Ich versuche, mit der OpenVPN Community Edition einen Split-Tunnel zu erstellen.
Ich möchte dies auf dem Server statt auf dem Client tun, damit ich bei Bedarf problemlos Routen hinzufügen und entfernen kann. Dies ist auf Ubuntu 20.04
Meine aktuelle (nicht geteilte Tunnelkonfiguration) funktioniert einwandfrei:
port 1194
proto udp
dev tun
user nobody
group nogroup
persist-key
persist-tun
keepalive 10 120
topology subnet
server 10.8.0.0 255.255.0.0
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
push "redirect-gateway def1 bypass-dhcp"
dh none
ecdh-curve prime256v1
tls-crypt tls-crypt.key
crl-verify crl.pem
ca ca.crt
cert server_sdafasdf.crt
key server_sdafasdf.key
auth SHA256
cipher AES-128-GCM
ncp-ciphers AES-128-GCM
tls-server
tls-version-min 1.2
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256
client-config-dir /etc/openvpn/ccd
status /var/log/openvpn/status.log
log-append /var/log/openvpn/auth.log
plugin /usr/lib/openvpn/openvpn-auth-ldap.so /etc/openvpn/auth-ldap.conf
verify-client-cert optional
verb 3
Hier ist meine Split-Tunnel-Konfiguration, die nicht funktioniert. BEARBEITEN: Ich kann 8.8.8.8 anpingen, aber es scheint, als ob DNS mit dieser Konfiguration nicht funktioniert.
port 1194
proto udp
dev tun
user nobody
group nogroup
persist-key
persist-tun
keepalive 10 120
topology subnet
server 10.8.0.0 255.255.0.0
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
#push "redirect-gateway def1 bypass-dhcp"
push "route XX.XX.XX.0 255.255.255.0" #anonymized
dh none
ecdh-curve prime256v1
tls-crypt tls-crypt.key
crl-verify crl.pem
ca ca.crt
cert server_sdafasdf.crt
key server_sdafasdf.key
auth SHA256
cipher AES-128-GCM
ncp-ciphers AES-128-GCM
tls-server
tls-version-min 1.2
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256
client-config-dir /etc/openvpn/ccd
status /var/log/openvpn/status.log
log-append /var/log/openvpn/auth.log
plugin /usr/lib/openvpn/openvpn-auth-ldap.so /etc/openvpn/auth-ldap.conf
verify-client-cert optional
verb 3
Client-Konfiguration:
client
proto udp
explicit-exit-notify
remote XX.XX.XX.XX 1194 #anonymized
dev tun
resolv-retry infinite
pull
nobind
persist-key
persist-tun
remote-cert-tls server
verify-x509-name server_sdafasdf name
auth SHA256
auth-nocache
cipher AES-128-GCM
tls-client
tls-version-min 1.2
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256
ignore-unknown-option block-outside-dns
setenv opt block-outside-dns # Prevent Windows 10 DNS leak
verb 3
register-dns
auth-user-pass
Antwort1
Ich habe das gelöst.
Ich musste die DNS-Routen pushen.
push "route 8.8.4.4 255.255.255.255"
Das ist wegen
setenv opt block-outside-dns
Unter Windows erledigt block-outside-dns genau das. Daher ist eine Route erforderlich.
Antwort2
Ihre Konfiguration unterscheidet sich nur unwesentlich von meiner und alles funktioniert einwandfrei mit starkem „Route Push“ in meiner Konfiguration, sowohl bei öffentlichen als auch privaten IPs. Könnte es sein, dass etwas anderes in Ihrer Netzwerktopologie/-konfiguration (Firewalls, Routen usw.) Sie daran hindert, auf die von Ihnen angegebenen Routen zuzugreifen?