Używając ccd OpenVPN użytkownik może się połączyć, ale nie może uzyskać dostępu do innych urządzeń [zamknięte]

Używam ustawień OpenVPN ccd do tworzenia kluczy statycznych dla każdego użytkownika.

Moja konfiguracja serwera wygląda tak

cat openvpn.conf
dev tun
proto udp
port 1194
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/openvpn/easy-rsa/keys/dh1024.pem
user nobody
group nogroup
server 10.8.0.0 255.255.255.0
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3
client-to-client
push "route 10.8.0.0  255.255.255.0"
client-config-dir ccd
route 10.9.0.0 255.255.255.25
management localhost 7505
push "redirect-gateway def1"
#push "redirect-gateway def1"
#set the dns servers
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
log-append /var/log/openvpn
comp-lzo

i ccd dla użytkownika wygląda

ifconfig-push 10.8.3.15 10.8.3.15

Gdy domyślni klienci konfiguracji mogą być dostępni z dowolnego urządzenia sieciowego VPN i mogą uzyskać dostęp do dowolnego urządzenia w sieci, klient ten skonfigurowany klientem ccd nie może uzyskać dostępu z sieci i nie może uzyskać dostępu / pingować żadnego urządzenia sieciowego VPN.

Przeglądałem, znajdowałem podobne problemy i zmieniłem ich konfigurację, ale to mi nie pomogło.

Jak mogę sprawić, aby ten klient ccd miał dostęp do innych urządzeń i że ten klient będzie dostępny z innych urządzeń OpenVPN?

Dokumentacja określa, że ​​każda para adresów ifconfig-push reprezentuje punkty końcowe klienta wirtualnego i serwera IP. Więc nie powinieneś if-config-push 10.8.3.15 10.8.3.15, ale dwa różne adresy. Aby być kompatybilnym z Windows, wybierz je w tej samej / 30 podsieci. Możliwe pary są podane w dokumentacji.

Ponadto umieszczasz klienta w innej podsieci niż ta, dla której przesyłasz trasy. route 10.8.0.0 255.255.255.0 obejmuje tylko ips od 10.8.0.0 do 10.8.0.255 (przy czym 10.8.0.0 jest podsiecią, a 10.8.0.255 adresem rozgłoszeniowym, który nie powinien być przypisany do urządzenia).

Masz dwie możliwości: albo wybrać statyczny IP w podsieci 10.8.0.0/24, albo reklamować trasę do statycznie skonfigurowanego klienta przez dodanie push "route 10.8.3.13 255.255.255.255" jeśli wybrałeś [13,14] para.