OpenVPN + RADIUS + разделение клиентов

[freeddos]

Здравствуйте.
Имеем RouteOS 6.44 на микротике и клиенты на Windows.
OpenVPN на Mikrotik работает, авторизация через RADIUS (Windows сервер) тоже работает.
Но нужно например сделать пользователей админов и пользователей пользователей.

Обычной схемой можно реализовать просто пользователей. Настроен на микротике PPP профиль, там указан пул адресов для клиентов и Local Address. Я не использую Secret закладку т.к. локальные пользователи не нужны авторизация через RADIUS.

Например чтобы разделить пользователей я могу завести два Pool адресов, назвать из for_user и for_admin.
Но вот профиль для сервера будет только один. и я ни как не разделю Local Address и не сделаю его разным, и тут проблемы с маршрутизацией.

И маршрутами я просто разделю куда смогут ходить пользователи а куда админы.
Рад буду мыслям и помощи.

PS локальными админами не очень хотелось бы через Secret т.к. всетаки не зря RADIUS прикручивал.

[Chupaka]

Приветствую.

С радиуса попробуйте возвращать параметр Framed-Pool:

IP pool name (on the router) from which to get IP address for the client.

[freeddos]

Здравствуйте.
Да я так делал, все классно. Возвращается пул адресов нужный который заведен для клиентов.
Но когда клиент подключается то создаётся запись в Route в которой Perf. Source это адрес вписанный в профиле ppp где Local Address.

Клиенты подключаются получают разные адреса, но вот маршрут у всех клиентов на этот адрес который в профиле ppp (потому что в OPVNServer можно выбрать только один профиль).

И на клиенты отказываются подключаться если в конфиге route <подсети выданная через pool> <маска> <ip в профиле ppp Local Address>

Может я не туда копаю

[Chupaka]

Но когда клиент подключается то создаётся запись в Route в которой Perf. Source это адрес вписанный в профиле ppp где Local Address.

Всё верно, так и должно быть.

Клиенты подключаются получают разные адреса, но вот маршрут у всех клиентов на этот адрес который в профиле ppp (потому что в OPVNServer можно выбрать только один профиль).

Ну, тоже пока, вроде, всё хорошо.

И на клиенты отказываются подключаться если в конфиге route <подсети выданная через pool> <маска> <ip в профиле ppp Local Address>

Вот эту часть не понял. Кто отказывается подключаться и почему?..

Может я не туда копаю

Может, попробуйте задачу сформулировать с примерами? А то я пока не понимаю, что вы хотите получить в итоге...

Посмотрите ещё в сторону атрибута Mikrotik-Address-List — в этот List будет добавляться адрес клиента на время его подключения.

[freeddos]

Задача такая что бы разделить маршрутами одних пользователей пускать на одни сервера других на другие.
Есть две группы users и admins они конектяться через radius. Для этих каждой группы radius выдает значение pool этим клиентам.
Сейчас получается клиенты конектяться получают адрес из нужного pool но маршрут имеют с perf source одинаковый (например 192.168.0.1)
В конфиге клиента типа:
route 172.17.0.0 255.255.255.0 192.168.0.1
А в другом
route 172.17.1.0 255.255.255.0 192.168.0.1
Клиенты должны ходить в разные подсети. Но если в конфиге есть параметр route с маршрутом клиент не коннектиться, а если убрать то подключается.

[Chupaka]

А по-нормальному, фильтром файрвола, это не получится сделать? Добавлять одних клиентов в один адрес-лист, других - в другой, потом разрешить, кому куда надо, и запретить всё остальное.

Про pref source и почему клиент не коннектится с параметром route - всё ещё не понимаю. Наверное, надо изучать логи на клиенте?..

[freeddos]

Просто каким образом может быть для всех одинаковый perf source если он будет вообще в другой подсети.
Например perf source = 192.168.10.1
А клиентам выдаются адреса из пула 192.168.1.0 и 192.168.2.0, значит нужно им расширять маску чтобы они могли достукиваться до общего шлюза?
Framed-IP-Netmask если этот параметр ставить на Radius то нужную маску не получают клиенты.
А без установки Local Address в профиле не работает.

[Chupaka]

Просто каким образом может быть для всех одинаковый perf source если он будет вообще в другой подсети.

