Ваши друзья:
Linux | Windows
tcpdump | windump (WinPcap) WireShark
ip route | route print
ip a | ipconfig /all
ping | ping

Включите логи в OpenVPN на клиенте и на сервере.
Добавье опцию verb 5
почитайте логи после установки соединения. Там видны команды добавления маршрутов.

Если речь идёт о подключении только одного IP то можно не настраивать полную маршрутизацию, а сделать NAT (Forwarding) в сторону вашего сервера 192.168.1.202
В этом случае соединяться нужно будет на адрес вашего TUN интерфейса, а попадёте на сервер. Сервер не узнает ваш IP так как ему будет подсунут IP компа в его подсети и он отправит пакеты ему, а тот отмаскарадит их обратно в вашу сторону. Но это не исключает того что и в этом случае если вы соединяетесь не прямо с гейта,а из другого компа офисной сети то этот комп должен знать куда слать такой запрос иначе он отправит его в адрес Default Gate. Но это отпадает если OpenVPN стоит на роутере Default Gate.

P.S.
Вы себе не представляете как схема с адресами да с пояснениями облегчает ответ на поставленную задачу. :) В ней уже половина ответа!

В вопросе явно мало вводных данных.

Аксес для этой задачи однозначно не подходит Хотя если построите трёхзвенное приложение и будете шифровать все критические поля то можно помучаться.

Я бы сделал так:
Разместил бы базу на другом сервере. FireBird.
В ней завёл бы обычного юзера. Пользователю разрешл бы читать только определённые объекты tables, views и выполнять определённые процедуры. Другими словами сделал бы так чтобы пользователь не мог читать писать то что ему нельзя. Там же на сервере запустил бы другое приложение задача которого подсоединиться к базе как sysdba и прочесть табличку с логинами паролями пользователей и сидеть ждать соединения пользователя. Вторая задача серверного приложения принимать соединения по ssl и дешифровать их. Тут же должна быть защита от подбора пароля.
На клиенте бы использовал ssl.
Но у этого решения есть большая проблема чтобы обезопаситься от dll injection нужно избавиться от внешних ssleay.dll и fbclient.dll нужно взять их исходники и внедрить в приложение без использования техники dll. А это явно не Delphi.

Но главный вопрос что Вы хотите сделать?
Если пользователь может запустить приложение и пользоваться им то что ему мешает сделать простой скрипт который распарсит данные из базы? Любое Windows GUI приложение которое использует Windows API может быть обмануто внешней программой.

Если задача ограничить пользователя только его песочницей -- то тут нужно работать над устройством базы данных её структурой и бизнеслогикой. Firebird позволяет используя только возможности сервера сделать различные ограничения в том числе отображать записи из таблицы избирательно через view (блокируя при этом доступ к таблице).

Но если база физически доступна пользователю то шифруйте её. Возможно есть какие-то готовые решения.

Если сервер принадежит Вам то ограничения нет. Важно чтобы ваша программа не попала в зацикливание когда первая ещё не закончилась, а вторая уже началась.

Для shared хостинга хостеры вынуждены ограничивать время работы крон-задания потому что они жрут память и зачастую процессор и сетевые сокеты. Но я сомневаюсь, что там кто-то позволит запустить JAVA тем более в кроне! :)

Как подключается программа клиент? По имени или по IP ?
Что говорит ping сервера по адресу из обоеих сетей?
Если не пингуется то что говорит route
Ну и что думает firewаll на сервере с базой по повду входящих соединений по нужному протоколу на нужный порт из обеих сетей.
tcpdump вам в помощь!
Да! А что думает ip route | sort на стороне linux сервера?

Проверить домен в разных NS.
nslookup мойсайт.ру 8.8.8.8
если ответит значит всё в порядке.
пинганите адрес указанный в качестве A записи.
ping x.x.x.x
если ответит — пропишите у себя в hosts строку вида
x.x.x.x мойсайт.ру
и зайдите на сайт мойсайт.ру в браузере.
на сайте должна быть какая-то страничка чтобы она открылась. При определённых условиях браузер может показать полностью пустую страницу или ошибку. Это может указывать на отсутствие в корне сайта необходимой страницы. Создайте index.html и откройте её в браузере http://мойсайт.ру/index.html
Должна отобразиться именно страница либо будет ошибка.

Если 8.8.8.8 не вернёт адрес проверьте его в тех NS которые указаны в домене. Команда такая же только 8.8.8.8 замените на адрес DNS привязанного к домену.
Если не вернёт корректный адрес, смотрите привязку домена к DNS.

Файл hosts отрабатывает до ресолва имён в DNS подсистеме. Тоесть имеет более высокий приоритет позволяет иметь доступ к сайту без реального существования имени в DNS подсистеме (разумеется web сервер должен отвечать на это имя)