Acesso LAN OpenVPN no Windows 10

Question 1

Como publicar um artigocomunidade.openvpn.netafirma:

Em seguida, você deve configurar uma rota no gateway LAN do lado do servidor para rotear a sub-rede do cliente VPN (10.8.0.0/24) para o servidor OpenVPN (isso só é necessário se oO servidor OpenVPN e o gateway LAN são máquinas diferentes).

Acredito que esta seja a solução, mas infelizmente não posso testá-la porque meu gateway LAN (roteador sem fio) não tem funcionalidade para ativar rotas estáticas do lado da LAN.

Acho que tenho que comprar um roteador melhor, de preferência um que venha com OpenVPN integrado. ;)

Answer

Como publicar um artigocomunidade.openvpn.netafirma:

Em seguida, você deve configurar uma rota no gateway LAN do lado do servidor para rotear a sub-rede do cliente VPN (10.8.0.0/24) para o servidor OpenVPN (isso só é necessário se oO servidor OpenVPN e o gateway LAN são máquinas diferentes).

Acredito que esta seja a solução, mas infelizmente não posso testá-la porque meu gateway LAN (roteador sem fio) não tem funcionalidade para ativar rotas estáticas do lado da LAN.

Acho que tenho que comprar um roteador melhor, de preferência um que venha com OpenVPN integrado. ;)

Question 2

Seu problema é que a configuração do servidor não contém as opções corretas para roteamento de acesso à LAN, e é por isso que eu sempre recomendo reservar um tempo para ler o

OpenVPNComo(~15min)
OpenVPNPágina de manual(~45min)

openvpn-server.conf

# Pushed Routes #
#---------------------------------------------------
  push                'dhcp-option    DNS 10.1.1.1'
  push                'dhcp-option    WINS 10.1.1.1'

  client-to-client    '1'
    # Each OS deals with parameters differently, so the 1 may need to be specified

Onde 10.1.1.1/24está o servidor DNS e DHCP por trás da VPN que você deseja acessar

Além disso, AES-256-CBCnão é necessário, pois AES-128-CBCatualmente é indecifrável e permanecerá assim por vários anos... tudo o que você está fazendo é diminuir enormemente o rendimento sem ganhos de segurança.
- Uma opção melhor, se for o caso, seria alterar os rekeyvalores de tempo e tamanho

Informações gerais:

Muitos simplesmente usam as configurações genéricas encontradas online; no entanto, o maior benefício e a melhor segurança vêm do ajuste das configurações.

Exemplo de configuração ajustada

#

        ##::[[---  OpenVPN Server Config  ---]]::##

#===========================================================
              ##----- VPN Admin Server -----##
#===========================================================

  # Protocol #
#-----------------------------------------------------------
  dev                     'tun0'
  topology                'subnet'
  proto                   'udp'
  port                    '61194'

  # Routes #
#-----------------------------------------------------------
  server                  '10.32.2.0 255.255.255.248'
  ifconfig                '10.32.2.1 255.255.255.248'

  # Client Config #
#-----------------------------------------------------------
  ccd-exclusive           '1'
  ifconfig-pool-persist   '/etc/openvpn/clients/vpn/ipp.txt'
  client-config-dir       '/etc/openvpn/clients/vpn'

  # Pushed Routes #
#-----------------------------------------------------------
  push                    'route 192.168.2.0 255.255.255.240'
  push                    'dhcp-option  DNS 192.168.2.1'
  push                    'dhcp-option  WINS 192.168.2.1'
  push                    'dhcp-option  DNS 208.67.222.222'
  push                    'dhcp-option  DNS 208.67.220.220'
  push                    'dhcp-option  NTP 129.6.15.30'

  # Encryption #
#-----------------------------------------------------------
  # Diffie-Hellmann:
  dh                      '/etc/ssl/openvpn/dh2048.pem'

