Настройка доступа к локальной сети клиентам OpenVPN в Linux
Инструкция может применяться для настройки Linux Ubuntu, Debian, CentOS версий 7 и 8.
Доступ к локальной сети через OpenVPN настраивается в несколько этапов:
- Настроить в OpenVPN маршрут для клиента.
- Настроить ядро Linux — включить перенаправление.
- Настроить брандмауэр.
- Проверить подключение.
1. OpenVPN
Открываем на редактирование конфигурационный файл OpenVPN.
а) в Ubuntu / Debian / CentOS 7:
vi /etc/openvpn/server.conf
б) в CentOS 8:
vi /etc/openvpn/server/server.conf
И добавляем в него следующие строки:
push "route 172.16.10.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
* где 172.16.10.0 — VPN сеть; 192.168.2.0 — локальная сеть, в которую необходимо «попасть» пользователям openvpn.
При необходимости использовать DNS внутренней сети также добавим:
push "dhcp-option DNS 192.168.0.15"
push "dhcp-option DNS 192.168.0.16"
push "dhcp-option DOMAIN dmosk.local"
* где 192.168.0.15 и 192.168.0.16 — внутренние DNS-серверы; dmosk.local — домен, котоый будет добавляться к узлам, обращение к которым идет по неполному имени.
Перезагружаем сервис для применения настроек.
а) в Ubuntu / Debian / CentOS 7:
systemctl restart openvpn@server
б) в CentOS 8:
systemctl restart openvpn-server@server
2. Ядро (Sysctl)
Открываем на редактирование следующий файл:
vi /etc/sysctl.conf
и добавляем в него следующую строчку:
net.ipv4.ip_forward=1
Применяем настройки sysctl:
sysctl -p /etc/sysctl.conf
3. Брандмауэр
Iptables (Ubuntu / Debian)
Создаем разрешение на перенаправление запросов:
iptables -t nat -I POSTROUTING -s 172.16.10.0/24 -j MASQUERADE
* где 172.16.10.0/24 — VPN сеть, которая назначается клиентам при подключении.
или:
iptables -t nat -I POSTROUTING -o tun0 -j MASQUERADE
* где tun0 — сетевой интерфейс, через который работает сеть VPN.
Сохраняем настройки iptables:
apt-get install iptables-persistent
netfilter-persistent save
Firewalld (CentOS 7 и 8)
Включаем маскарадинг для зоны:
firewall-cmd --permanent --zone=public --add-masquerade
* где public — зона, где находится сетевой интерфейс, который принимает запросы на подключение к OpenVPN.
Если на сервере используется один сетевой интерфейс, можно применять правила:
firewall-cmd --complete-reload
Иначе, добавим еще правила на FORWARD:
firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens34 -o ens32 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens32 -o ens34 -m state --state RELATED,ESTABLISHED -j ACCEPT
firewall-cmd --complete-reload
* в данном примере, ens32 — интерфейс для внешнего подключения (на него идут подключения к VPN-серверу); ens34 — внутреннего (интерфейс, который смотрит в локальную сеть).
4. Проверка
Переподключаемся OpenVPN-клиентом. Проверяем, что необходимый маршрут появился в системе командой route print.
Если маршрут в нужную сеть есть, пробуем попинговать любой узел из внутренней сети, к которой мы должны были получить доступ.