Маршрутизация OpenVPN в локальную сеть за сервером

Возможно, вам не хватает iroute. Помимо толкающих маршрутов вам понадобится iroute в файлах конфигурации. Вот выдержка из справочной страницы OpenVPN.

--iroute network [маска подсети]

Создайте внутренний маршрут к конкретному клиенту. Параметр netmask, если он не указан, по умолчанию равен 255.255.255.255. Эта директива может использоваться для маршрутизации фиксированной подсети от сервера к конкретному клиенту, независимо от того, откуда клиент подключается. Помните, что вы также должны добавить маршрут в системную таблицу маршрутизации (например, с помощью директивы --route). Причина, по которой необходимы два маршрута, заключается в том, что директива --route направляет пакет от ядра к OpenVPN. Попав в OpenVPN, директива --iroute направляется к конкретному клиенту. Этот параметр должен быть указан либо в файле конфигурации экземпляра клиента с помощью --client-config-dir, либо динамически сгенерирован с помощью сценария --client-connect. Директива --iroute также имеет важное взаимодействие с --push "route ...". --iroute по существу определяет подсеть, которая принадлежит определенному клиенту (мы назовем этого клиента A). Если вы хотите, чтобы другие клиенты могли подключиться к подсети A, вы можете использовать --push "route ..." вместе с --client-to-client, чтобы выполнить это. Чтобы все клиенты могли видеть подсеть A, OpenVPN должен протолкнуть этот маршрут всем клиентам, ЗА ИСКЛЮЧЕНИЕМ для A, поскольку подсеть уже принадлежит A. OpenVPN выполняет это, не отправляя маршрут к клиенту, если он соответствует одному из маршрутов клиента. iroutes.

Вам потребуются записи конфигурации, как показано ниже, для соответствующих клиентов и серверов.

iroute 192.168.3.0 255.255.255.0

Кроме того, вам может потребоваться проверить CCD, если у вас есть несколько сетей за несколькими клиентами.

клиент-конфигурация-каталог

Эта директива устанавливает каталог конфигурации клиента, который сервер OpenVPN будет сканировать при каждом входящем соединении в поисках файла конфигурации для конкретного клиента (дополнительную информацию см. На странице руководства). Файлы в этом каталоге можно обновлять «на лету» без перезапуска сервера. Обратите внимание, что изменения в этом каталоге вступят в силу только для новых подключений, но не для существующих. Если вы хотите, чтобы изменение файла конфигурации, зависящее от клиента, немедленно вступило в силу для подключенного в данный момент клиента (или того, который отключился, но у которого сервер не прервал тайм-аут своего объекта экземпляра), уничтожьте объект экземпляра клиента, используя команду управления интерфейс (описан ниже). Это заставит клиента повторно подключиться и использовать новый файл client-config-dir.

Ответ Fossil был именно тем, что мне было нужно, и я уже принял его. Я просто хотел бы добавить некоторую информацию для других людей, у которых может быть такая же проблема. Поскольку вопрос уже задавался о сбое сервера, но в ответах либо не упоминается iroute (один пример) или иметь только мертвые ссылки (например, вот этот)

Итак ... во-первых, я нашел хорошее объяснение iroute (и зачем это нужно) Вот . Но поскольку я только что упомянул о риске потери ссылок, я также постараюсь упомянуть наиболее важные идеи ниже.

Похоже, маршрутов ядра недостаточно для прохождения трафика через туннель OpenVPN. Если вы хотите подключиться к локальной сети, которая находится за клиентом OpenVPN, вам также понадобится внутренний маршрут OpenVPN (iroute). Это добавляется с помощью оператора client-configuration-dir в server.conf и добавления операторов iroute в файлы конфигурации, размещенные внутри этого подкаталога.

В моем случае мне также потребовались:

#Inside server.conf
client-configuration-dir my-config-dir

#Inside my-config-dir/client1 (same name as the client!)
#Tell OpenVPN that 192.168.13.0/24 is reachable via client1
iroute 192.168.13.0 255.255.255.0

Это также вызывает интересную проблему - если OpenVPN не может работать, используя только маршруты ядра, на первый взгляд кажется, что невозможно запустить протокол маршрутизации поверх туннелей ovpn. У кого-нибудь получилось такое решение (ovpn + rip / ospf) работающее?