Используя ccd OpenVPN пользователь может подключиться, но не может получить доступ к другим устройствам

Question

Я использую настройки ccd OpenVPN для создания статических ключей для каждого пользователя.

Мой сервер конфигурации выглядит

cat openvpn.conf
dev tun
proto udp
port 1194
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/openvpn/easy-rsa/keys/dh1024.pem
user nobody
group nogroup
server 10.8.0.0 255.255.255.0
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3
client-to-client
push "route 10.8.0.0  255.255.255.0"
client-config-dir ccd
route 10.9.0.0 255.255.255.25
management localhost 7505
push "redirect-gateway def1"
#push "redirect-gateway def1"
#set the dns servers
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
log-append /var/log/openvpn
comp-lzo

и CCD для пользователя выглядит

ifconfig-push 10.8.3.15 10.8.3.15

Когда клиенты конфигурации по умолчанию могут быть доступны с любого устройства сети VPN и могут обращаться к любому устройству в сети, клиент не может получить доступ к этому настроенному клиенту ccd из сети и не может получить доступ / проверить связь с любым устройством сети VPN.

Я просмотрел, нашел похожие проблемы и изменил конфигурацию в соответствии с ними, но это мне не помогло.

Как я могу сделать этот клиент ccd для доступа к другим устройствам и чтобы этот клиент был доступен с других устройств OpenVPN?

Answer 1

В документации указано, что каждая пара адресов ifconfig-push представляет конечные точки виртуального клиента и сервера. Поэтому у вас не должно быть if-config-push 10.8.3.15 10.8.3.15 , а два разных адреса. Для совместимости с Windows выберите их в той же подсети /30. Возможные пары приведены в документации.

Кроме того, вы помещаете клиента в другую подсеть, отличную от той, для которой вы отправляете маршруты. route 10.8.0.0 255.255.255.0 охватывает только ips от 10.8.0.0 до 10.8.0.255 (при этом 10.8.0.0 является подсетью, а 10.8.0.255 широковещательный адрес, который не должен назначаться устройству).

У вас есть два варианта: либо выбрать статический ip в подсети 10.8.0.0/24, либо объявить маршрут к статически настроенному клиенту, добавив push "route 10.8.3.13 255.255.255.255" если вы выбрали [13,14] пара.