V LAN mam 1x linuxovy server (IP 192.168.1.3). Na tom servery je nainstalovany openvpn server (IP 10.8.0.1, siet 10.8.0.0/24).
Dalej su na servery nejake sluzby, ktore pocuvaju na roznych portoch (napr. webmin 10000, ftp 21 a pod ....).
Nechcem to tu rozpisovat co vsetko tam bezi, lebo je toho viac (ide len o princip).
Ked som v LAN, tak sa na tie sluzby dostanem normalnym sposobom, napr na webmin
https://192.168.1.3:10000, alebo na ftp,
ftp://192.168.1.3 (samozrejme pre pristup na ftp, alebo webmin je potrebne vediet heslo).
Ako sa pytal Palo, ci openvpn pouzivam v LAN sieti .... NIE, openvpn klienti su mimo LAN (na VPN server sa pripoja cez moju verejnu IPv4 a v routery mam forward na linux server).
Openvpn klient sa na openvpn server prihlasi (tam nie je ziadny problem). Zo zaciatku som nepouzival UFW a klient ak zadal 10.8.0.1:10000 tak sa teoreticky mohol dostat na webmin (samozrejme heslo nevie, tak sa tam nedostal).
Tak som zacal vytvarat v UFW pravidla a pre webmin som spravil
10000 DENY IN 10.8.0.0/24
10000/tcp ALLOW IN Anywhere
Siet 10.8.0.0/24 ma zakazany port 10000 a ostatny ho maju povoleny.
Samozrejme predtym som este nastavil aby mala IP 10.8.0.155 (ja) vsetko povolene
Anywhere ALLOW IN 10.8.0.155
Funguje to takto, ze z IP 10.8.0.155 sa viem dostat na serverove sluzby napr. na webmin 10.8.0.1:10000, alebo aj ftp (ostatny klienti sa tam nevedia dostat a aspon toto je OK).
Ja (10.8.0.155) sa vsak potrebujem dostat aj na klientske stroje (pozri obr. vyssie) na ktorych bezi napr. web, ftp, ssh .... (potrebujem ich spravovat). Problem je v tom, ze klienti sa navzajom vidia. Cize ak nejaky klient napr 10.8.0.152 zada do brovsera 10.8.0.153, tak sa dostane na web toho klienta a toto ja nechcem.
Ako som napisal vyssie, riesim to zatial cez client-to-client, ale to je dost neprakticke.
Neviem ci som to napisal dost pochopitelne, ale snad ano.
Otazka je, ci by sa to dlo vyriesit firewallom, alebo naseptavac spominal nejaky proxy (to neviem ako by fungovalo).
Myslim, ze vo firewalle bude treba pouzit asi aj forward, ale zatail neviem ako na to.