  # PKCS12:
  pkcs12                  '/etc/ssl/openvpn/vpn-server.p12'

  # SSL:
  cipher                  'AES-128-CBC'
  auth                    'SHA512'
  tls-crypt               '/etc/ssl/openvpn/tls-crypt.psk'

  # TLS:
  tls-version-min         '1.2'
  tls-cipher              'TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-128-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256:TLS-ECDH-RSA-WITH-AES-128-GCM-SHA256:!aNULL:!eNULL:!LOW:!3DES:!MD5:!SHA:!EXP:!PSK:!SRP:!DSS:!RC4:!kRSA'

  # Logging #
#-----------------------------------------------------------
  log                     '/tmp/vpn-server.log'
  status                  '/tmp/vpn-server-status.log'
  verb                    '4'

  # Connection Options #
#-----------------------------------------------------------
  keepalive               '10 120'
  compress                'lz4'

  # Connection Reliability #
#-----------------------------------------------------------
  client-to-client        '1'
  persist-key             '1'
  persist-tun             '1'

  # Connection Speed #
#-----------------------------------------------------------
  sndbuf                  '393216'
  rcvbuf                  '393216'
  fragment                '0'
  mssfix                  '0'
  tun-mtu                 '48000'

  # Pushed Buffers #
#-----------------------------------------------------------
  push                    'sndbuf 393216'
  push                    'rcvbuf 393216'

  # Permissions #
#-----------------------------------------------------------
  user                    'nobody'
  group                   'nogroup'

Answer

Seu problema é que a configuração do servidor não contém as opções corretas para roteamento de acesso à LAN, e é por isso que eu sempre recomendo reservar um tempo para ler o

OpenVPNComo(~15min)
OpenVPNPágina de manual(~45min)

openvpn-server.conf

# Pushed Routes #
#---------------------------------------------------
  push                'dhcp-option    DNS 10.1.1.1'
  push                'dhcp-option    WINS 10.1.1.1'

  client-to-client    '1'
    # Each OS deals with parameters differently, so the 1 may need to be specified

Onde 10.1.1.1/24está o servidor DNS e DHCP por trás da VPN que você deseja acessar

Além disso, AES-256-CBCnão é necessário, pois AES-128-CBCatualmente é indecifrável e permanecerá assim por vários anos... tudo o que você está fazendo é diminuir enormemente o rendimento sem ganhos de segurança.
- Uma opção melhor, se for o caso, seria alterar os rekeyvalores de tempo e tamanho

Informações gerais:

Muitos simplesmente usam as configurações genéricas encontradas online; no entanto, o maior benefício e a melhor segurança vêm do ajuste das configurações.

Exemplo de configuração ajustada

#

        ##::[[---  OpenVPN Server Config  ---]]::##

#===========================================================
              ##----- VPN Admin Server -----##
#===========================================================

  # Protocol #
#-----------------------------------------------------------
  dev                     'tun0'
  topology                'subnet'
  proto                   'udp'
  port                    '61194'

  # Routes #
#-----------------------------------------------------------
  server                  '10.32.2.0 255.255.255.248'
  ifconfig                '10.32.2.1 255.255.255.248'

  # Client Config #
#-----------------------------------------------------------
  ccd-exclusive           '1'
  ifconfig-pool-persist   '/etc/openvpn/clients/vpn/ipp.txt'
  client-config-dir       '/etc/openvpn/clients/vpn'

  # Pushed Routes #
#-----------------------------------------------------------
  push                    'route 192.168.2.0 255.255.255.240'
  push                    'dhcp-option  DNS 192.168.2.1'
  push                    'dhcp-option  WINS 192.168.2.1'
  push                    'dhcp-option  DNS 208.67.222.222'
  push                    'dhcp-option  DNS 208.67.220.220'
  push                    'dhcp-option  NTP 129.6.15.30'

  # Encryption #
#-----------------------------------------------------------
  # Diffie-Hellmann:
  dh                      '/etc/ssl/openvpn/dh2048.pem'

