Доступ к локальной сети OpenVPN в Windows 10

Question 1

Как написать статьюсообщество.openvpn.netсостояния:

Далее необходимо настроить маршрут на шлюзе локальной сети на стороне сервера для маршрутизации подсети VPN-клиента (10.8.0.0/24) к серверу OpenVPN (это необходимо только в том случае, еслиСервер OpenVPN и шлюз локальной сети — это разные машины.).

Я считаю, что это решение, но, к сожалению, я не могу его протестировать, так как мой шлюз локальной сети (беспроводной маршрутизатор) не имеет функции включения статических маршрутов на стороне локальной сети.

Думаю, мне придется купить маршрутизатор получше, желательно тот, который оснащен интегрированным OpenVPN. ;)

Answer

Как написать статьюсообщество.openvpn.netсостояния:

Далее необходимо настроить маршрут на шлюзе локальной сети на стороне сервера для маршрутизации подсети VPN-клиента (10.8.0.0/24) к серверу OpenVPN (это необходимо только в том случае, еслиСервер OpenVPN и шлюз локальной сети — это разные машины.).

Я считаю, что это решение, но, к сожалению, я не могу его протестировать, так как мой шлюз локальной сети (беспроводной маршрутизатор) не имеет функции включения статических маршрутов на стороне локальной сети.

Думаю, мне придется купить маршрутизатор получше, желательно тот, который оснащен интегрированным OpenVPN. ;)

Question 2

Ваша проблема заключается в том, что в конфигурации сервера отсутствуют правильные параметры маршрутизации доступа к локальной сети, поэтому я всегда рекомендую уделить время прочтению

OpenVPNКак(~15мин)
OpenVPNСтраница пользователя(~45мин)

openvpn-server.conf

# Pushed Routes #
#---------------------------------------------------
  push                'dhcp-option    DNS 10.1.1.1'
  push                'dhcp-option    WINS 10.1.1.1'

  client-to-client    '1'
    # Each OS deals with parameters differently, so the 1 may need to be specified

Где 10.1.1.1/24находится DNS- и DHCP-сервер, стоящий за VPN, к которому вы хотите получить доступ?

Кроме того, AES-256-CBCэто не требуется, так как AES-128-CBCв настоящее время его невозможно взломать, и это останется таковым в течение нескольких лет... все, что вы делаете, это значительно замедляете пропускную способность без какого-либо повышения безопасности.
- Лучшим вариантом, если вас это беспокоит, было бы изменение rekeyзначений времени и размера.

Общая информация:

Многие просто используют общие конфигурации, найденные в Интернете, однако наибольшую выгоду и лучшую безопасность обеспечивает настройка конфигураций.

Пример настроенной конфигурации

#

        ##::[[---  OpenVPN Server Config  ---]]::##

#===========================================================
              ##----- VPN Admin Server -----##
#===========================================================

  # Protocol #
#-----------------------------------------------------------
  dev                     'tun0'
  topology                'subnet'
  proto                   'udp'
  port                    '61194'

  # Routes #
#-----------------------------------------------------------
  server                  '10.32.2.0 255.255.255.248'
  ifconfig                '10.32.2.1 255.255.255.248'

  # Client Config #
#-----------------------------------------------------------
  ccd-exclusive           '1'
  ifconfig-pool-persist   '/etc/openvpn/clients/vpn/ipp.txt'
  client-config-dir       '/etc/openvpn/clients/vpn'

  # Pushed Routes #
#-----------------------------------------------------------
  push                    'route 192.168.2.0 255.255.255.240'
  push                    'dhcp-option  DNS 192.168.2.1'
  push                    'dhcp-option  WINS 192.168.2.1'
  push                    'dhcp-option  DNS 208.67.222.222'
  push                    'dhcp-option  DNS 208.67.220.220'
  push                    'dhcp-option  NTP 129.6.15.30'

  # Encryption #
#-----------------------------------------------------------
  # Diffie-Hellmann:
  dh                      '/etc/ssl/openvpn/dh2048.pem'