Вот таким, это PPP, тут нет привязки шлюзов и подсетей, вот этого всего. Ничего не мешает сделать local-address=1.2.3.4 и раздавать клиентам адреса из пула 5.6.7.(0-255). Это обычная практика.

А клиентам выдаются адреса из пула 192.168.1.0 и 192.168.2.0, значит нужно им расширять маску чтобы они могли достукиваться до общего шлюза?

Ну, если клиент не добавляет маршрут к адресу шлюза через VPN-интерфейс - то можно использовать интерфейс в качестве шлюза, в PPP это работает аналогично, в отличие от Ethernet.

Framed-IP-Netmask если этот параметр ставить на Radius то нужную маску не получают клиенты.

Framed-IP-Netmask - если его на радиусе указать, на роутере создастся маршрут к адресу клиента с такой маской, не более. Сам клиент об этом ничего не узнает. Это написано в документации

[freeddos]

Я немного не понимаю, подключается клиент.
Он получает адрес: 192.168.0.1 из пула.
При этом таблице route list создается запись типа
dst.address gateway Perf. source
DAC - 192.168.0.1 - <имя интерфейса> - 1.2.3.4

При этом какой маршрут должен быть на клиенте чтобы зарулить трафик в этот VPN интерфейс для подсети например 172.17.0.0

[Chupaka]

На клиенте должен быть маршрут к подсети 172.17.0.0 через <имя интерфейса на клиенте>. На Шindoшc такие маршруты, кажется, обозначаются как On-link. И тогда нет никаких заморочек с адресом на стороне роутера.

Но такой маршрут не является никакой защитой от того, что клиент куда-нибудь ещё влезет. Ничего клиенту не мешает прописать себе маршрут 0.0.0.0/0 через VPN - и ходить куда заблагорассудится. Поэтому я и прошу сформулировать конечную цель, а не ваше видение решения задачи.

[freeddos]

И если в конфиге клиента прописать
"route 172.17.0.0 255.255.255.0 1.2.3.4" или "route 172.17.0.0 255.255.255.0"
То на клиенте появляются множественные сообщения типа
"TEST ROUTES: 0/1 succeeded len=1 ret=0 a=0 u/d=up
Route: Waiting for TUN/TAP interface to come up..."
без параметра route в конфиге подключается.

[Chupaka]

Т.е. у вас проблема с клиентом OVPN, а вы киваете на сервер? =)

https://yamilker.livejournal.com/163312.html - пробовали? Первый же результат в Гуголе...

[freeddos]

Пробовал не помогает.
Если прописать маршрут в конфиге то не подключается.

Подключился без маршрутов в конфиге - клиент подключился. получил адрес из нужного пула (через параметр радиуса).
Прописал в ручную маршрут до внутренней подсети с серверами через roure add <серверная подсеть> mask 255.255.255.0 <perf souce адрес> (остальные маршруты запретил).
И вуаля заработало, с клиента трафик идет в серверную подсеть нормально.

В общем проблему на клиенте с маршрутами буду решать.

[freeddos]

Оказалось можно а конфиге клиента использовать
route-method exe
route <подсети куда нужно попасть> <маска> <внешний ip oenvpn сервера>
И маршрут прописался и приконектился.

[freeddos]

На тестовой Роулинг завелся на клиенте.
Но тот же клиент (заведомо рабочий) не поднялся на рабочем микротики. С теми же ошибками выаваливался.
Но Коннект на микротики есть когда начинают эти ошибки сыпаться, даже интерфейс получает адрес, а вот маршрут на клиенте не прописывается.
Есть предположение что это потому что роутинг на стороне микротики не настроен - такое может быть?

[Chupaka]

Нет, от роутинга со стороны роутера ничего зависеть не должно — роутинг ведь может быть и несимметричным. Странно, что ошибки те же — их-то причина, вроде как, устранена методом exe...

[freeddos]

Перепробовал много разных способов методом тыка. все равно та же ошибка и маршрут не прописывается.
Но если в конфиге убрать "route"
и прописать ручками типо "route add .... ", но важно указать IF (интерфейс) иначе не работает.
Может как раз дело в добавлении в маршруты интерфейса.

[freeddos]

С маршрутами проблема оказалась и с маской.
т.к. есть несколько подсетей пользователей и в профиле ovpn стоит ip (например какой нибудь 172.17.10.1) в виде perf. source.
дело в мастке в настройках ovpn, устанавливаю маску 20 например.
При подключении добавляется маршрут автоматом.