OpenVPN клиент-клиент

Если client-to-client является включен, VPN-сервер пересылает пакеты клиент-клиент внутри себя, не отправляя их на IP-уровень хоста (то есть в ядро). Сетевой стек хоста вообще не видит эти пакеты.

           .-------------------.
           | IP Layer          |
           '-------------------'


           .-------------------.
           | TUN device (tun0) |
           '-------------------'


           .-------------------.
           | OpenVPN server    |
           '-------------------'
             ^           |
          1  |           |  2   
             |           v
 .----------------.  .----------------.
 | Client a       |  | Client b       |
 '----------------'  '----------------'

Если client-to-client является отключенпакеты от клиента к другому клиенту проходят через уровень IP хоста (iptables, таблица маршрутизации и т. д.) машины, на которой размещен VPN-сервер: если IP-переадресация включена, хост может переслать пакет (используя свою таблицу маршрутизации) снова на интерфейс TUN, и демон VPN перешлет пакет правильному клиенту внутри туннеля.

           .-------------------.
           | IP Layer          |  (4) routing, firewall, NAT, etc.
           '-------------------'      (iptables, nftables, conntrack, tc, etc.)
              ^          |
          3   |          |  5
              |          v
           .-------------------.
           | TUN device (tun0) |
           '-------------------'
             ^           |
          2  |           |  6  
             |           v
           .-------------------.
           | OpenVPN server    |
           '-------------------'
             ^           |
          1  |           |  7  
             |           v
 .----------------.  .----------------.
 | Client a       |  | Client b       |
 '----------------'  '----------------'

В таком случае (client-to-client отключено), вы можете заблокировать пакеты клиент-клиент с помощью iptables:

 iptables -A FORWARD -i tun0 -o tun0 -j DROP

где tun0 это ваш интерфейс VPN.

Вам нужно сделать больше, чем просто комментировать директиву, как она говорит Вот:

Раскомментируйте эту директиву, чтобы разные клиенты могли «видеть» друг друга. По умолчанию клиенты будут видеть только сервер. Чтобы заставить клиентов видеть только сервер, вам также необходимо соответствующим образом настроить брандмауэр интерфейса TUN / TAP сервера.

Поэтому вы можете настроить отдельную политику IP-адресов для каждого клиента. См. Раздел Настройка клиентских правил и политик доступа Вот: https://openvpn.net/index.php/open-source/documentation/howto.html. и тут: https://www.sbarjatiya.com/notes_wiki/index.php/Configuring_separate_IP_and_firewall_rule_for_each_openvpn_client.

Следующий абзац справочной страницы для openvpn отвечает на этот вопрос, хотя при первом чтении это не обязательно ясно:

Поскольку режим сервера OpenVPN обрабатывает несколько клиентов через один интерфейс tun или tap, это фактически маршрутизатор. В --client-to-client flag указывает OpenVPN внутреннюю маршрутизацию межклиентского трафика, а не проталкивание всего исходящего от клиента трафика на интерфейс TUN / TAP.

Когда используется эта опция, каждый клиент будет «видеть» других клиентов, которые в данный момент подключены. В противном случае каждый клиент будет видеть только сервер. Не используйте эту опцию, если вы хотите туннелировать трафик межсетевого экрана с использованием настраиваемых правил для каждого клиента.

В client-to-client опция закорачивает обычные таблицы маршрутизации на сервере. Его удаление не мешает клиентам использовать таблицы маршрутизации сервера. Если эти таблицы маршрутизации - и конфигурация брандмауэра сервера - позволяют клиентам видеть друг друга, они смогут это сделать.