Como ativar o acesso do OpenVPN SOMENTE à LAN interna

Question

Estou tentando configurar uma conexão do OpenVPN com um servidor da empresa para que qualquer pessoa que trabalhe em casa ou que esteja fora do escritório possa acessar nossos recursos internos.

Eu tenho a configuração da VPN corretamente, usando um guia no blog da Digital Ocean (escrito para 16.04).

Eu posso conectar-me a partir de uma linha externa, executar ping nos servidores e dispositivos internos e acessar seus recursos. Isso funciona muito bem.

No entanto, queremos limitar a conexão apenas a recursos internos. Não queremos passar por uma conexão à Internet através do OpenVPN, que não é o uso típico de uma VPN (conexão de mascaramento, contornar Geoblocking ou apenas criptografar sua conexão).

Isso é possível? Eu sei, obviamente, que a conexão VPN precisa ser capaz de falar com o cliente, mas fora disso eu quero bloquear todas as conexões para a Web de outra forma.

O servidor em questão também é uma VM em execução em outra máquina.

    

Answer 1

É possível acessar apenas os recursos internos sem conexão à internet, acho que esse é realmente o cenário usual para usar o OpenVPN. Então, se você seguiu algum guia para configurar o servidor OpenVPN, também houve algumas etapas que permitiram encaminhar o tráfego de clientes para a Internet, você precisará desfazer essas etapas. Eu acho que você deveria começar comentando esta linha em server.conf

push "redirect-gateway def1 bypass-dhcp"

Em seguida, o envio de um servidor DNS para clientes deve ser desativado comentando as linhas semelhantes a

    push "dhcp-option DNS xxx.xxx.xxx.xxx

Claro que você precisará recarregar o OpenVpn conf depois de fazer as alterações.

    sudo service openvpn reload

E então desabilitando o encaminhamento de pacotes para a internet

    echo 0 > /proc/sys/net/ipv4/ip_forward

E para tornar a desativação do encaminhamento permanente, você também precisará editar

    /etc/sysctl.conf

linha de comentários

    net.ipv4.ip_forward=1

Por enquanto, acho que os clientes não devem mais poder acessar a Internet por meio de VPN.

    

Answer 2

Eu resolvi de maneira diferente no lado do cliente

Windows: Você tem que abrir as configurações de conexão VPN Então Networking > TCP / IPv4 > Propriedades > Avançado - Desativar a opção "Usar gateway padrão para redes remotas"