Ahoj všichni!
Vím, že pro nastavení OpenVPN bylo vytvořeno mnoho materiálů. Nicméně jsem narazil na to, že systematické informace k tématu v podstatě neexistují, a rozhodl jsem se podělit o své zkušenosti především s těmi, kteří nejsou experty na administraci OpenVPN, ale chtěli by dosáhnout připojení vzdálených podsítí typu site-to-site na NAS Synology. Také si tím udělám poznámku pro sebe.
Takže. Mám NAS Synology DS918+ s nainstalovaným balíčkem VPN Server, nastaveným OpenVPN a uživateli, kteří se mohou připojovat k VPN serveru. Nebudu se rozepisovat o podrobnostech nastavení serveru v rozhraní DSM (webový portál NAS serveru). Tyto informace jsou k dispozici na webu výrobce.
Problém je v tom, že rozhraní DSM (k datu publikace verze 6.2.3) má omezený počet nastavení pro správu OpenVPN serveru. V našem případě je požadována schéma připojení typu site-to-site, tj. hostitelé podsítě klienta VPN by měli vidět hostitele podsítě VPN serveru a naopak. Standardní nastavení, která jsou k dispozici na NAS, umožňují nastavit přístup pouze od hostitelů podsítě klienta VPN k hostitelům podsítě serveru VPN.
Pro nastavení přístupu k podsítím klientů VPN z podsítě VPN serveru bude potřeba přihlásit se na NAS přes SSH a ručně upravit konfigurační soubor OpenVPN serveru.
Pro úpravu souborů na NAS přes SSH se mi lépe používá Midnight Commander. K tomu jsem v Centru balíčků připojil zdroj a nainstaloval balíček Midnight Commander.
Přihlašujeme se přes SSH na NAS s účtem s administrátorskými právy.
Zadáváme sudo su a ještě jednou uvádíme heslo administrátora:
Zadáváme příkaz mc a spouštíme Midnight Commander:
Poté přecházíme do adresáře /var/packages/VPNCenter/etc/openvpn/ a hledáme soubor openvpn.conf:
Pro úkol potřebujeme připojit 2 vzdálené podsítě. K tomu vytvoříme přes DSM 2 účty na NAS s omezenými právy na všechny služby NAS a udělíme přístup pouze na VPN připojení v nastavení VPN Serveru. Pro každého klienta musíme nastavit statickou IP přidělenou VPN serverem a směrování přes tuto IP pro provoz z podsítě VPN serveru na podsíť VPN klienta.
Výchozí údaje:
Podsíť VPN serveru: 192.168.1.0/24.
Rozsah adres OpenVPN serveru 10.8.0.0/24. Samotný OpenVPN server získává adresu 10.8.0.1.
Podsíť VPN klienta 1 (uživatel VPN): 192.168.10.0/24, by měl získat na OpenVPN serveru statickou adresu 10.8.0.5.
VPN klienta 2 (uživatel VPN-GUST): 192.168.5.0/24 by měl na OpenVPN serveru přijímat statickou adresu 10.8.0.4
V katalogu se nastavením vytvoříme složku ccd a v ní vytvoříme soubory s názvy odpovídajícími uživatelským jménům.
Pro uživatele VPN v souboru specifikujeme následující nastavení:
Pro uživatele VPN-GUST v souboru specifikujeme následující:
Zbývá jen doladit konfiguraci OpenVPN serveru – přidat parametr pro čtení nastavení klientů a přidat routování na podsítě klientů:
Na uvedeném screenshotu se prvních 2 řádků konfigurace nastavuje pomocí rozhraní DSM (výběrem možnosti „Umožnit klientům přístup k místní síti serveru“ v nastavení OpenVPN serveru).
Řádek client-config-dir ccd ukazuje, že nastavení klientů se nachází ve složce ccd.
Dále 2 řádky nastavení přidávají routy na podsítě klientů prostřednictvím odpovídajících OpenVPN brán.
A nakonec je pro správnou funkci nezbytné použít topologii subnet.
Všechny ostatní nastavení v souboru necháváme nedotčena.
Po zadání nastavení nezapomeňte restartovat službu VPN Server v správci balíčků. Na hostitelích nebo bráně pro hostitele podsítě serveru je třeba napsat routy na podsítě klientů přes NAS.
V mém případě byla bránou pro všechny hostitele podsítě, ve které se nachází NAS (jeho IP 192.168.1.3), router (192.168.1.1). Na tomto routeru jsem přidal do statické tabulky směrování záznamy pro sítě 192.168.5.0/24 a 192.168.10.0/24 s bránou 192.168.1.3 (NAS).
Nezapomeňte, že při zapnutém firewallu na NAS bude třeba to také nastavit. Na klientské straně může být zapnutý firewall, který také bude nutné nakonfigurovat.
P.S. Nejsem profesionál v síťových technologiích a zejména v práci s OpenVPN, jen se dělím o své zkušenosti a zveřejňuji nastavení, která jsem udělal, což umožnilo nastavit spojení mezi podsítěmi typu site-to-site. Možná existuje jednodušší a/nebo správnější nastavení, budu vděčný, pokud se podělíte o zkušenosti v komentářích.
Zdroj: habr.com
