Acceso LAN OpenVPN en Windows 10

Question 1

Cómo escribir un artículo encomunidad.openvpn.netestados:

A continuación, debe configurar una ruta en la puerta de enlace LAN del lado del servidor para enrutar la subred del cliente VPN (10.8.0.0/24) al servidor OpenVPN (esto solo es necesario si elEl servidor OpenVPN y la puerta de enlace LAN son máquinas diferentes).

Creo que esta es la solución, pero desafortunadamente no puedo probarla porque mi puerta de enlace LAN (enrutador inalámbrico) no tiene funcionalidad para habilitar rutas estáticas del lado LAN.

Supongo que tengo que comprar un enrutador mejor, preferiblemente uno que venga con OpenVPN integrado. ;)

Answer

Cómo escribir un artículo encomunidad.openvpn.netestados:

A continuación, debe configurar una ruta en la puerta de enlace LAN del lado del servidor para enrutar la subred del cliente VPN (10.8.0.0/24) al servidor OpenVPN (esto solo es necesario si elEl servidor OpenVPN y la puerta de enlace LAN son máquinas diferentes).

Creo que esta es la solución, pero desafortunadamente no puedo probarla porque mi puerta de enlace LAN (enrutador inalámbrico) no tiene funcionalidad para habilitar rutas estáticas del lado LAN.

Supongo que tengo que comprar un enrutador mejor, preferiblemente uno que venga con OpenVPN integrado. ;)

Question 2

Su problema es que a la configuración del servidor le faltan las opciones correctas para el enrutamiento de acceso a LAN, por lo que siempre recomiendo tomarse el tiempo para leer el

OpenVPNCómo(~15 minutos)
OpenVPNPágina de manual(~45 minutos)

openvpn-server.conf

# Pushed Routes #
#---------------------------------------------------
  push                'dhcp-option    DNS 10.1.1.1'
  push                'dhcp-option    WINS 10.1.1.1'

  client-to-client    '1'
    # Each OS deals with parameters differently, so the 1 may need to be specified

¿Dónde 10.1.1.1/24está el servidor DNS y DHCP detrás de la VPN a la que desea acceder?

Además, AES-256-CBCno es necesario, ya AES-128-CBCque actualmente no se puede descifrar y seguirá siéndolo durante varios años... todo lo que está haciendo es ralentizar enormemente el rendimiento sin mejoras de seguridad.
- Una mejor opción, si le preocupa, sería cambiar los rekeyvalores de tiempo y tamaño.

Para su información general:

Muchos simplemente usan las configuraciones genéricas que se encuentran en línea; sin embargo, el mayor beneficio y la mejor seguridad provienen del ajuste de las configuraciones.

Ejemplo de configuración optimizada

#

        ##::[[---  OpenVPN Server Config  ---]]::##

#===========================================================
              ##----- VPN Admin Server -----##
#===========================================================

  # Protocol #
#-----------------------------------------------------------
  dev                     'tun0'
  topology                'subnet'
  proto                   'udp'
  port                    '61194'

  # Routes #
#-----------------------------------------------------------
  server                  '10.32.2.0 255.255.255.248'
  ifconfig                '10.32.2.1 255.255.255.248'

  # Client Config #
#-----------------------------------------------------------
  ccd-exclusive           '1'
  ifconfig-pool-persist   '/etc/openvpn/clients/vpn/ipp.txt'
  client-config-dir       '/etc/openvpn/clients/vpn'

  # Pushed Routes #
#-----------------------------------------------------------
  push                    'route 192.168.2.0 255.255.255.240'
  push                    'dhcp-option  DNS 192.168.2.1'
  push                    'dhcp-option  WINS 192.168.2.1'
  push                    'dhcp-option  DNS 208.67.222.222'
  push                    'dhcp-option  DNS 208.67.220.220'
  push                    'dhcp-option  NTP 129.6.15.30'

  # Encryption #
#-----------------------------------------------------------
  # Diffie-Hellmann:
  dh                      '/etc/ssl/openvpn/dh2048.pem'