  # PKCS12:
  pkcs12                  '/etc/ssl/openvpn/vpn-server.p12'

  # SSL:
  cipher                  'AES-128-CBC'
  auth                    'SHA512'
  tls-crypt               '/etc/ssl/openvpn/tls-crypt.psk'

  # TLS:
  tls-version-min         '1.2'
  tls-cipher              'TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-128-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256:TLS-ECDH-RSA-WITH-AES-128-GCM-SHA256:!aNULL:!eNULL:!LOW:!3DES:!MD5:!SHA:!EXP:!PSK:!SRP:!DSS:!RC4:!kRSA'

  # Logging #
#-----------------------------------------------------------
  log                     '/tmp/vpn-server.log'
  status                  '/tmp/vpn-server-status.log'
  verb                    '4'

  # Connection Options #
#-----------------------------------------------------------
  keepalive               '10 120'
  compress                'lz4'

  # Connection Reliability #
#-----------------------------------------------------------
  client-to-client        '1'
  persist-key             '1'
  persist-tun             '1'

  # Connection Speed #
#-----------------------------------------------------------
  sndbuf                  '393216'
  rcvbuf                  '393216'
  fragment                '0'
  mssfix                  '0'
  tun-mtu                 '48000'

  # Pushed Buffers #
#-----------------------------------------------------------
  push                    'sndbuf 393216'
  push                    'rcvbuf 393216'

  # Permissions #
#-----------------------------------------------------------
  user                    'nobody'
  group                   'nogroup'

Answer

Ваша проблема заключается в том, что в конфигурации сервера отсутствуют правильные параметры маршрутизации доступа к локальной сети, поэтому я всегда рекомендую уделить время прочтению

OpenVPNКак(~15мин)
OpenVPNСтраница пользователя(~45мин)

openvpn-server.conf

# Pushed Routes #
#---------------------------------------------------
  push                'dhcp-option    DNS 10.1.1.1'
  push                'dhcp-option    WINS 10.1.1.1'

  client-to-client    '1'
    # Each OS deals with parameters differently, so the 1 may need to be specified

Где 10.1.1.1/24находится DNS- и DHCP-сервер, стоящий за VPN, к которому вы хотите получить доступ?

Кроме того, AES-256-CBCэто не требуется, так как AES-128-CBCв настоящее время его невозможно взломать, и это останется таковым в течение нескольких лет... все, что вы делаете, это значительно замедляете пропускную способность без какого-либо повышения безопасности.
- Лучшим вариантом, если вас это беспокоит, было бы изменение rekeyзначений времени и размера.

Общая информация:

Многие просто используют общие конфигурации, найденные в Интернете, однако наибольшую выгоду и лучшую безопасность обеспечивает настройка конфигураций.

Пример настроенной конфигурации

#

        ##::[[---  OpenVPN Server Config  ---]]::##

#===========================================================
              ##----- VPN Admin Server -----##
#===========================================================

  # Protocol #
#-----------------------------------------------------------
  dev                     'tun0'
  topology                'subnet'
  proto                   'udp'
  port                    '61194'

  # Routes #
#-----------------------------------------------------------
  server                  '10.32.2.0 255.255.255.248'
  ifconfig                '10.32.2.1 255.255.255.248'

  # Client Config #
#-----------------------------------------------------------
  ccd-exclusive           '1'
  ifconfig-pool-persist   '/etc/openvpn/clients/vpn/ipp.txt'
  client-config-dir       '/etc/openvpn/clients/vpn'

  # Pushed Routes #
#-----------------------------------------------------------
  push                    'route 192.168.2.0 255.255.255.240'
  push                    'dhcp-option  DNS 192.168.2.1'
  push                    'dhcp-option  WINS 192.168.2.1'
  push                    'dhcp-option  DNS 208.67.222.222'
  push                    'dhcp-option  DNS 208.67.220.220'
  push                    'dhcp-option  NTP 129.6.15.30'

  # Encryption #
#-----------------------------------------------------------
  # Diffie-Hellmann:
  dh                      '/etc/ssl/openvpn/dh2048.pem'

