OpenVPN na Windows a přístup do LAN

[Petr_fm]

Dobry den,
vim, ze bych asi mel patrat spise ve WIN forech, ale mam pocit, ze tady je vice odborniku, navic se nejedna ani tak o konkretni reseni na WIN, jako spise o obecnou otazku.

Mam firemni sit - 3PC - a router
SERVER, USER1 USER2 a router D-Link, do ktereho jsou tyto PC zapojeny a WAN routeru je pripojeno k internetu s verejnou IP.
Sit v praci ma rozsahy - 192.168.1.1 - router, ktery ma DHCP a pak klienti, ti maji od DHCP adresy 192.168.1.10-15

Na PC SERVER (WXP PROF) jsem nainstaloval OPEN VPN server a rozchodil spojeni... Funguje to dobre, spojim se s nim z notebooku doma, dopingam se, pohoda. Prusvih je, ze nevim, CO TED... Je mi to k nicemu, jelikoz se dopingam jen na rozhrani VPN v XP PRO. SERVER ma jen jednu sitovku, pichnutou do routeru - 192.168.1.12 a vychozi brana 192.168.1.1 - coz je vlastne LAN a internet pro server.

Jenze, OPEN VPN pridalo dalsi adapter a co ted s nim ? Z notebooku doma se dostanu do prace na server, jenomze mam IP napr. 10.0.0.x ..... a LAN v praci timpadem nevidim. Proto se ptam, je mozne, aby notebook doma, po pripojeni do VPN ziskal adresu 192.168.1.14 - aby byl jakoby dalsi zasuvka, zapichnuta do routeru a videl tak okolni PC, jako by byl fyzicky pritomen v kancelari?

Premyslel jsem, pridat do serveru jeste jednu LAN kartu, tuto spojit - pres most s TUN adapterem a zapojit ji do routeru druhym kabelem. Jenze to je asi nesmysl. Nebo je resenim, prinutit nejak XP na serveru routovat sit 10.0.0.x do site 192.168.1.x ?

Druha moznost - jde to nejak zaridit primo na routeru? D link ktery tam ted mam nic neumi, ale dival jsem se na TP-Linky, ktere uz maji i static routing, apod. zalozky - neni tohle reseni pro spojeni dvou siti?

Premyslel jsem uz i nad mikrotikem do prace, na kterem pokud by dokazala bezet i VPNka, tak by mi odpadla starost se serverem na windowsech - tam by mohlo jet jen ucto, ale o mikrotiku nemam poneti.

Dokaze mi nekdo poradit, nebo alespon rict, jestli je to, co zamyslim realne? Potrebuji proste dosahnout stavu, kdy notebook, ktery mam na cestach, nebo doma, se po pripojeni do VPN pres nezabezpecenou sit (wifi) jakoby zapoji do routeru v praci, abych mohl vyuzivat sdileni souboru a aplikace, ktere bezi na urcitych PC v praci.

Hloda ve mne myslenka, jestli neni chyba, ze na internetu je primo router a pak az server, zda neni uplne spatna topologie site a nemel bych router vynechat, kdyz je OPENVPN v podstate na PC, ktery je az za nim?

Dekuji za radu, Petr

[Reklama]

[Mordae]

Potrebujes vramci cele site propagovat routu na 10.0.0.0/8 via ten server (pres dhcp napriklad) a vramci openvpn pushovat routu do 192.168.0.0/16 via ten virtualni iface na serveru. A pak mit povolene forwardovani na Windows, nevim jestli to je defaultne.

Nikdy jsem tohle na Windows nedelal, jen Linux, takze promin, vic infa nemam. :-)

[Plamen]

Ahoj,
  na serveru si ... hmmm, já to pod Windows znám taky spíš jen z vyprávění, ale pokud chceš obecnou odpověď, tak v konfiguraci serveru OpenVPN přidej

