Am un openvpn 2.4 care rulează foarte bine, dar vine o nouă cerință. Trebuie să creez reguli iptables pentru diferite segmente de ip de client pentru a le oferi acces la câteva servicii din rețeaua noastră.
Așa că am decis să urmăresc acest document https://openvpn.net/community-resources/configuring-client-specific-rules-and-access-policies/
Cred că funcționează, deoarece clientul primește ip-ul adecvat, dar odată conectat, rețeaua laterală vpn este inaccesibilă.
Am reușit să funcționez făcând asta:
partea de server:
route add -net 10.8.1.0 netmask 255.255.255.0 dev tun0
partea clientului (macos)
sudo route add -net 10.8 -interface utun4
sudo route delete -net 192.168.13
sudo route add -net 192.168.13 10.8.0.1
Tabelul de rețea neatins după conectare este acesta (trunchiat pentru comoditate)
Internet:
Destination Gateway Flags Netif Expire
implicit 192.168.0.1 UGScg en0
10.8.1.1 10.8.1.1 UH utun4
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
192.168.13 10.8.0.1 UGSc en0
Problema pe care am văzut-o este că gateway-ul atribuit clientului este același cu ip-ul care i-a fost atribuit (configurat în ccd/user1).
Ceea ce trebuie să fac este să direcționez o gamă mai largă (10.8) către interfața tun și apoi să direcționez subrețeaua noastră lan (192.168.13) prin gateway-ul 10.8.0.1, care este implicit.
Este posibil să înlocuiți aceste rute numai cu configurații de server openvpn?
Aici sunt fișierele mele de configurare
server.conf
dev tun0
proto udp
portul 1194
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server_8UY7QzRl8yjjzVAx.crt
cheie /etc/openvpn/easy-rsa/pki/private/server_8UY7QzRl8yjjzVAx.key
dh /etc/openvpn/easy-rsa/pki/dh2048.pem
subrețea topologică
server 10.8.0.0 255.255.255.0
apăsați „dhcp-option DNS 192.168.13.5”
apăsați „dhcp-option DNS 192.168.13.2”
apăsați „block-outside-dns”
apăsați „route 192.168.13.0 255.255.255.0”
push "redirect-private"
client-config-dir /etc/openvpn/ccd
de la client la client
menține în viață 10 120
client remote-cert-tls
tls-version-min 1.2
tls-auth /etc/openvpn/easy-rsa/pki/ta.key 0
cifrul AES-256-CBC
auth SHA256
comp-lzo
utilizator nimeni
grup fără grup
cheie-persiste
persist-tun
crl-verify /etc/openvpn/crl.pem
stare /var/log/openvpn-status.log 20
stare-versiunea 3
syslog
verbul 3
ccd/utilizator1
ifconfig-push 10.8.1.1 10.8.1.2
Voi aprecia orice ajutor.
