VPN

•Клиент и сервер должны использовать тот же протокол и порт, например. UDP порт 1194, смотрите порт и опцию proto в config

•Клиент и сервер должны использовать один и тот же алгоритм сжатия, смотрите опцию comp-lzo в config

•Клиент и сервер должны использовать одну и ту же конфигурацию относительно режима мости режима маршрутизации, смотрите server и server-bridge в config

1.6. Дополнительные настройки

1.6.1. Расширенная настройка VPN на сервере в режиме маршрутизации

Выше рассмотрена очень простая работающая настройка VPN. Клиент имеет доступ к сервисам на машине VPN сервера через зашифрованный канал. Если вы хотите получить доступ к большему количеству серверов или к чему-то в других сетях, добавьте несколько маршрутов на клиенте. Например, если сеть вашей компании в целом может быть описана как 192.168.0.0/16, вы можете добавить этот маршрут на клиенте. Но вам придется также изменить маршрут для обратного направления - ваши сервера должны знать как проложить маршрут до сети VPN клиента.

Или вы можете указать шлюз по умолчанию для всех клиентов чтобы посылать весь их трафик сначала на VPN сервер, а от него через защитный сервер (firewall) компании в интернет. В этом разделе вы увидите некоторые возможные варианты настроек.

Передать маршрут клиенту чтобы разрешить ему доступ к другим частным подсетям за сервером. Помните, что эти частные сети также должны знать как построить маршрут до диапазона адресов клиента OpenVPN (10.8.0.0/24), находящегося за OpenVPN сервером:

push "route 10.0.0.0 255.0.0.0"

Если указана, то такая директива настроит всех клиентов на перенаправление их сетевых шлюзов по умолчанию через VPN, что заставит весь трафик, такой как просмотр страниц интернет-сайтов или DNS запросы, проходить через VPN (машине OpenVPN сервера или вашему центральному firewall может потребоваться маскировать с помощью NAT интерфейсы TUN/TAP в сторону интернета, чтобы они работали правильно):

push "redirect-gateway def1 bypass-dhcp"

Настройте режим сервера и предоставьте подсеть VPN, откуда OpenVPN будет брать адреса клиентов. Сервер возьмёт себе адрес 10.8.0.1, а

430

VPN

остальные могут использоваться для предоставления клиентам. Каждый клиент будет иметь возможность подключиться к серверу по адресу 10.8.0.1. Закомментируйте эту строку, если используете режим сетевого моста:

server 10.8.0.0 255.255.255.0

Сохраните записи соответствий клиентов с их виртуальными IP-адресами в указанном файле. Если OpenVPN выключается или перегружается, повторно подключившиеся клиенты получат те же виртуальные IP-адреса, что и в прошлый раз:

ifconfig-pool-persist ipp.txt

Передать настройки на DNS сервера клиенту:

push "dhcp-option DNS 10.0.0.2" push "dhcp-option DNS 10.1.0.2"

Разрешите связь между клиентами.

client-to-client

Включите сжатие в VPN канале.

comp-lzo

Директива keepalive обеспечивает отправку сообщений типа ping вперёд и назад через соединение для того, чтобы каждая сторона знала, когда другая сторона становится недоступна. Проверка выполняется раз в секунду; предполагается, что что удалённый узел не отвечает, если ответ не получен в течение 3 секунд.

keepalive 1 3

Неплохая идея — понизить привилегии демона OpenVPN после инициализации.

user nobody group nogroup

OpenVPN 2.0 включает в себя функцию, которая позволяет серверу OpenVPN безопасным способом получить имя пользователя и пароль от подключаемого клиента, и использовать эту информацию в качестве

431