Kód: [Vybrat]

push route 192.168.1.0 255.255.255.0do patřičného místa (když se budeš držet jejich dobře návodného default configu, tak určitě nic nezkazíš).
  Na Windows - buď to vyřešíš v dhcp, viz první odpověď, nebo na každý stroj, se kterým potřebuješ navázat spojení spustíš při startu Windows příkaz route, přesnou syntaxi ti nenapíšu, ale route /? nebo route add /? ti určitě napoví. Vzhledem k tomu, že jde o maximálně 4 stroje, tak je to alternativa, pokud bys nedokázal přesvědčit DHCP, které ti zřejmě běží na hraničním routeru.
  Další možností by bylo nastavit NAT na XP serveru. Potom by odpovědi z vnitřní sítě chodily na 192.168.1.12, o další routing by se postaral automaticky tento stroj. Tady už ale vůbec netuším, jak se to na Windows nastavuje. To by bylo velice elegantní řešení, vnitřní síť by nemusela vědět nic o nějaké VPN.
  Pokud bys dokázal nainstalovat OpenVPN na bránu, máš také po starostech. Pakety by chodily správným směrem a router už by si s nimi poradil. BTW moje řešení vypadá tak, že na bráně se mi "sluní" miniATX deska s Atomem a síťovkou se stabilní verzí jedné distribuce Linuxu (teď už asi většina "místních" tuší která to je) a tam by se vešla i OpenVPN, o dostatečně robustní verzi DHCP nemluvě, kdybych to neměl řešené trochu jinak. Je to určitá varianta tvé úvahy nad mikrotikem, jen si trochu zjednodušuji život a používám připravenou stavebnici bez toho, že bych se nechal nějak omezovat (třeba nedostatkem paměti).
  A ještě k té hlodající myšlence: ať tě ani nenapadne vystavovat XPčka do internetu bez patřičné ochrany. Je to sice již několik let, ale jednou mi volal vyděšený kámoš, že instaloval XPčka, ty si řekly o pripojení k internetu, a když jim ho poskytl, tak chytil vira ještě dřív, než to doinstaloval. Já osobně jsem podobnou situaci vyřešil tak, že OpenVPN server je Linuxový stroj v DMZ, tedy až za tím hraničním Atomem. Je tedy chráněn routerem a má další svojí nezávislou ochranu před napadením z internetu.

P.
 

[Petr_fm]

Panove, tak jsem to vyresil...
Viz tady :
http://openvpn.net/index.php/open-source/documentation/miscellaneous/76-ethernet-bridging.html

Zjistil jsem pri tom, ze open vpn ma super dokumentaci :-) Cili jen jsem "bdridznul" ty dva adaptery do jednoho mostu, ktery dostal od DHCP na routeru svou novou IP.... A dulezite, v konfiguraci VPN serveru jsem odstranil pevne prideleni IP adresy serveru a POOL rozsah... Doplnil se radek z toho clanku - bridge s danym rozsahem, ktery jsem dal mimo rozsah DHCP na routeru a chodi to jak vino.

Mam ale novy problem :-) Chtel bych vyuzit internet z prace - cili ne open wifi, pres kterou jedu VPN, ale pripojeni az za tunelem,  z firmy, ktere je metalicke a nehrozi tedy jednoduchy odposlech, jako u wifi, apod.
Nemuzu vsak zaboha donutit XP na notebooku, aby preferovaly pro internet ten TAP adapter a ne wifinu :-) Aby wifi byla pouze pro VPNko. Zkusim jeste nejak zablokovat porty na routeru, aby pustil pouze 1194 a tim odriznul ten nezabezpeceny net do notebooku.

Rozhodne diky za rady a snad aspon muj poznatek nekomu dalsimu pomuze.

[Plamen]

Default route?

[Reklama]

[Petr_Svetr]

spis def. gateway

[Karel K]

zkus zmenit default gateway

> route change 0.0.0.0 mask 0.0.0.0 192.168.0.1
192.168.0.1 ... IP adresa preferovaneho pripojeni

[Petr Krčmář]

Nebude stačit změnit bránu. Bude třeba nastavit, aby pakety pro OpenVPN server směřovaly na vnější rozhraní a ostatní pak na to virtuální pro VPN. Jinak se zastaví komunikace se serverem.

[Josef H.]

Jednoduché řešení by bylo nehrát si se směrováním, ale na XP "server" přidat squid či jinou http proxy a browseru řici, aby ji používal.