Conexão OpenVPN da segunda sub-rede no escritório?

Question

Eu tenho a configuração e o funcionamento do OpenVPN. Meu escritório faz parte de um grande edifício que opera várias VLANs. Obviamente, dentro de nossa própria VLAN, posso acessar recursos locais e, em qualquer lugar do mundo, posso usar o OpenVPN. Mas quando conectado a uma VLAN diferente no mesmo estabelecimento, não posso fazer nada.

O OpenVPN está reclamando porque está se conectando ao endereço IP externo do prédio, mas a resposta está sendo roteada de volta internamente (por switches sobre os quais não tenho controle), o que significa que a resposta não é do IP esperado. Resultado:

Incoming packet rejected from [AF_INET]10.67.5.1:1194[2], 
   expected peer address: [AF_INET]195.x.x.x:1194 
   (allow this incoming source address/port by removing
   --remote or adding --float)

(x.x.x = ip público censurado)

Alguém ajuda? (Percebo que isso é semelhante a outros outros posts mas achei que o meu problema era um pouco diferente e justifiquei uma questão separada)

Conforme solicitado, conf do servidor:

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key  # This file should be kept secret
dh dh1024.pem
server 10.67.15.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 10.67.5.0 255.255.255.0"
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3

Configuração do cliente

client
remote example.org
ca /etc/openvpn/ca.crt
cert /etc/openvpn/client_rich.crt
key /etc/openvpn/client_rich.key
comp-lzo yes
dev tun
proto udp
nobind
auth-nocache
script-security 2
persist-key
persist-tun
user openvpn
group openvpn

    

Answer 1

Como foi dito, adicione uma opção float à configuração do cliente e tente novamente.

--float

Allow remote peer to change its IP address and/or port number, such as due to DHCP (this is the default if --remote is not used). --float when specified with --remote allows an OpenVPN session to initially connect to a peer at a known address, however if packets arrive from a new address and pass all authentication tests, the new address will take control of the session. This is useful when you are connecting to a peer which holds a dynamic address such as a dial-in user or DHCP client.

Essentially, --float tells OpenVPN to accept authenticated packets from any address, not only the address which was specified in the --remote option.