[BSD] OpenVPN route probléma

[Vas Péter]

Sziasztok!

Ha már így előkerült az OpenVPN, nekem is lenne vele problémám. :-)

A felállás a következő: otthoni tűzfal OpenBSD, ADSL+dyndns. Ezen fut 
szerverként OpenVPN, 2.0.6. verzió.
A kliensek közül egyik a benti munkahelyi XP, ez tűzfal és Squid proxy 
mögül csatlakozik, másik kliens bátyám szintén OpenBSD tűzfala (szintén 
ADSL+dyndns).
A probléma a kliens mögötti hálózat elérésével van szerver oldalról. A 
HOWTO <http://openvpn.net/howto.html#scope> alapján csináltam, OpenVPN 
routing módban műxik. A kliensek gond nélkül képesek elérni a szerver 
mögötti hálózatot, bármelyik gépet, visszafelé azonban nem működik a 
dolog, tehát a szerver mögötti belső hálózatról a kliens végpont mögötti 
hálózatot nem lehet sehogy elérni. A HOWTO-ban megadott módon 
megcsináltam a ccd-ket, és nem is jelez hibát a logban OpenVPN. 
Látszólag minden működik, felkapja a kliensek konfigja alapján a routing 
információkat. Még az is működik, amikor szerver oldalról az OpenVPN 
által kiosztott kliens IP-t pingetem, tehát a tunnel is él. De a mögötte 
levő hálózatot nem látja. Nem a tűzfal okozza a gondot, engedtem minden 
szükséges portot és IP-t, és néztem is a tűzfal logját mindkét oldalon 
amikor megpróbáltam pinggel elérni a kliens hálózatát, nem dobott vissza 
semmiféle csomagot. Routolási probléma lehet, de nem tudok rájönni hol 
és mi.  íme az OpenBSD route táblája, a pf.conf  idevágó részei és az 
openvpn szerver konfigja.


Routing tables

Internet:
Destination            Gateway                Flags    Refs      Use    
  Mtu      Interface
default                   0.0.0.1                  UGS        5    
23558      -           pppoe0
0.0.0.1                  default                   UH          1        
0          -           pppoe0
10.1.1/24              link#1                    UC          2        
0          -           rl0
10.1.1.3                00:06:4f:0b:e9:89  UHLc       1       27         
-           rl0
10.1.1.4                00:50:8d:68:eb:ff   UHLc       1     7185       
-           rl0
10.8.0/24              10.8.0.2               UGS         0    
10793      -           tun0
10.8.0.2               10.8.0.1                UH           2        
0          -           tun0
10.100.1/24         10.8.0.2                UGS         0        0       
   -           tun0
127/8                   127.0.0.1              UGRS       0        0  
    33224      lo0
127.0.0.1             127.0.0.1              UH           1        0  
     33224      lo0
192.168.2/24       link#3                    UC           0        
0          -           rl1
192.168.3/24       link#2                    UC           1        
0          -           ral0
192.168.3.2         00:14:85:16:b3:85 UHLc       1    15203      -       
    ral0
224/4                  127.0.0.1               URS         0        0  
    33224      lo0

10.100.1/24 a kliens belső hálózata.

pf.conf:

ext_if="pppoe0"
int_if="rl0"
vpn_if="tun0"
VPN_network="10.8.0.0/24"

pass in quick on { $vpn_if $ext_if $int_if } inet proto { tcp udp } from 
$Friends to { $ext_if $vpn_if }port { 1194 443 }flags S/SA modulate state
pass in quick on $vpn_if inet proto { tcp udp } from $VPN_network to any 
port $WinNetBIOSPorts flags S/SA keep state
pass in quick on tun0 inet proto tcp from $VPN_network to { 10.1.1.4 
192.168.3.2 } port $VNC_ports flags S/SA modulate state
pass in quick on $vpn_if inet proto tcp from $VPN_network to 10.1.1.3 
port ssh flags S/SA modulate state

Az OpenVPN szerver konfigja:

port 443
proto tcp
dev tun0
ca ca.crt
cert server.crt
key server.key
dh dh1024.pem
server 10.8.0.0 255.255.255.0
push "route 10.1.1.0 255.255.255.0"
push "route 192.168.3.0 255.255.255.0"
client-config-dir ccd
route 10.100.1.0 255.255.255.0
keepalive 10 60
ping-timer-rem
tls-auth ta.key 0
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
log-append  openvpn.log
verb 6

Végigolvastam rendesen az OpenVPN FAQ-ot, plusz a levlista archívumokban 
is keresgéltem a megoldást, de nem találtam semmit. Ha valakinek volna 
ötlete, megköszönném!

Üdv:

Vas Péter