サーバーの背後にある LAN への OpenVPN ルーティング

Question 1

が欠落している可能性がありますiroute。ルートをプッシュするだけでなく、iroute構成ファイルにも必要になります。以下は OpenVPN のマニュアルページからの抜粋です。

--iroute ネットワーク [ネットマスク]

特定のクライアントへの内部ルートを生成します。ネットマスクパラメータを省略すると、デフォルトで 255.255.255.255 になります。このディレクティブは、クライアントがどこから接続しているかに関係なく、サーバーから特定のクライアントに固定サブネットをルーティングするために使用できます。ルートをシステムルーティングテーブルにも追加する必要があることに注意してください (--route ディレクティブを使用するなど)。2 つのルートが必要な理由は、--route ディレクティブがカーネルから OpenVPN にパケットをルーティングするためです。OpenVPN に入ると、--iroute ディレクティブが特定のクライアントにルーティングします。このオプションは、--client-config-dir を使用してクライアントインスタンス構成ファイルで指定するか、--client-connect スクリプトを使用して動的に生成する必要があります。--iroute ディレクティブは、--push "route ..." とも重要な相互作用があります。--iroute は基本的に、特定のクライアント (このクライアントを A と呼びます) が所有するサブネットを定義します。他のクライアントが A のサブネットにアクセスできるようにするには、--push "route ..." を --client-to-client と一緒に使用してこれを実現します。すべてのクライアントが A のサブネットを参照できるようにするには、サブネットがすでに A によって所有されているため、OpenVPN は A を除くすべてのクライアントにこのルートをプッシュする必要があります。OpenVPN は、クライアントの iroute の 1 つに一致する場合はルートをクライアントにプッシュしないことでこれを実現します。

それぞれのクライアントとサーバーで以下のような設定エントリが必要になります。

アイルート 192.168.3.0 255.255.255.0

さらに、複数のクライアントの背後に複数のネットワークがある場合は、CCD をチェックアウトする必要がある場合があります。

クライアント設定ディレクトリ

このディレクティブはクライアント設定ディレクトリを設定します。OpenVPN サーバーは、着信接続ごとにこのディレクトリをスキャンし、クライアント固有の設定ファイルを探します (詳細についてはマニュアルページを参照してください)。このディレクトリ内のファイルは、サーバーを再起動せずに、オンザフライで更新できます。このディレクトリの変更は、既存の接続ではなく、新しい接続にのみ有効になることに注意してください。クライアント固有の設定ファイルの変更を、現在接続中のクライアント (または切断されたが、サーバーがインスタンスオブジェクトをタイムアウトしていないクライアント) にすぐに適用したい場合は、管理インターフェイス (以下で説明) を使用してクライアントインスタンスオブジェクトを強制終了します。これにより、クライアントは再接続し、新しい client-config-dir ファイルを使用します。

Answer

が欠落している可能性がありますiroute。ルートをプッシュするだけでなく、iroute構成ファイルにも必要になります。以下は OpenVPN のマニュアルページからの抜粋です。

--iroute ネットワーク [ネットマスク]

特定のクライアントへの内部ルートを生成します。ネットマスクパラメータを省略すると、デフォルトで 255.255.255.255 になります。このディレクティブは、クライアントがどこから接続しているかに関係なく、サーバーから特定のクライアントに固定サブネットをルーティングするために使用できます。ルートをシステムルーティングテーブルにも追加する必要があることに注意してください (--route ディレクティブを使用するなど)。2 つのルートが必要な理由は、--route ディレクティブがカーネルから OpenVPN にパケットをルーティングするためです。OpenVPN に入ると、--iroute ディレクティブが特定のクライアントにルーティングします。このオプションは、--client-config-dir を使用してクライアントインスタンス構成ファイルで指定するか、--client-connect スクリプトを使用して動的に生成する必要があります。--iroute ディレクティブは、--push "route ..." とも重要な相互作用があります。--iroute は基本的に、特定のクライアント (このクライアントを A と呼びます) が所有するサブネットを定義します。他のクライアントが A のサブネットにアクセスできるようにするには、--push "route ..." を --client-to-client と一緒に使用してこれを実現します。すべてのクライアントが A のサブネットを参照できるようにするには、サブネットがすでに A によって所有されているため、OpenVPN は A を除くすべてのクライアントにこのルートをプッシュする必要があります。OpenVPN は、クライアントの iroute の 1 つに一致する場合はルートをクライアントにプッシュしないことでこれを実現します。

それぞれのクライアントとサーバーで以下のような設定エントリが必要になります。

アイルート 192.168.3.0 255.255.255.0

さらに、複数のクライアントの背後に複数のネットワークがある場合は、CCD をチェックアウトする必要がある場合があります。

クライアント設定ディレクトリ

このディレクティブはクライアント設定ディレクトリを設定します。OpenVPN サーバーは、着信接続ごとにこのディレクトリをスキャンし、クライアント固有の設定ファイルを探します (詳細についてはマニュアルページを参照してください)。このディレクトリ内のファイルは、サーバーを再起動せずに、オンザフライで更新できます。このディレクトリの変更は、既存の接続ではなく、新しい接続にのみ有効になることに注意してください。クライアント固有の設定ファイルの変更を、現在接続中のクライアント (または切断されたが、サーバーがインスタンスオブジェクトをタイムアウトしていないクライアント) にすぐに適用したい場合は、管理インターフェイス (以下で説明) を使用してクライアントインスタンスオブジェクトを強制終了します。これにより、クライアントは再接続し、新しい client-config-dir ファイルを使用します。

Question 2

Fossilの回答はまさに私が必要としていたもので、私はすでにそれを受け入れました。同じ問題を抱えているかもしれない他の人のために、いくつかの情報を追加したいと思います。この質問は以前にserverfaultで尋ねられましたが、回答ではirouteについて何も言及されていませんでした（一例）、またはデッドリンク（これです）

それで...まず、iroute の素晴らしい説明を見つけました (そしてなぜそれが必要なのか)ここしかし、リンクが切れるリスクについては先ほど触れたばかりなので、以下では最も重要なアイデアについても触れてみたいと思います。

カーネルルートだけでは、トラフィックが OpenVPN トンネルを通過するには不十分なようです。OpenVPN クライアントの背後にある LAN にアクセスするには、OpenVPN 内部ルート (iroute) も必要です。これは、server.conf の client-configuration-dir ステートメントを使用し、そのサブディレクトリ内に配置されている構成ファイルに iroute ステートメントを追加することで追加されます。

私の場合は、以下のものも必要でした:

#Inside server.conf
client-configuration-dir my-config-dir

#Inside my-config-dir/client1 (same name as the client!)
#Tell OpenVPN that 192.168.13.0/24 is reachable via client1
iroute 192.168.13.0 255.255.255.0

これにより、興味深い問題も発生します。OpenVPN がカーネルルートのみを使用して動作できない場合、一見すると、ovpn トンネル上でルーティングプロトコルを実行することは不可能であるように見えます。このようなソリューション (ovpn+rip/ospf) を動作させた人はいますか?

Answer