송주환 2020-02

지금 구성은 1:1 연결인데, Site to Site VPN이 필요한 것으로 보입니다.

일달 2020-02

네. site to site 로 구성하려고 했습니다.

maronet 2020-02

라우팅 테이블 정확히 구성되어 있는지 확인해보세요

일달 2020-02

라우팅 테이블을 제대로 구성했다고 생각했느데 뭐가 틀린 점이 있나봅니다.

찬이 2020-02

IDC의 VPN Server에서
ip route add 192.168.21.0/24 via 10.8.0.1 dev tun0 onlink
IDC의 PC(Server 1)에서
ip route add 192.168.21.0/24 via 192.168.20.50

OFFICE의 vpn client에서
ip route add 192.168.20.0/24 via 10.8.0.2 dev tun0 onlink
OFFICE의 COM1에서
ip route add 192.168.20.0/24 via 192.168.21.100

이런식으로 해보세요.
통신방향 상관없이 서로 라우팅설정이 되어야 하는게 중요합니다.
통신방향은 iptables 포워딩 룰로 정해야 하구요.

일달 2020-02

server1 server2 com1 com2 에 모두 라우팅 세팅을 해줘야 하는 건가요?
혹시 윗단에 있는 router 에서 세팅을 해서 할 수는 없나요?

찬이 2020-02

위 설정에서 Server 1설정을 IDC의 Default Gateway에,
Com 1설정을 Office의 Default Gateway에 동일하게 설정하시면 됩니다.

일달 2020-02

어렵네요.
이것저것 해 봐도 안되고, 시간 날때마다 해보고 있는데 잘 안되네요.
기본 지식을 더 공부하고 해 봐야 되겠습니다.

상석하대 2020-02

nat는 아닙니다.
COM1이 클라이언트로 연결됐을 때 192.168.20.51이나 네트워크 대역에 대한 라우팅테이블을 가지고 있으면 SERVER에 접속할 수 있습니다.
COM1에서 연결할 때 마다 일일이 라우팅을 올리고 내리는 대신 OpenVPN의 데몬이 이를 COM1에 강제하는 옵션이 있습니다.
OpenVPN 서버쪽에 둔다면 다음(대역 예)입니다.
push "route 192.168.20.0 255.255.255.0"
COM1의 설정 파일에 넣겠다면 다음(대역 예) 입니다.
route 192.168.20.0 255.255.255.0
OpenVPN에서 push, route가 뭔지 아시리라 봅니다.

일달 2020-02

지금 상황이 ssh 연결 접속 상태가
success ... vpn server -----> cpn client, com1, com2, com3
success ... vpn client -----> vpn server, server1, server2, server 3 ....
failed ... com1 -----> server1
failed ... server1 -----> com1
이런 상태 입니다 저는
com1 ---> server1, server 로 연결하고 싶은데 route 정보만 세팅하고 iptables 는 설정 할 필요는 없었던 건가요?

상석하대 2020-02

거기서 nat는 필요없습니다.
위 그림이 nat할 필요가 있는지를 한번 다시 보십시오.
금방 답이 나옵니다.
외부에서 OpenVPN에 접속할 수 있도록 포트만 허용하면 그만인 것입니다.
접속이 되면 터널은 열린 것입니다.
com1이 server1 이나 server 가 있는 네트워크와 통신하려면 해당 라우팅 경로를 지니고 있어야 합니다.
일일이 com1에서 route add 해도 되겠지만 이를 OpenVPN의 데몬에 맡기라는 것입니다.
OpenVPN 서버 쪽 설정 파일에,
push "route 192.168.20.0 255.255.255.0"  줄을 넣으면, *물론 conf 파일을 수정하면 OpenVPN 재시작
com1이 접속할 때 마다 이 네트워크 대역을 com1의 라우팅테이블에 OpenVPN 서버가 집어 넣습니다.
접속을 끊으면 역시 OpenVPN 서버가 해당 경로를 제거하기 위해서 route del을 실행합니다.
이를 서버쪽에서 하지 말고 com1의 클라이언트 쪽 OpenVPN이 하게 하려면 .ovpn 파일에 route 192.168.20.0 255.255.255.0 줄을 넣습니다.

일달 2020-02

각 클라이언트(com1, com2) 마다 openvpn 로 접속하여야 한다는 말씀이신가요?

