Mindenkinek szia!
Tudom, hogy az OpenVPN-be sok beállítást készítettek. Azonban én magam is azzal szembesültam, hogy a címhez kapcsolódóan lényegében nincsen rendszerezett információ, így úgy döntöttem, hogy megosztom a tapasztalataimat elsősorban azokkal, akik nem guru az OpenVPN adminisztrációjában, de szeretnének távoli alhálózatokat csatlakoztatni site-to-site típusú kapcsolatban a NAS Synology-on. Emellett magamnak is emlékeztetőként szeretnék egy jegyzetet hagyni.
Tehát. Van egy NAS Synology DS918+ telepített VPN Serverrel, OpenVPN beállítva, és olyan felhasználókkal, akik csatlakozhatnak a VPN szerverhez. Nem mélyednék el a szerver beállításainak részleteibe a DSM interfészen (a NAS szerver webportálján). Az információk a gyártó weboldalán elérhetők.
A probléma az, hogy a DSM interfész (a közzététel időpontjában a 6.2.3 verzió) korlátozott számú beállítást kínál az OpenVPN szerver kezeléséhez. Az esetünkben site-to-site típusú kapcsolatra van szükség, azaz a VPN kliens alhálózatának gépeinek látnia kell a VPN szerver alhálózatának gépeit, és fordítva. A NAS-on elérhető alapbeállítások csak a VPN kliens alhálózat gépeinek hozzáférését teszik lehetővé a VPN szerver alhálózat gépeihez.
A VPN kliens alhálózatokhoz való hozzáférés beállításához a VPN szerver alhálózatból be kell lépnünk a NAS-ra SSH-n keresztül, és manuálisan be kell állítanunk az OpenVPN szerver konfigurációs fájlját.
A fájlok szerkesztéséhez a NAS-on SSH-n keresztül számomra kényelmesebb a Midnight Commander használata. Ehhez a Csomagközpontban hozzáadtam a forrást és telepítettem a Midnight Commander csomagot.
Lépjünk be SSH-n a NAS-ra egy adminisztrátori jogosultságokkal rendelkező fiókkal.
Írjuk be a sudo su parancsot, és ismét meg kell adnunk az adminisztrátor jelszavát:
Írjuk be a mc parancsot, és indítsuk el a Midnight Commandert:
Ezután navigáljunk a /var/packages/VPNCenter/etc/openvpn/ könyvtárba, és keressük meg az openvpn.conf fájlt:
A feladatunk az, hogy két távoli alhálózatot csatlakoztassunk. Ehhez a DSM-en keresztül létrehozunk 2 fiókot a NAS-on korlátozott jogosultságokkal minden NAS szolgáltatásra, és csak VPN csatlakozást engedünk meg a VPN Szerver beállításainál. Minden kliens esetében statikus IP-t kell beállítanunk, amelyet a VPN szerver oszt ki, és az IP-n keresztül kell a VPN szerver alhálózatforgalmát a VPN kliens alhálózatára irányítani.
Bemeneti adatok:
A VPN szerver alhálózata: 192.168.1.0/24.
Az OpenVPN szerver címtartománya 10.8.0.0/24. Maga az OpenVPN szerver a 10.8.0.1 címet kapja.
Az 1. VPN kliens alhálózata (VPN felhasználó): 192.168.10.0/24, amelynek statikus címet kell kapnia a 10.8.0.5 OpenVPN szerveren.
A VPN subnet for the client 2 (user VPN-GUST): 192.168.5.0/24, must receive a static address of 10.8.0.4 on the OpenVPN server.
In the settings directory, create a folder named ccd and create configuration files within it named according to the users' logins.
For the VPN user, the following settings are specified in the file:
For the VPN-GUST user, the following is specified in the file:
It remains only to fine-tune the OpenVPN server configuration — add a parameter to read client settings and add routes to client subnets:
In the provided screenshot, the first 2 lines of the config are configured using the DSM interface (by enabling the 'Allow clients to access the server's local network' option in the OpenVPN server settings).
The line client-config-dir ccd indicates that client configurations are stored in the ccd folder.
The next 2 configuration lines add routes to client subnets through the corresponding OpenVPN gateways.
And finally, for proper operation, it is necessary to apply the subnet topology.
Do not touch all other settings in the file.
After specifying the settings, do not forget to restart the VPN Server service in the package manager. On hosts or the gateway for the hosts, specify routes to client subnets through the NAS.
In my case, the gateway for all hosts in the subnet where the NAS is located (its IP 192.168.1.3) was a router (192.168.1.1). On this router, I added routing entries for the networks 192.168.5.0/24 and 192.168.10.0/24 to the gateway 192.168.1.3 (NAS) in the static routing table.
Do not forget that with the firewall enabled on the NAS, it will also need to be configured. Additionally, there may be a firewall enabled on the client side that will also need to be configured.
P.S. I am not a professional in networking technologies and particularly in working with OpenVPN, I am just sharing my experience and publishing the settings I made that allowed to set up a connection between subnets in a site-to-site manner. There may be simpler and/or more correct settings, and I would be happy if you share your experiences in the comments.
Forrás: habr.com
