openvpn и dhcp

[krainezol]

Имеется 5 машин Ubuntu 14.04 каждая с одним сетевым интерфейсом, одна из них сервер openvpn, в сеть они ходят каждая через свой роутер, ip получают по dhcp.
Задача: поднять vpn, так, чтобы между собой общались через vpn, а в интернет ходили по-прежнему каждая через свой роутер.
vpn работает, но внешние ресурсы не доступны ни с сервера ни с клиента
Конфигурация сервера
interfaces

auto eth0
iface eth0 inet manual
        up ip link set $IFACE up promisc on

auto br0
iface br0 inet static
        address 10.0.0.1
        netmask 255.255.255.0
        network 10.0.0.0
        bridge_ports eth0

server.conf

mode server
port 1194
proto udp
dev tap
up "/etc/openvpn/up.sh br0 eth0"
ca ca.crt
cert krainezol.dev.crt
key krainezol.dev.key  # This file should be kept secret
dh dh2048.pem
ifconfig-pool-persist ipp.txt
server-bridge 10.0.0.1 255.255.255.0 10.0.0.2 10.0.0.254
client-to-client
duplicate-cn
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
log-append  /var/log/openvpn.log
verb 3

Клиент

Код: [Выделить]

auto eth0
#iface eth0 inet dhcp
iface eth0 inet static
        address 10.0.0.2
        netmask 255.255.255.0
client.conf

Код: [Выделить]

client
dev tap
proto udp
remote 10.0.0.1 1194
resolv-retry infinite
nobind
user nobody
group nogroup
persist-key
persist-tun
ca ca.crt
cert node1.crt
key node1.key
ns-cert-type server
comp-lzo
log-append /var/log/openvpn.log
verb 3
Я понимаю, что не понимаю что-то фундаментальное , поэтому, пожалуйста, объясняйте на пальцах, для малограмотных

[fisher74]

ip получают по dhcp.

Не стыкуется с

Конфигурация сервера
interfaces

Код: [Выделить]

auto eth0
iface eth0 inet manual
        up ip link set $IFACE up promisc on

auto br0
iface br0 inet static
        address 10.0.0.1
        netmask 255.255.255.0
        network 10.0.0.0
        bridge_ports eth0


и с

Клиент

Код: [Выделить]

auto eth0
#iface eth0 inet dhcp
iface eth0 inet static
        address 10.0.0.2
        netmask 255.255.255.0


Решение проблемы простое: указать дефолтные шлюзы каждому участку афёры

[krainezol]

Не стыкуется с

Я имел ввиду, что это состояние до настройки vpn, и его хотелось бы сохранить.

Решение проблемы простое: указать дефолтные шлюзы каждому участку афёры

Объясните, пожалуйста, что и где надо написать, я, к сожалению, в сетях ничего не понимаю, вот и учусь.

[fisher74]

Для начала настройте интерфейсы так, как они должны работать без VPN
Исключением является сервер OpenVPN, у которого адрес должен быть статическим

[krainezol]

Сделал так:
сервер

iface eth0 inet manual
        up ip link set $IFACE up promisc on

auto br0
iface br0 inet static
        address 10.0.0.1
        netmask 255.255.255.0
        network 10.0.0.0
        bridge_ports eth0

клиент

iface eth0 inet dhcp

На клиенте не создаются интерфейс tap0
Лог клиента

Sat Oct 17 15:44:53 2015 OpenVPN 2.3.2 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [eurephia] [MH] [IPv6] built on Dec  1 2014
Sat Oct 17 15:44:53 2015 Socket Buffers: R=[212992->131072] S=[212992->131072]
Sat Oct 17 15:44:53 2015 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Sat Oct 17 15:44:53 2015 UDPv4 link local: [undef]
Sat Oct 17 15:44:53 2015 UDPv4 link remote: [AF_INET]10.0.0.1:1194

[fisher74]

Стоп-стоп-стоп. По первому посту все машины находятся в разных сетях. Или все в одной сети? Тогда к чему фраза "каждая через свой роутер"
Давайте сначала определимся со схемой сети, а уже потом мутить VPN-ы и всё такое.
попробуйте описать поподробней, а лучше накидать схемку, где какие роутеры стоят и как они между собой взаимодействуют.
Достаточно пары сервер-клиент. Так же показывайте минимальную диагностику сети каждого участника
ip a; ip r

[krainezol]

Как-то так должно получиться, кмк

Прямо сейчас у меня vpn сервер и один клиент подключены к одном роутеру, а остальные клиенты отключены (так удобней эксперементировать)
сервер ip a

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br0 state UP group default qlen 1000
    link/ether 08:00:27:5b:6c:73 brd ff:ff:ff:ff:ff:ff
3: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
    link/ether 08:00:27:5b:6c:73 brd ff:ff:ff:ff:ff:ff
    inet 10.0.0.1/24 brd 10.0.0.255 scope global br0
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fe5b:6c73/64 scope link
       valid_lft forever preferred_lft forever
4: tap0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br0 state UNKNOWN group default qlen 100
    link/ether ea:99:8e:0a:14:15 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::e899:8eff:fe0a:1415/64 scope link
       valid_lft forever preferred_lft forever
5: as0t0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br0 state UP group default qlen 200
    link/ether fe:ff:ff:65:1f:00 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::fcff:ffff:fe65:1f00/64 scope link
       valid_lft forever preferred_lft forever

сервер ip r

10.0.0.0/24 dev br0  proto kernel  scope link  src 10.0.0.1
169.254.0.0/16 dev br0  scope link  metric 1000

клиент

ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 08:00:27:b0:5f:c4 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.106/24 brd 255.255.255.255 scope global eth0
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:feb0:5fc4/64 scope link
       valid_lft forever preferred_lft forever

ip r
default via 192.168.1.1 dev eth0
169.254.0.0/16 dev eth0  scope link  metric 1000
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.106

[fisher74]

Тэкс...
Вы в правой части чертежа Вы запланировали сеть VPN (адресация и всё такое).
Но забыли, что она должна жить в какой-то реальной сети. Точнее Вы её начертили, но не запданировали адресацию.

Можете объяснить применение bridge на сервере?
Не можете? Тогда убирайте.

[AnrDaemon]

Схема вообще не жизнеспособная. Нафига VPN если все сидят в одной сети?

[fisher74]

Про схему я уже написал.
Вполне жизнеспособная, просто на ней указана только VPN-адресация.

[AnrDaemon]

Тогда схему надо выкинуть и нарисовать заново.
Сначала указав реальные сети, а поверх наложив VPN.

[krainezol]

Можете объяснить применение bridge на сервере?
Не можете? Тогда убирайте.

Вы имеете ввиду убрать bridge в interfaces или в server.conf?

[AnrDaemon]

Везде.

[krainezol]

Большое спасибо fisher74, за то, что навел на правильные мысли
Всё переделал - всё работает, но и сеть теперь выглядит иначе

[dimation96]

Очень полезная тема, для себя подчеркнул многое) Довольно таки много лет заинтересован в безопасности и анонимности своего серфинга, поэтому пользуюсь услугами https://finevpn.org. Очень доволен. Удачи)