Onderwerp: OpenVPN clients in private LAN

Momenteel ben ik bezig om een OpenVPN server te installeren die clients toegang verschaft tot het private network van onze Linux machines (10.87.10.0/24). Op dit moment heb ik vpn werken (de client kan pingen naar de vpn server en vice versa).

Nu wil dat de client de servers in het private network kunnen bereiken dit is nu niet het geval. Ik heb de volgende server.conf:

Code:

local x.x.x.x # eth0
proto tcp
dev tun

ca ca.crt
cert server.crt
key server.key
dh dh1024.pem

server 10.87.1.0 255.255.255.0 # range voor clients

ifconfig-pool-persist ipp.txt

push "route 10.87.10.0 255.255.255.0"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
route 10.87.10.0 255.255.255.0
user nobody
group nogroup

keepalive 10 120
comp-lzo
max-clients 10
persist-key
persist-tun
status openvpn-status.log
verb 4

Volgens de documentatie moet ik voor routing (tun) ip forwarding aanzetten. Maar hoe krijgt ik dit het beste voor elkaar? Moet ik via iptables het verkeer doorsturen? Wie kan mij op weg kan helpen met een voorbeeld of linkje?

Alvast bedankt!

Als je niet teveel haast hebt kan ik je dit weekend of maandag wel even de config van hier aan zowel server als client zijde toerijken. Kan er nu echter niet bij want werk op een systeem waar mijn key niet opstaat

Zou tof zijn. Heb natuurlijk geen haast. In de tussentijd probeer ik nog wel wat .

Op je linux machines zal je verkeer naar 10.87.1.0/24 via de vpn server moeten laten lopen met een static route (tenzij de vpn server ook default gateway is).

Inmiddels lijkt het te werken. Ik heb IP forwarding aangezet op de vpnserver met:

Code:

echo "1" > /proc/sys/net/ipv4/ip_forward

Daarna de volgende iptables entry voor eth1 (LAN) toegevoegd:

Code:

iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Nu lijkt het tot dusver te werken.

ip_forward moet inderdaad wel enabled zijn. Anders weigert je vpn server de packets te routeren. Met de iptables regel maak je echter een NAT regel. Dit is niet perse nodig. Echter, als je geen NAT gebruikt, moet op de achterliggende server wel een route zijn naar je vpn clients.
Waarschijnlijk heb je op je servers een default route naar je provider's router. Je moet dan handmatig een route toevoegen naar je vpn server/router.
Dus bijv:

Code:

ip route add 10.87.1.0/24 via <10.87.10.x intern ip vpn server>

Let op, dit wordt standaard niet met een reboot onthouden. Het ligt even aan je distributie hoe je dit doet.
Bij ubuntu/debian kun je bijv. aan je ethx interface toevoegen:

Code:

up ip route add 10.87.1.0/24 via <10.87.10.x intern ip vpn server>

Je kunt het ook nog anders oplossen. Hoe ik het heb draaien is mbv proxy arp. Mijn netwerk is geconfigureerd met een /24 subnet (dus 255.255.255.0).
Mijn vpn clients krijgen een ip uit het subnet: 255.255.255.224 van hetzelfde netwerkadres.
De "server" instelling is dan dus:

Code:

server 192.168.1.192 255.255.255.224

Als route geef ik dan gewoon 192.168.1.0/24 op aan de clients.
Door proxy arp op je lan interface te enablen, stuurt je router het request door. Zo hoef je dus geen speciale routes op je hosts toe te voegen.

Code:

/proc/sys/net/ipv4/conf/eth0/proxy_arp = 1

Ik vind het in ieder geval een handige oplossing.

Kleine tip trouwens, gebruik het udp ipv tcp protocol. Dat geeft je snelheidswinst en al helemaal bij een 'vollere' lijn. tcp door tcp heenhalen is niet leuk, udp pakketjes door tcp al helemaal niet

Inmiddels heb ik het voor elkaar (ook met UDP). Ik voeg een route toe vanaf de servers naar de OpenVPN server sturen.