Newsgroup: it.comp.os.linux.sys
Titolo: OpenVPN client-config-dir

Avete mai usato la direttiva in oggetto?
Ho 3 roadwarrior (ciascuno con il proprio certificato) che si devono connettere ad un concentratore OpenVPN e da li, poter raggiungere solo la propria VLAN senza metter becco in quelle altrui.
 
E' possibile fare tutto tramite una configurazione openvpn o devo attivare apposite regole sul firewall? In quest'ultimo caso, preferirei poterle attivare on-demand, evitando di averlo preconfigurato.
 
In pratica:
 
client1 \             / vlan1
client2 --> OpenVPN <-- vlan2
client3 /             \ vlan3
 
client1 deve accedere *solo* a vlan1.
 
Forse usando un bridge è più semplice (e probabilmente configurabile tutto all'interno di openvpn), ma leggevo in rete che sarebbe preferibile utilizzare la modalità ruotata salvo casi particolari.

 Ho 3 roadwarrior (ciascuno con il proprio certificato) che si devono connettere ad un concentratore OpenVPN e da li, poter raggiungere solo la propria VLAN senza metter becco in quelle altrui.
 
ccd con delle rotte specifiche per gli utenti (e magari anche con degli ip "statici" utente)
In ogni caso inserirei delle regole di firewall, magari con un UP o un CONNECT script.
dalla man page, cerca --up o --client-connect
 
my 2 c
stefano

 dalla man page, cerca --up o --client-connect
 
suggerisci di usare degli script di "client-connect" per attivare qualche regola di firewall. Di default posso benissimo tenere *TUTTA* la tabella di FORWARD in DROP (in questo modo, in caso di connessione VPN, nessuno potrebbe raggiungere le reti, compreso le proprie). In fase di connect aggiungo una ACCEPT per ciascun cliente, regola che sarà rimossa da --client-disconnect
 
Se ho capito bene, è esattamente ciò che voglio fare.
 
Leggendo la manpage, sembrerebbe ancora più sensato far fare tutto ad un singolo script client-connect, dato che tale script può fare il push di configurazioni al volo. così facendo:
 1. posso usare IP dinamici, dato che l'ip connesso sarà passato allo script
 2. posso centralizzare la gestione della mappatura common_name <> subnet, qualcosa tipo:
 
  $SUBNET=$(grep $common_name /etc/openvpn/configurazioni | cut -f2 -d':')
 in un file così composto:
 mioroadwarrior.miarete.com:1.2.3.0/24
 
con 3-4 righe di codice ed un singolo script di connessione dovrei risolvere.

 In questo modo, il client che si collega si becca 10.100.200.10 come IP (sarà ovviamente univoco tra i vari client e statico), il server OpenVPN avrà sempre lo stesso IP per tutti (10.1.32.1) ed sarà pushata una route statica per la subnet del cliente (ad esempio "sub.net.del.cliente/24")
 
Non va bene, così facendo devo impostare, su tutti gli host della subnet raggiungibile tramite VPN, l'ip della VPN come gateway, cosa non fattibile.
 
Mi sa che l'unica è il bridge.

 attivare apposite regole sul firewall?
 
E perchè non far creare le regole di firewall per-utente direttamente a
openvpn?
 

 openvpn?
 
E' ciò che sto facendo, tramite lo script "client-connect"
Sembra funzionare a dovere.
 
Di default la FORWARD è in drop, appena il client si connette, creo la doppia regola ip_client -> subnet_client e subnet_client -> ip_client