DD-WRT OpenVPN fixed IP issue?!

[schumi2004]

Draai al een poosje DD-WRT thuis en OpenVPN werkt opzich ook prima maar nu kom ik er niet uit.

Ik draai build Firmware: DD-WRT v3.0-r30534 std (09/01/16)
OpenVPN werkt met subnet assigned 192.168.1.0/24 (hier schijnen de meningen over verdeeld te zijn of je dit nu wel of niet als subnet moet nemen)
Het LAN segment is 10.0.0.0/24
En ik gebruik OpenVPN for Android op mijn mobiel.

Tot dusver alles goed en werkt het ook.

Maar nu wil ik een fixed IP toekennen aan een gebruiker en hier firewall rules op zetten. De firewall rules werken maar het zetten van een fixed IP werkt niet. Nouja het werkt in zoverre dat ik wel een fixed IP krijg maar ben ook meteen mijn connectie naar het LAN kwijt.

Ik probeerde een gebruiker een fixed IP te geven dmv een ccd file met deze inhoud:

code:

ifconfig-push 192.168.1.100 192.168.1.101
push "route 10.0.0.125 255.255.255.255"

Maar die laatste regel (push route) wordt gewoon genegeerd en aangemerkt als Excluded en de enige route die er komt is een 192.168.1.100/31. Ik kan routes pushen wat ik wil maar ze worden gewoon niet opgenomen.
De maker van OpenVPN for Android geeft aan dat er een route-gateway gepushed wordt van 192.168.1.1 (die kan ik halen uit de Android app logging) die dit veroorzaakt maar nergens in de DD-WRT config kom ik dit adres tegen of iets wat deze zou pushen.

In het kort, hoe kan ik nu fatsoenlijk een fixed IP toekennen voor VPN gebruikers en toch connectivity naar het LAN behouden?

OpenVPN server config is als volgt:

code:

dh /tmp/openvpn/dh.pem
ca /tmp/openvpn/ca.crt
cert /tmp/openvpn/cert.pem
key /tmp/openvpn/key.pem
keepalive 10 120
verb 3
mute 3
syslog
writepid /var/run/openvpnd.pid
management 127.0.0.1 14
management-log-cache 100
topology subnet
script-security 2
port 1143
proto tcp-server
cipher aes-256-cbc
auth sha1
client-connect /tmp/openvpn/clcon.sh
client-disconnect /tmp/openvpn/cldiscon.sh
client-config-dir /tmp/openvpn/ccd
comp-lzo yes
tls-server
ifconfig-pool-persist /tmp/openvpn/ip-pool 86400
client-to-client
tcp-nodelay
tun-mtu 1500
mtu-disc yes
server 192.168.1.0 255.255.255.0
dev tun2
tun-ipv6
passtos
push "dhcp-option DNS 10.0.0.1"
push "route 10.0.0.0 255.255.255.0"

Client config is als volgt:

code:

client
verb 4
connect-retry 2 300
resolv-retry 60
dev tun
remote 12.34.56.78 1143 tcp-client
comp-lzo
nobind
cipher AES-256-CBC
float
persist-tun
preresolve
management-query-proxy
ns-cert-type server 
resolv-retry infinite 
keysize 256

[daxy]

Waarom push je niet gewoon de default gw?

code:

push "redirect-gateway def1"

Hierdoor gaat al je verkeer over de VPN en kan je vervolgens filteren wat je maar wilt, of niet?

Anyhow, ik zie nu pas dat je een typo hebt in de push route lijn.
Je wilt 10.0.0.125 255.255.255.255 over de VPN tunnelen, maar dit kan niet.
Het moet zijn "10.0.0.0 255.255.255.255" of "10.0.0.125 255.255.255.128"

[ Voor 36% gewijzigd door daxy op 05-01-2017 16:44 . Reden: config error gevonden ]

[Thralas]

daxy schreef op donderdag 5 januari 2017 @ 16:19:
Je wilt 10.0.0.125 255.255.255.255 over de VPN tunnelen, maar dit kan niet.
Het moet zijn "10.0.0.0 255.255.255.255" of "10.0.0.125 255.255.255.128"

Die mag je uitleggen. Waarom kan dat niet? Volgens mij doet het precies wat TS wil.

schumi2004 schreef op donderdag 5 januari 2017 @ 15:51:

code:

ifconfig-push 192.168.1.100 192.168.1.101
push "route 10.0.0.125 255.255.255.255"

Die ifconfig-push klopt niet.

code:

Note: Using --topology subnet changes the interpretation of the arguments of --ifconfig
to mean "address netmask", no longer "local remote".

Er is geen remote endpoint in subnetmodus. Het hele internet staat nog vol met voorbeeldjes van point-to-point mode, maar de 'moderne' manier is subnet mode. Wel even rekening mee houden met ifconfig[-push]

De maker van OpenVPN for Android geeft aan dat er een route-gateway gepushed wordt van 192.168.1.1 (die kan ik halen uit de Android app logging) die dit veroorzaakt maar nergens in de DD-WRT config kom ik dit adres tegen of iets wat deze zou pushen.

Dat vloeit voort uit de expansie van de 'server' directive (zie de handleiding):

code:

if dev tap OR (dev tun AND topology == subnet):
    ifconfig 192.168.1.1 255.255.255.0
    if !nopool:
        ifconfig-pool 192.168.1.2 192.168.1.253 255.255.255.0
    push "route-gateway 192.168.1.1"
    if route-gateway unset:
        route-gateway 192.168.1.2

Daar is je route-gateway.

[schumi2004]

@Thralas
Thanks, hier kan ik wel iets mee. Ik ga weer even verder stoeien.