상석하대 2020-02

네, 위 이미지는 서버와 클라이언트 관계라서 입니다.
즉, 192.168.21.100 이라는 com1을 클라이언트로 OpenVPN에 접속한 것입니다.
이런(Stite To Site가 아닌) 식이라면 com2도 별도로 OpenVPN에 클라이언트로 연결해야 합니다.
혹시, Site To Site를 구성하려고 했습니까?
그렇다면 IDC와 지사 각각에 있는 OpenVPN이 Site To Stie 연결만으로 끝나지 않습니다.
server1, server2에서는 지사 쪽 라우팅 정보를 지니고 있어야 합니다.
각각에서 route add 해줘야 합니다.
이때 G/W는 라우터가 아니고 OpenVPN의 NIC 실제 주소입니다.
com1,  com2에서도 역으로 마찮가지입니다.
OpenVPN에서는 설정으로 자체 라우팅 정보를 지니게 되기 때문에 따로 라우팅를 설정할 필요는 없고 포워딩이 되도록 합니다.
그리고 거기 router에서는 뭐 할 게 없습니다.

Th2n 2020-02

혹시 해결 하셨나요? 같은 경헙으로 구축 한 경험이 있습니다.
각각 IDS 서버들이 게이트를 못 찾기 때문 이런 현상이 납니다.
Router(20.50) 에 10.8.0.1 는 VPN 게이트웨이 추가 해 주시면 됩니다.

일달 2020-02

아니요!! 아직 해결 못 했어요!

윤탱이 2020-02

현재 말씀과 설정상황을 보니,

Site to Site 로 되어있는게아니고 반대편으로 넘어갈때 NAT 되어서 넘어가는것 같습니다.

윤탱이 2020-02

경로를 보시려면 routeprint 로 봐보시면 좋습니다.

일달 2020-02

server쪽 설정
# server
# proto udp
proto tcp4-server
port 443
dev tun

key /etc/openvpn/keys/vpn.server.key
cert /etc/openvpn/keys/vpn.server.crt
ca /etc/openvpn/keys/ca.crt
dh /etc/openvpn/keys/dh2048.pem

cipher AES-256-CBC
tls-crypt /etc/openvpn/keys/vpn.tlsauth
crl-verify /etc/openvpn/keys/crl.pem
topology subnet
client-to-client

server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt

client-config-dir ccd
route 192.168.21.0 255.255.255.0 10.8.0.10

#persist-key
#persist-tun
#status openvpn-status.log
#log /var/log/openvpn.log
~

//// ccd/vpn.client
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.21.0 255.255.255.0
push "route 192.168.10.0 255.255.255.128"
push "route 192.168.20.0 255.255.255.128"
push "route 192.168.30.0 255.255.255.128"
push "redirect-gateway def1"
push "dhcp-option DNS 10.8.0.1"

상석하대 2020-02

client-to-client는 com1과 com2가 각각 OpenVPN 서버에 접속했을 때 서로 통신하는 옵션으로 위 경우에는 필요없습니다.
route 192.168.21.0 255.255.255.0 10.8.0.10은 방향이 바뀌었습니다.
vpn.client의 아이피는 ccd에 의해 접속시 위 그림에서 10.8.0.2가 아니고 10.8.0.10이어야 합니다.
push "redirect-gateway def1"와 push "dhcp-option DNS 10.8.0.1"는 필요한 경우가 아닙니다.
redirect-gateway def1 때문에 라우팅이 꼬일 수 있으니 제거합니다.

일달 2020-02

10.8.0.10 은 하도 안되서 제가 바꿔 봤어요.

상석하대 2020-02

개념은 다 언급한 것 같습니다.
위 이미지를 기준으로 정리하자면 다음입니다.
OpenVPN 데몬은 자기의 백그라운드 네트워크가 있다는 것을 클라이언트에게 알려야 합니다.
route 입니다.
방화벽에서는 OpenVPN 서비스 포트만 허용하면 됩니다.
nat는 하지 않고 실제 서버의 커널에서 패킷만 포워딩합니다.
net.ipv4.ip_forward=1 입니다.
IDC에 있는 각 서버는 OpenVPN 네트워크의 라우팅 정보를 지녀야 합니다.
(클라이언트 쪽은 route 로 해결된 상태)
OpenVPN 서버 설정에서 OpenVPN의 네트워크(server와 push route 옵션)만 있으면 되지 ccd 옵션으로 뭘 넣을 필요까지는 없습니다.
만약,
Site To Site라면 IDC의 서버와 클라이언트 컴퓨터 각각은 양쪽 네트워크의 라우팅을 OpenVPN 서버의 실제 주소로 해야 합니다.