  # PKCS12:
  pkcs12                  '/etc/ssl/openvpn/vpn-server.p12'

  # SSL:
  cipher                  'AES-128-CBC'
  auth                    'SHA512'
  tls-crypt               '/etc/ssl/openvpn/tls-crypt.psk'

  # TLS:
  tls-version-min         '1.2'
  tls-cipher              'TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-128-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256:TLS-ECDH-RSA-WITH-AES-128-GCM-SHA256:!aNULL:!eNULL:!LOW:!3DES:!MD5:!SHA:!EXP:!PSK:!SRP:!DSS:!RC4:!kRSA'

  # Logging #
#-----------------------------------------------------------
  log                     '/tmp/vpn-server.log'
  status                  '/tmp/vpn-server-status.log'
  verb                    '4'

  # Connection Options #
#-----------------------------------------------------------
  keepalive               '10 120'
  compress                'lz4'

  # Connection Reliability #
#-----------------------------------------------------------
  client-to-client        '1'
  persist-key             '1'
  persist-tun             '1'

  # Connection Speed #
#-----------------------------------------------------------
  sndbuf                  '393216'
  rcvbuf                  '393216'
  fragment                '0'
  mssfix                  '0'
  tun-mtu                 '48000'

  # Pushed Buffers #
#-----------------------------------------------------------
  push                    'sndbuf 393216'
  push                    'rcvbuf 393216'

  # Permissions #
#-----------------------------------------------------------
  user                    'nobody'
  group                   'nogroup'

Answer

Su problema es que a la configuración del servidor le faltan las opciones correctas para el enrutamiento de acceso a LAN, por lo que siempre recomiendo tomarse el tiempo para leer el

OpenVPNCómo(~15 minutos)
OpenVPNPágina de manual(~45 minutos)

openvpn-server.conf

# Pushed Routes #
#---------------------------------------------------
  push                'dhcp-option    DNS 10.1.1.1'
  push                'dhcp-option    WINS 10.1.1.1'

  client-to-client    '1'
    # Each OS deals with parameters differently, so the 1 may need to be specified

¿Dónde 10.1.1.1/24está el servidor DNS y DHCP detrás de la VPN a la que desea acceder?

Además, AES-256-CBCno es necesario, ya AES-128-CBCque actualmente no se puede descifrar y seguirá siéndolo durante varios años... todo lo que está haciendo es ralentizar enormemente el rendimiento sin mejoras de seguridad.
- Una mejor opción, si le preocupa, sería cambiar los rekeyvalores de tiempo y tamaño.

Para su información general:

Muchos simplemente usan las configuraciones genéricas que se encuentran en línea; sin embargo, el mayor beneficio y la mejor seguridad provienen del ajuste de las configuraciones.

Ejemplo de configuración optimizada

#

        ##::[[---  OpenVPN Server Config  ---]]::##

#===========================================================
              ##----- VPN Admin Server -----##
#===========================================================

  # Protocol #
#-----------------------------------------------------------
  dev                     'tun0'
  topology                'subnet'
  proto                   'udp'
  port                    '61194'

  # Routes #
#-----------------------------------------------------------
  server                  '10.32.2.0 255.255.255.248'
  ifconfig                '10.32.2.1 255.255.255.248'

  # Client Config #
#-----------------------------------------------------------
  ccd-exclusive           '1'
  ifconfig-pool-persist   '/etc/openvpn/clients/vpn/ipp.txt'
  client-config-dir       '/etc/openvpn/clients/vpn'

  # Pushed Routes #
#-----------------------------------------------------------
  push                    'route 192.168.2.0 255.255.255.240'
  push                    'dhcp-option  DNS 192.168.2.1'
  push                    'dhcp-option  WINS 192.168.2.1'
  push                    'dhcp-option  DNS 208.67.222.222'
  push                    'dhcp-option  DNS 208.67.220.220'
  push                    'dhcp-option  NTP 129.6.15.30'

  # Encryption #
#-----------------------------------------------------------
  # Diffie-Hellmann:
  dh                      '/etc/ssl/openvpn/dh2048.pem'