  # PKCS12:
  pkcs12                  '/etc/ssl/openvpn/vpn-server.p12'

  # SSL:
  cipher                  'AES-128-CBC'
  auth                    'SHA512'
  tls-crypt               '/etc/ssl/openvpn/tls-crypt.psk'

  # TLS:
  tls-version-min         '1.2'
  tls-cipher              'TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-128-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256:TLS-ECDH-RSA-WITH-AES-128-GCM-SHA256:!aNULL:!eNULL:!LOW:!3DES:!MD5:!SHA:!EXP:!PSK:!SRP:!DSS:!RC4:!kRSA'

  # Logging #
#-----------------------------------------------------------
  log                     '/tmp/vpn-server.log'
  status                  '/tmp/vpn-server-status.log'
  verb                    '4'

  # Connection Options #
#-----------------------------------------------------------
  keepalive               '10 120'
  compress                'lz4'

  # Connection Reliability #
#-----------------------------------------------------------
  client-to-client        '1'
  persist-key             '1'
  persist-tun             '1'

  # Connection Speed #
#-----------------------------------------------------------
  sndbuf                  '393216'
  rcvbuf                  '393216'
  fragment                '0'
  mssfix                  '0'
  tun-mtu                 '48000'

  # Pushed Buffers #
#-----------------------------------------------------------
  push                    'sndbuf 393216'
  push                    'rcvbuf 393216'

  # Permissions #
#-----------------------------------------------------------
  user                    'nobody'
  group                   'nogroup'

Question 3

Talvez você possa tentar o seguinte cmdlet do PowerShell (não confunda com o prompt de comando):

New-NetNat -Name "VpnMasq" -InternalIPInterfaceAddressPrefix "10.8.0.0/24"

o que aparentemente permitiria NAT (sobrecarga) para pacotes do prefixo de origem especificado.

Pode estar disponível apenas no Windows 10 Pro/Enterprise como o Hyper-V, que serve principalmente.

Se não ajudar apenas:

Remove-NetNat -Name "VpnMasq"

Mas antes disso você deve certificar-se de que pode executar ping (ou melhor, acessar) do servidor para os clientes através do túnel. Não estou familiarizado com o net30funcionamento (a topologia padrão do OpenVPN), e a subnettopologia pode ser mais simples e adequada ao seu caso de uso de qualquer maneira. Então adicione a linha:

topology subnet

antes da serverlinha. Então o IP do cliente de ambos os lados do POV deve ser o mesmo.

Observe que, com a subnettopologia sendo usada, se os clientes podem alcançar um ao outro (embora não a LAN um do outro) depende se o servidor permite que pacotes do túnel sejam encaminhados de volta para o túnel quando client-to-clientnão é usado na configuração do servidor.

Answer

Talvez você possa tentar o seguinte cmdlet do PowerShell (não confunda com o prompt de comando):

New-NetNat -Name "VpnMasq" -InternalIPInterfaceAddressPrefix "10.8.0.0/24"

o que aparentemente permitiria NAT (sobrecarga) para pacotes do prefixo de origem especificado.

Pode estar disponível apenas no Windows 10 Pro/Enterprise como o Hyper-V, que serve principalmente.

Se não ajudar apenas:

Remove-NetNat -Name "VpnMasq"

Mas antes disso você deve certificar-se de que pode executar ping (ou melhor, acessar) do servidor para os clientes através do túnel. Não estou familiarizado com o net30funcionamento (a topologia padrão do OpenVPN), e a subnettopologia pode ser mais simples e adequada ao seu caso de uso de qualquer maneira. Então adicione a linha:

topology subnet

antes da serverlinha. Então o IP do cliente de ambos os lados do POV deve ser o mesmo.

Observe que, com a subnettopologia sendo usada, se os clientes podem alcançar um ao outro (embora não a LAN um do outro) depende se o servidor permite que pacotes do túnel sejam encaminhados de volta para o túnel quando client-to-clientnão é usado na configuração do servidor.

Acesso LAN OpenVPN no Windows 10

Responder1

Responder2

Responder3

informação relacionada