У меня OpenVPN настроен и работает. Мой офис находится в большом здании, в котором работает несколько виртуальных локальных сетей. Очевидно, что из нашей собственной VLAN я могу получить доступ к локальным ресурсам, а откуда-то еще в мире я могу использовать OpenVPN. Но при подключении к другой VLAN в том же учреждении я не могу этого сделать.
OpenVPN жалуется, потому что он подключается к внешнему IP-адресу здания, но ответ направляется обратно внутри (с помощью переключателей, которые я не контролирую), что означает, что ответ не с ожидаемого IP-адреса. Результат:
Incoming packet rejected from [AF_INET]10.67.5.1:1194[2], expected peer address: [AF_INET]195.x.x.x:1194 (allow this incoming source address/port by removing --remote or adding --float)
(x.x.x = публичный IP-адрес, подвергшийся цензуре)
Кто-нибудь поможет? (Я понимаю, что это похоже на другие сообщения но я подумал, что моя проблема немного другая и оправдал отдельный вопрос)
По запросу, server conf:
port 1194 proto udp dev tun ca ca.crt cert server.crt key server.key # This file should be kept secret dh dh1024.pem server 10.67.15.0 255.255.255.0 ifconfig-pool-persist ipp.txt push "route 10.67.5.0 255.255.255.0" keepalive 10 120 comp-lzo persist-key persist-tun status openvpn-status.log verb 3
Конфигурация клиента
client remote example.org ca /etc/openvpn/ca.crt cert /etc/openvpn/client_rich.crt key /etc/openvpn/client_rich.key comp-lzo yes dev tun proto udp nobind auth-nocache script-security 2 persist-key persist-tun user openvpn group openvpn
Как сказано, добавьте float в конфигурацию клиента и повторите попытку.
--float
Разрешить удаленному узлу изменять свой IP-адрес и / или номер порта, например, из-за DHCP (это значение по умолчанию, если --удаленный не используется). - плавать когда указано с --удаленный позволяет сеансу OpenVPN первоначально подключаться к одноранговому узлу по известному адресу, однако, если пакеты приходят с нового адреса и проходят все проверки аутентификации, новый адрес берет на себя управление сеансом. Это полезно, когда вы подключаетесь к одноранговому узлу, который имеет динамический адрес, например, телефонный пользователь или DHCP-клиент.
По сути, - плавать сообщает OpenVPN принимать аутентифицированные пакеты с любого адреса, а не только с адреса, указанного в --удаленный вариант.