  # PKCS12:
  pkcs12                  '/etc/ssl/openvpn/vpn-server.p12'

  # SSL:
  cipher                  'AES-128-CBC'
  auth                    'SHA512'
  tls-crypt               '/etc/ssl/openvpn/tls-crypt.psk'

  # TLS:
  tls-version-min         '1.2'
  tls-cipher              'TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-128-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256:TLS-ECDH-RSA-WITH-AES-128-GCM-SHA256:!aNULL:!eNULL:!LOW:!3DES:!MD5:!SHA:!EXP:!PSK:!SRP:!DSS:!RC4:!kRSA'

  # Logging #
#-----------------------------------------------------------
  log                     '/tmp/vpn-server.log'
  status                  '/tmp/vpn-server-status.log'
  verb                    '4'

  # Connection Options #
#-----------------------------------------------------------
  keepalive               '10 120'
  compress                'lz4'

  # Connection Reliability #
#-----------------------------------------------------------
  client-to-client        '1'
  persist-key             '1'
  persist-tun             '1'

  # Connection Speed #
#-----------------------------------------------------------
  sndbuf                  '393216'
  rcvbuf                  '393216'
  fragment                '0'
  mssfix                  '0'
  tun-mtu                 '48000'

  # Pushed Buffers #
#-----------------------------------------------------------
  push                    'sndbuf 393216'
  push                    'rcvbuf 393216'

  # Permissions #
#-----------------------------------------------------------
  user                    'nobody'
  group                   'nogroup'

Question 3

Quizás puedas probar el siguiente cmdlet de PowerShell (no mezclar con el símbolo del sistema):

New-NetNat -Name "VpnMasq" -InternalIPInterfaceAddressPrefix "10.8.0.0/24"

lo que aparentemente habilitaría NAT (sobrecarga) para paquetes del prefijo de origen especificado.

Es posible que sólo esté disponible en Windows 10 Pro/Enterprise como Hyper-V, para el que sirve principalmente.

Si no ayuda simplemente:

Remove-NetNat -Name "VpnMasq"

Pero antes de eso, debes asegurarte de que puedes hacer ping (o, más bien, llegar) desde el servidor a los clientes a través del túnel. No estoy familiarizado con cómo net30funciona (la topología predeterminada de OpenVPN), y la subnettopología podría ser más simple y adaptarse más a su caso de uso de todos modos. Entonces agrega la línea:

topology subnet

antes de la serverlínea. Entonces la IP del cliente de ambos lados del POV debería ser la misma.

Tenga en cuenta que con la subnettopología utilizada, el hecho de que los clientes puedan comunicarse entre sí (aunque no con la LAN de cada uno) depende de si el servidor permite que los paquetes del túnel se reenvíen al túnel cuando client-to-clientno se usa en la configuración del servidor.

Answer

Quizás puedas probar el siguiente cmdlet de PowerShell (no mezclar con el símbolo del sistema):

New-NetNat -Name "VpnMasq" -InternalIPInterfaceAddressPrefix "10.8.0.0/24"

lo que aparentemente habilitaría NAT (sobrecarga) para paquetes del prefijo de origen especificado.

Es posible que sólo esté disponible en Windows 10 Pro/Enterprise como Hyper-V, para el que sirve principalmente.

Si no ayuda simplemente:

Remove-NetNat -Name "VpnMasq"

Pero antes de eso, debes asegurarte de que puedes hacer ping (o, más bien, llegar) desde el servidor a los clientes a través del túnel. No estoy familiarizado con cómo net30funciona (la topología predeterminada de OpenVPN), y la subnettopología podría ser más simple y adaptarse más a su caso de uso de todos modos. Entonces agrega la línea:

topology subnet

antes de la serverlínea. Entonces la IP del cliente de ambos lados del POV debería ser la misma.

Tenga en cuenta que con la subnettopología utilizada, el hecho de que los clientes puedan comunicarse entre sí (aunque no con la LAN de cada uno) depende de si el servidor permite que los paquetes del túnel se reenvíen al túnel cuando client-to-clientno se usa en la configuración del servidor.

Acceso LAN OpenVPN en Windows 10

Respuesta1

Respuesta2

Respuesta3

información relacionada