Пример настройки OpenVPN туннеля для схемы с сервером и несколькими клиентами для роутеров iRZ

Задача

Настроить OpenVPN туннель на роутерах iRZ для схемы с сервером и несколькими клиентами.

Сервер, Клиент 1, Клиент 2 - роутеры iRZ

192.168.1.0/24 - локальная сеть сервера

192.168.2.0/24 - локальная сеть Клиента 1

192.168.3.0/24 - локальная сеть Клиента 2

Вариант решения

Основные настройки задаются в веб-интерфейсе роутера во вкладке VPN/Tunnels - OpenVPN tunnels

Настройки для Сервера

Для роутера, который выступает в роли Сервера, нужно указать настройки, приведенные в таблице.

Настройки OpenVPN Tunnel → TUN (L3), сервер

Остальные поля следует оставить пустыми.

Обратите внимание, при выборе метода аутентификации TLS Server появляются поля для указания сертификатов и ключей: CA Certificate, DH Parameter, Local Certificate, Local Private Key.

Ключи и сертификаты для аутентификации сервера по протоколу TLS

Ключи и сертификаты необходимо получить либо от сертификационного центра, либо создать свой собственный сертификационный центр и создать на его основе требуемые ключи и сертификаты.

Полученные файлы сертификатов необходимо загрузить на роутер по кнопке Upload в соответствии с указанными в таблице полями. Пример настройки показан на рисунке ниже.

Поле Additional Config позволяет указывать дополнительные параметры для создания туннеля. Пункты, которые могут быть указаны в данном поле, и их расшифровку можно посмотреть на официальном сайте OpenVPN по адресу: https://openvpn.net/index.php/open-source/documentation/howto.html#server

В данном случае для роутера, который выступает в роли сервера, в Additional Config нужно написать следующее:

mode server
server 10.10.10.10 255.255.255.0
client-to-client
client-config-dir /opt/ccd
route 192.168.3.0 255.255.255.0
route 192.168.2.0 255.255.255.0
push "route 192.168.3.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
verb 3

Директива client-config-dir /opt/ccd​ указывается для того чтобы сервер выдавал статические адреса туннельного интерфейса.

Обратите внимание, в данном примере Additional Config обращается к файлам, которые на роутере по умолчанию отсутствуют. 

Их нужно создать из консоли вручную.

Команда для создания директории /opt/ccd

mkdir /opt/ccd

Команда для создания файлов client1 и client2 в директории /opt/ccd

touch /opt/ccd/client1 && touch /opt/ccd/client2

В созданных файлах client1 и client2 нужно указать директивы:

root@iRZ-Router:/opt/ccd# cat client1
ifconfig-push 10.10.10.2 10.10.10.1
iroute 192.168.2.0 255.255.255.0
root@iRZ-Router:/opt/ccd# cat client2
ifconfig-push 10.10.10.3 10.10.10.1
iroute 192.168.3.0 255.255.255.0

Это и есть назначение клиентским роутерам статических туннельных адресов и маршрутов.

Настройки для Клиента

Для роутеров, которые выступают в роли Клиента, нужно указать настройки, приведенные в таблице.

Для Клиента 1 и Клиента 2 настройки различаются только ключами и сертификатами для аутентификации по протоколу TLS.

Настройки OpenVPN Tunnel → TUN (L3), client

Остальные поля следует оставить пустыми.

При выборе метода аутентификации TLS Client появляются поля для указания сертификатов и ключей: CA Certificate, DH Parameter, Local Certificate, Local Private Key.

Ключи и сертификаты для аутентификации клиента по протоколу TLS

Остальные поля следует оставить пустыми.

В поле Additional Config для роутеров, которые выступают в качестве клиентов, нужно написать следующее:

pull

В данной конфигурации все устройства и все локальные сети друг друга видят.