Ahojte všetci!
Vieme, že existuje mnoho nastavení OpenVPN. Avšak sám som sa stretol s tým, že systematizované informácie na tému nadpisu v zásade nie sú a rozhodol som sa podeliť o skúsenosti predovšetkým s tými, ktorí nie sú guru v administrácii OpenVPN, ale chceli by dosiahnuť pripojenie vzdialených podsietí typu site-to-site na NAS Synology. Zároveň si to chcem nechať ako poznámku na pamiatku.
Takže. Mám NAS Synology DS918+ s nainštalovaným balíkom VPN Server, na ktorom je nastavený OpenVPN a užívatelia, ktorí sa môžu pripojiť k VPN serveru. Nebudem sa podrobne zaoberať nastavením servera v rozhraní DSM (webový portál NAS servera). Táto informácia je na webovej stránke výrobcu.
Problém je v tom, že rozhranie DSM (k dátumu zverejnenia verzia 6.2.3) má obmedzený počet nastavení pre správu OpenVPN servera. V našom prípade potrebujeme schému pripojenia typu site-to-site, t. j. hostitelia podsiete klienta VPN by mali vidieť hostiteľov podsiete VPN servera a naopak. Štandardné nastavenia, dostupné na NAS, umožňujú nastaviť prístup len od hostiteľov podsiete klienta VPN k hostiteľom podsiete servera VPN.
Na nastavenie prístupu k podsietiam klientov VPN z podsiete VPN servera sa musíme prihlásiť na NAS cez SSH a manuálne upraviť konfiguračný súbor OpenVPN servera.
Na úpravu súborov na NAS cez SSH sa mi pohodlnejšie používa Midnight Commander. Na tento účel som v Centre balíkov pripojil zdroj a nainštaloval som balík Midnight Commander.
Prihlásime sa cez SSH na NAS s administrátorským účtom.
Zadáme sudo su a ešte raz zadáme heslo administrátora:
Napíšeme príkaz mc a spustíme Midnight Commander:
Potom prejdeme do adresára /var/packages/VPNCenter/etc/openvpn/ a nájdeme súbor openvpn.conf:
Podľa úlohy potrebujeme pripojiť 2 vzdialené podsiete. Na tento účel vytvoríme cez DSM 2 účty na NAS s obmedzenými právami na všetky služby NAS a poskytneme prístup len na VPN pripojenie v nastaveniach VPN Servera. Pre každého klienta musíme nastaviť statický IP pridelovaný VPN serverom a routovanie cez tento IP trasy z podsiete VPN servera na podsieť VPN klienta.
Základné údaje:
Podsieť VPN servera: 192.168.1.0/24.
Rozsah adries OpenVPN servera 10.8.0.0/24. Sám OpenVPN server získava adresu 10.8.0.1.
Podsieť VPN klienta 1 (užívateľ VPN): 192.168.10.0/24, musí získať na OpenVPN serveri statickú adresu 10.8.0.5.
Podsieť VPN klienta 2 (používateľ VPN-GUST): 192.168.5.0/24, by mala na OpenVPN serveri dostať statickú adresu 10.8.0.4
V adresári nastavení vytvoríme složku ccd a v nej vytvoríme súbory nastavení s názvami zodpovedajúcimi prihlasovacím menám používateľov.
Pre používateľa VPN v súbore uvedieme nasledujúce nastavenia:
Pre používateľa VPN-GUST v súbore uvedieme nasledovné:
Zostáva len doladiť konfiguráciu OpenVPN servera — pridať parameter na čítanie nastavení klientov a pridať routovanie na podsiete klientov:
Na uvedenom snímku obrazovky sa prvé 2 riadky konfigurácie nastavujú pomocou rozhrania DSM (zaškrtnutie parametra „Povoliť klientom prístup k lokálnej sieti servera“ v nastaveniach OpenVPN servera).
Riadok client-config-dir ccd udáva, že nastavenia klientov sa nachádzajú v priečinku ccd.
Nasledujúce 2 riadky nastavenia pridávajú routy na podsiete klientov cez príslušné brány OpenVPN.
A nakoniec, pre správnu funkciu je potrebné aplikovať topológiu subnet.
Všetky ostatné nastavenia v súbore nemeníme.
Po zadaní nastavení nezabudnite reštartovať službu VPN Server v správcovi balíkov. Na hostiteľoch alebo bráne pre hostiteľské podsiete je potrebné zadať routy na podsiete klientov cez NAS.
V mojom prípade bola bránou pre všetkých hostiteľov podsiete, v ktorej sa nachádza NAS (jeho IP 192.168.1.3), router (192.168.1.1). Na tomto routeri som pridal do statickej tabuľky routovania záznamy smerovania pre siete 192.168.5.0/24 a 192.168.10.0/24 na bránu 192.168.1.3 (NAS).
Nezabúdajte, že pri zapnutom firewall-e na NAS bude potrebné nastaviť aj ten. Navyše na strane klienta môže byť zapnutý firewall, ktorý tak isto bude potrebné nastaviť.
P.S. Nie som profesionál v sieťových technológiach a osobitne v práci s OpenVPN, len sa delím o svoje skúsenosti a zverejňujem nastavenia, ktoré som vytvoril a ktoré umožnili nastaviť spojenie medzi podsieťami typu site-to-site. Možno existuje aj jednoduchšie a/alebo správnejšie nastavenie, budem len rád, ak sa so mnou podelíte o skúsenosti v komentároch.
Zdroj: habr.com
