OpenVPN a de multiples éléments paramétrables.
Je vais mettre ici quelques éléments spécifiques que j'ai déjà eu à utiliser. J'utilise traditionnellement un Debian pour mettre en place mes serveurs OpenVPN.
On peut paramétrer son tunnel VPN du coté du serveur ou du coté du client. La principale différence est qu'il faudra utiliser le mot clé push lorsque l'on modifie le fichier de configuration du coté du serveur, également la configuration sera appliquée sur l'ensemble des clients.
Voyons la difference de synthaxe évoquée juste au dessus en mettant en place la même configuration des deux cotés. Ici avec le paramétrage du serveur DNS.
dhcp-option DNS 192.168.0.200
push "dhcp-option DNS 192.168.0.200"
dhcp-option DNS 192.168.0.200 dhcp-option DOMAIN domain.local
En terme de sécurité il peut être intéressant de restreindre les flux accessibles via le VPN, pour cela on pourra utiliser la commande iptables.
root@host:~# iptables -A FORWARD -o enp4s0 -p tcp --dport 3389 -j ACCEPT root@host:~# iptables -A FORWARD -i enp4s0 -p tcp --sport 3389 -j ACCEPT root@host:~# iptables -A FORWARD -o enp4s0 -p tcp --dport 53 -j ACCEPT root@host:~# iptables -A FORWARD -o enp4s0 -p udp --dport 53 -j ACCEPT root@host:~# iptables -A FORWARD -i enp4s0 -p udp --sport 53 -j ACCEPT root@host:~# iptables -A FORWARD -i enp4s0 -p tcp --sport 53 -j ACCEPT root@host:~# iptables -A FORWARD -o enp4s0 -j DROP
On peut activer le routage pour donner accès à l'intégralité d'un réseau.
net.ipv4.ip_forward = 1
root@host:~# sysctl -p /etc/sysctl.conf
root@host:~# iptables -t nat -A POSTROUTING -s 10.50.8.0/24 -o ens192 -j MASQUERADE
route 192.168.1.0 255.255.255.0
Ici un cas ou les adresses 192.168.0.251 et 192.168.0.250 seront accessibles via le VPN, le reste du réseau 192.168.0.0/24 sera quand à lui accessible via le LAN ou la passerelle par défaut interne. C'est particulièrement utile lorsque le Client et le Serveur utilisent le même plan d'adressage.
route 192.168.0.251 255.255.255.255 route 192.168.0.250 255.255.255.255 route 192.168.0.0 255.255.255.0 net_gateway
root@host:~# cat /etc/openvpn/openvpn-status.log
Contact :