Windows 10 での OpenVPN LAN アクセス

Question 1

次に、VPNクライアントサブネット（10.8.0.0/24）をOpenVPNサーバーにルーティングするためのルートをサーバー側LANゲートウェイに設定する必要があります（これは、OpenVPNサーバーとLANゲートウェイは別のマシンです）。

これが解決策だと信じていますが、残念ながら、LAN ゲートウェイ (ワイヤレスルーター) に LAN 側の静的ルートを有効にする機能がないため、テストできません。

もっと良いルーター、できれば OpenVPN が統合されたルーターを購入する必要があるようです。 ;)

Answer

記事の書き方コミュニティ状態:

次に、VPNクライアントサブネット（10.8.0.0/24）をOpenVPNサーバーにルーティングするためのルートをサーバー側LANゲートウェイに設定する必要があります（これは、OpenVPNサーバーとLANゲートウェイは別のマシンです）。

これが解決策だと信じていますが、残念ながら、LAN ゲートウェイ (ワイヤレスルーター) に LAN 側の静的ルートを有効にする機能がないため、テストできません。

もっと良いルーター、できれば OpenVPN が統合されたルーターを購入する必要があるようです。 ;)

Question 2

あなたの問題は、サーバー構成にLANアクセスルーティングの正しいオプションが欠けていることです。そのため、私は常に時間をかけて

オープンVPN方法(約15分)
オープンVPNマニュアルページ(約45分)

openvpn-server.conf

# Pushed Routes #
#---------------------------------------------------
  push                'dhcp-option    DNS 10.1.1.1'
  push                'dhcp-option    WINS 10.1.1.1'

  client-to-client    '1'
    # Each OS deals with parameters differently, so the 1 may need to be specified

10.1.1.1/24アクセスしたいVPNの背後にあるDNSとDHCPサーバーはどこにありますか

また、これは現在解読不可能であり、今後数年間は解読不可能なためAES-256-CBC必須ではありませんAES-128-CBC。セキュリティの向上はなく、スループットが大幅に低下するだけです。
- rekey心配な場合は、時間とサイズの値を変更するのが良いでしょう。

一般的な参考情報:

多くの人は、オンラインで見つかった一般的な構成をそのまま使用しますが、構成をチューニングすることで最大のメリットと最高のセキュリティが得られます。

調整された構成の例

#

        ##::[[---  OpenVPN Server Config  ---]]::##

#===========================================================
              ##----- VPN Admin Server -----##
#===========================================================

  # Protocol #
#-----------------------------------------------------------
  dev                     'tun0'
  topology                'subnet'
  proto                   'udp'
  port                    '61194'

  # Routes #
#-----------------------------------------------------------
  server                  '10.32.2.0 255.255.255.248'
  ifconfig                '10.32.2.1 255.255.255.248'

  # Client Config #
#-----------------------------------------------------------
  ccd-exclusive           '1'
  ifconfig-pool-persist   '/etc/openvpn/clients/vpn/ipp.txt'
  client-config-dir       '/etc/openvpn/clients/vpn'

  # Pushed Routes #
#-----------------------------------------------------------
  push                    'route 192.168.2.0 255.255.255.240'
  push                    'dhcp-option  DNS 192.168.2.1'
  push                    'dhcp-option  WINS 192.168.2.1'
  push                    'dhcp-option  DNS 208.67.222.222'
  push                    'dhcp-option  DNS 208.67.220.220'
  push                    'dhcp-option  NTP 129.6.15.30'

  # Encryption #
#-----------------------------------------------------------
  # Diffie-Hellmann:
  dh                      '/etc/ssl/openvpn/dh2048.pem'

  # PKCS12:
  pkcs12                  '/etc/ssl/openvpn/vpn-server.p12'

  # SSL:
  cipher                  'AES-128-CBC'
  auth                    'SHA512'
  tls-crypt               '/etc/ssl/openvpn/tls-crypt.psk'

  # TLS:
  tls-version-min         '1.2'
  tls-cipher              'TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-128-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256:TLS-ECDH-RSA-WITH-AES-128-GCM-SHA256:!aNULL:!eNULL:!LOW:!3DES:!MD5:!SHA:!EXP:!PSK:!SRP:!DSS:!RC4:!kRSA'

  # Logging #
#-----------------------------------------------------------
  log                     '/tmp/vpn-server.log'
  status                  '/tmp/vpn-server-status.log'
  verb                    '4'

  # Connection Options #
#-----------------------------------------------------------
  keepalive               '10 120'
  compress                'lz4'

  # Connection Reliability #
#-----------------------------------------------------------
  client-to-client        '1'
  persist-key             '1'
  persist-tun             '1'

  # Connection Speed #
#-----------------------------------------------------------
  sndbuf                  '393216'
  rcvbuf                  '393216'
  fragment                '0'
  mssfix                  '0'
  tun-mtu                 '48000'

  # Pushed Buffers #
#-----------------------------------------------------------
  push                    'sndbuf 393216'
  push                    'rcvbuf 393216'

  # Permissions #
#-----------------------------------------------------------
  user                    'nobody'
  group                   'nogroup'