  # PKCS12:
  pkcs12                  '/etc/ssl/openvpn/vpn-server.p12'

  # SSL:
  cipher                  'AES-128-CBC'
  auth                    'SHA512'
  tls-crypt               '/etc/ssl/openvpn/tls-crypt.psk'

  # TLS:
  tls-version-min         '1.2'
  tls-cipher              'TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-128-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256:TLS-ECDH-RSA-WITH-AES-128-GCM-SHA256:!aNULL:!eNULL:!LOW:!3DES:!MD5:!SHA:!EXP:!PSK:!SRP:!DSS:!RC4:!kRSA'

  # Logging #
#-----------------------------------------------------------
  log                     '/tmp/vpn-server.log'
  status                  '/tmp/vpn-server-status.log'
  verb                    '4'

  # Connection Options #
#-----------------------------------------------------------
  keepalive               '10 120'
  compress                'lz4'

  # Connection Reliability #
#-----------------------------------------------------------
  client-to-client        '1'
  persist-key             '1'
  persist-tun             '1'

  # Connection Speed #
#-----------------------------------------------------------
  sndbuf                  '393216'
  rcvbuf                  '393216'
  fragment                '0'
  mssfix                  '0'
  tun-mtu                 '48000'

  # Pushed Buffers #
#-----------------------------------------------------------
  push                    'sndbuf 393216'
  push                    'rcvbuf 393216'

  # Permissions #
#-----------------------------------------------------------
  user                    'nobody'
  group                   'nogroup'

Question 3

Возможно, вы можете попробовать следующий командлет PowerShell (не путать с командной строкой):

New-NetNat -Name "VpnMasq" -InternalIPInterfaceAddressPrefix "10.8.0.0/24"

что, по-видимому, включит NAT (перегрузку) для пакетов указанного исходного префикса.

Он может быть доступен только в Windows 10 Pro/Enterprise, как и Hyper-V, для которого он в основном и предназначен.

Если это не поможет, просто:

Remove-NetNat -Name "VpnMasq"

Но перед этим вы должны убедиться, что можете пинговать (или, скорее, достучаться) от сервера к клиентам через туннель. Я не знаю, как это net30работает (топология OpenVPN по умолчанию), и subnetтопология может быть проще и в любом случае больше подходить для вашего варианта использования. Поэтому добавьте строку:

topology subnet

перед serverстрокой. Тогда клиентский IP с обеих сторон POV должен быть одинаковым.

Обратите внимание, что при subnetиспользовании топологии возможность доступа клиентов друг к другу (но не к локальной сети друг друга) зависит от того, разрешает ли сервер пересылать пакеты из туннеля обратно в туннель, если , client-to-clientне используется в конфигурации сервера.

Answer

Возможно, вы можете попробовать следующий командлет PowerShell (не путать с командной строкой):

New-NetNat -Name "VpnMasq" -InternalIPInterfaceAddressPrefix "10.8.0.0/24"

что, по-видимому, включит NAT (перегрузку) для пакетов указанного исходного префикса.

Он может быть доступен только в Windows 10 Pro/Enterprise, как и Hyper-V, для которого он в основном и предназначен.

Если это не поможет, просто:

Remove-NetNat -Name "VpnMasq"

Но перед этим вы должны убедиться, что можете пинговать (или, скорее, достучаться) от сервера к клиентам через туннель. Я не знаю, как это net30работает (топология OpenVPN по умолчанию), и subnetтопология может быть проще и в любом случае больше подходить для вашего варианта использования. Поэтому добавьте строку:

topology subnet

перед serverстрокой. Тогда клиентский IP с обеих сторон POV должен быть одинаковым.

Обратите внимание, что при subnetиспользовании топологии возможность доступа клиентов друг к другу (но не к локальной сети друг друга) зависит от того, разрешает ли сервер пересылать пакеты из туннеля обратно в туннель, если , client-to-clientне используется в конфигурации сервера.

Доступ к локальной сети OpenVPN в Windows 10

решение1

решение2

решение3

Связанный контент