OpenVPN gateway+bridge

[Lasovchik]

Доброго времени суток уважаемые. Не будете ли вы так любезны подсказать, как перенастроить OpenVPN таким образом, что бы для клиента№1 сервер выступал в роли шлюза в интернет. А для клиентов №2...№Х в роли моста? Сейчас gateway для всех. Заранее спасибо
Пользователь решил продолжить мысль 04 Ноября 2013, 12:47:32:Лично мне на ум приходят две идеи реализации:
1. Статика клиентам и шаманство с IPTABLES
2. Поднять еще TAP интерфейс и подключение клиентов 2...Х к нему.(но как заставить работать сервер с двумя конфигами?)

Быть может я все сильно усложняю и есть более грациозные решения?
В общем, надеюсь на понимание и помощь

[ArcFi]

Быть может я все сильно усложняю и есть более грациозные решения?

Вполне вероятно.
Опишите исходную задачу подробно.

[Lasovchik]

Опишите исходную задачу подробно.

Есть VPSка, на ней настроен OpenVPN сервер по этому ману http://habrahabr.ru/post/153855/
Все работает нормально, все клиенты при подключении выходят в мир с IP адреса VPS. Нужно сделать так, что бы один из клиентов выходил в мир через эту ВПСку, а другие могли только друг с другом в сети быть(для расшаривания ресурсов и игр по LAN) и выходить в инет своими собственными IP.

Наглядно:

[Aeooe]

Не силен в теории openvpn но помойму можно создать 2 конфига сервера(2 интерфейса tap) и к ним уже коннектить разных клиентов. Одни будут в локалке vpn другие в нете. пните если не прав.

PS или вообще использовать tun + iptables

[Kirill Atanaguzin]

Смотрел в файлах-примерах. Вроде нет никаких вариантов настройки через клиентскую конфигурацию.
Остается только через iptables.

[ArcFi]

Нужно сделать так, что бы один из клиентов выходил в мир через эту ВПСку, а другие могли только друг с другом в сети быть(для расшаривания ресурсов и игр по LAN) и выходить в инет своими собственными IP.

Очень просто: надо настроить iptables filter/FORWARD.
Второй экземпляр сервиса не нужен.

[Lasovchik]

Через iptables надо настроить filter/FORWARD.

Можно поподробнее? Как сервер узнает кого из клиентов форвардить?

[AnrDaemon]

Вы ему скажете об этом.

[ArcFi]

Lasovchik, на сервере в каталоге ccd выполняется привязка common-name сертификата клиента к IP-адресу.

[Lasovchik]

на сервере в каталоге ccd выполняется привязка common-name сертификата клиента к IP-адресу.

ipp.txt Я правильно понял?

[ArcFi]

Lasovchik,
http://openvpn.net/index.php/open-source/documentation/howto.html#policy

[Lasovchik]

Если я правильно понимаю буржуинский язык, сначала присваиваем категориям пользователей подсеть, а затем силами iptables разделяем котлеты от мух?

[ArcFi]

Lasovchik, можно обойтись и одной сетью, если пользователей немного.

[Lasovchik]

Как то это все не эститично на первый взгляд. То есть пакеты от клиента до адресата будут туда-сюда летать через пол земного шара?( Хотелось, что бы клиенты при открытии сайта ya.ru не обращались к серверу ВПН. Может я уже туплю? Подобная схема реализована в HAMACHI, TeamViewer. И как адекватно при таком раскладе будет работать бродкаст? Возможно целесообразнее развить мысль с двумя интерфейсами?

[ArcFi]

Хотелось, что бы клиенты при открытии сайта ya.ru не обращались к серверу ВПН.

Дык, не меняйте у них дефолтный шлюз, и они не будут к нему обращаться.

Подобная схема реализована в HAMACHI, TeamViewer.

O RLY? =)