Answer

あなたの問題は、サーバー構成にLANアクセスルーティングの正しいオプションが欠けていることです。そのため、私は常に時間をかけて

オープンVPN方法(約15分)
オープンVPNマニュアルページ(約45分)

openvpn-server.conf

# Pushed Routes #
#---------------------------------------------------
  push                'dhcp-option    DNS 10.1.1.1'
  push                'dhcp-option    WINS 10.1.1.1'

  client-to-client    '1'
    # Each OS deals with parameters differently, so the 1 may need to be specified

10.1.1.1/24アクセスしたいVPNの背後にあるDNSとDHCPサーバーはどこにありますか

また、これは現在解読不可能であり、今後数年間は解読不可能なためAES-256-CBC必須ではありませんAES-128-CBC。セキュリティの向上はなく、スループットが大幅に低下するだけです。
- rekey心配な場合は、時間とサイズの値を変更するのが良いでしょう。

一般的な参考情報:

多くの人は、オンラインで見つかった一般的な構成をそのまま使用しますが、構成をチューニングすることで最大のメリットと最高のセキュリティが得られます。

調整された構成の例

#

        ##::[[---  OpenVPN Server Config  ---]]::##

#===========================================================
              ##----- VPN Admin Server -----##
#===========================================================

  # Protocol #
#-----------------------------------------------------------
  dev                     'tun0'
  topology                'subnet'
  proto                   'udp'
  port                    '61194'

  # Routes #
#-----------------------------------------------------------
  server                  '10.32.2.0 255.255.255.248'
  ifconfig                '10.32.2.1 255.255.255.248'

  # Client Config #
#-----------------------------------------------------------
  ccd-exclusive           '1'
  ifconfig-pool-persist   '/etc/openvpn/clients/vpn/ipp.txt'
  client-config-dir       '/etc/openvpn/clients/vpn'

  # Pushed Routes #
#-----------------------------------------------------------
  push                    'route 192.168.2.0 255.255.255.240'
  push                    'dhcp-option  DNS 192.168.2.1'
  push                    'dhcp-option  WINS 192.168.2.1'
  push                    'dhcp-option  DNS 208.67.222.222'
  push                    'dhcp-option  DNS 208.67.220.220'
  push                    'dhcp-option  NTP 129.6.15.30'

  # Encryption #
#-----------------------------------------------------------
  # Diffie-Hellmann:
  dh                      '/etc/ssl/openvpn/dh2048.pem'

  # PKCS12:
  pkcs12                  '/etc/ssl/openvpn/vpn-server.p12'

  # SSL:
  cipher                  'AES-128-CBC'
  auth                    'SHA512'
  tls-crypt               '/etc/ssl/openvpn/tls-crypt.psk'

  # TLS:
  tls-version-min         '1.2'
  tls-cipher              'TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-128-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256:TLS-ECDH-RSA-WITH-AES-128-GCM-SHA256:!aNULL:!eNULL:!LOW:!3DES:!MD5:!SHA:!EXP:!PSK:!SRP:!DSS:!RC4:!kRSA'

  # Logging #
#-----------------------------------------------------------
  log                     '/tmp/vpn-server.log'
  status                  '/tmp/vpn-server-status.log'
  verb                    '4'

  # Connection Options #
#-----------------------------------------------------------
  keepalive               '10 120'
  compress                'lz4'

  # Connection Reliability #
#-----------------------------------------------------------
  client-to-client        '1'
  persist-key             '1'
  persist-tun             '1'

  # Connection Speed #
#-----------------------------------------------------------
  sndbuf                  '393216'
  rcvbuf                  '393216'
  fragment                '0'
  mssfix                  '0'
  tun-mtu                 '48000'

  # Pushed Buffers #
#-----------------------------------------------------------
  push                    'sndbuf 393216'
  push                    'rcvbuf 393216'

  # Permissions #
#-----------------------------------------------------------
  user                    'nobody'
  group                   'nogroup'

Question 3

次の PowerShell コマンドレット (コマンドプロンプトと混同しないでください) を試してみるとよいでしょう。

New-NetNat -Name "VpnMasq" -InternalIPInterfaceAddressPrefix "10.8.0.0/24"

これにより、指定された送信元プレフィックスのパケットに対して NAT (オーバーロード) が有効になるようです。

主に提供される Hyper-V と同様に、Windows 10 Pro/Enterprise でのみ利用できる可能性があります。

それでも解決しない場合は、次の手順に従ってください。

Remove-NetNat -Name "VpnMasq"

しかし、その前に、サーバーからトンネル経由でクライアントに ping (または、到達) できることを確認する必要があります。私はそのnet30仕組み (OpenVPN のデフォルトトポロジ) をよく知りませんが、subnetトポロジの方がシンプルで、いずれにしても使用例に適している可能性があります。そのため、次の行を追加します。

topology subnet

行の前にserver。そうすると、両側の POV からのクライアント IP は同じになります。

使用されているトポロジでは、クライアントが相互にアクセスできるかどうか (ただし、互いの LAN にはアクセスできない) は、サーバー設定でが使用されていないsubnet場合にサーバーがトンネルからのパケットをトンネルに転送することを許可するかどうかによって決まることに注意してください。client-to-client

Answer