Изпечатай

[Archer]

Здравейте,
Имам проблем с конфигурацията на ОpenVPN. Като цяло VPN-а работи, но искам да го накарам да работи с повече от една мрежа(4) и само 4 сертификата. Примерно:
Имам една мрежа 10.10.150.0/24 да я разбия на 4 подмрежи 10.10.150.0/192 и когато user със сертификат-1 се закачи той да взема адрес само от диапазона  10.10.150.1-62. Тоест получава се:

Сертификат1-10.10.150.1-62
Сертификат2-10.10.150.65-126
Сертификат3-10.10.150.129-190
Сертификат4-10.10.150.193-254

Цялата тази схема я правя за да мога впоследствие с помоща на IPTABLES да регламентирам достъпа до отделни мрежи зад VPN сървъра. Разбрах как се раздават конкретни IP-та, но това изисква n-на брой сертификати(според броя на потребителите).

[laskov]

Би могъл да пуснеш 4 процеса, които да слушат на различни портове.

[Archer]

Да точно така направих. Сметнах, че ще бъде най-добре. Благодаря все пак.

За тези които четат темата:
1.Направих 4 копия на основният конф.файл server.conf, с различни имена.
2.Рестартирах процеса и ми се появиха общо 4 tun interfaces. 

[laskov]

А може би ще е по-елегантно ако го направиш с един единствен конфиг файл, в който да не е зададен порт и да го стартираш с

openvpn --config конфиг-файл --port 1194
openvpn --config конфиг-файл --port 1195
...

Всъщност, даже и да имаш зададен порт в конфиг файла, командният ред е с приоритет.

[Archer]

Да, но в този случай как бих могъл да направя правата за достъп до отделните мрежи. Имам предвид, че сега съм указал във всеки един от конфиг файловете към кои мрежи да има достъп.
Апропо, понеже виждам, че си се занимавал по обстойно, можеш ли да ми помогнеш със самите сертификати.
Имам следния проблем. Връзват са потребителите посредством сертификата, но не ми иска парола, имам предвид парола за самият сертификат. Когато генерирам сертификат ми се появяват три файла:
*.crt
*.key
*.csr
Тях ги добавям в conf директорията на клиента и в client conf файла, но там ползвам ca.crt за всички потребители.

Къде според тебе ми е грешката за да не ми иска парола за сертификата.

[laskov]

Не си сгрешил. Някъде пишеше, че не е удобно сертификата да се генерира така, че да иска парола, понеже ако връзката прекъсне, при вдигането и ще иска парола и докато не се въведе - няма закачане, няма и връзка.