OpenVPN auf 7270 Berechtigung für Clients

[for0nes]

Hallo,

habe hier eine 7270 mit Freetz/OpenVPN am laufen als Server.
Läuft auch allet wunderbar, nur wollte ich die Clients jetzt "einschränken".

Configuration hab ich über die Freetz-Web Oberfläche angelegt. Sollte also Standard sein.

ifconfig 10.8.8.8 255.255.255.0
push "route-gateway 10.8.8.8"
mode server
client-config-dir /clients_openvpn
topology subnet
push "topology subnet"
max-clients  2
push "route 192.168.178.0 255.255.255.0 10.8.8.8"
route 192.168.179.0 255.255.255.0 10.8.8.9
route 192.168.180.0 255.255.255.0 10.8.8.7

Leider existiert das Verzeichnis nicht: /client_openvpn

Wie kann ich das auf der Fritzbox anlegen? Per Telnet&vi?

Und wie müssen die Dateien für den jeweiligen User aussehen?
Der 1. soll auf das gesamte Netz zugreifen können + Clients (also Systemadmin)
Der 2. nur auf die Samba-Freigabe der Fritzbox selber. Also kein LAN dahinter.

Ist die Konfiguration über das WebInterface überhaupt so möglich am Server?
Was soll in die Config des Admin?
Ich weiß, ne blöde Frage, wenn der "Admin" das auch nicht weiß^^

 

[MaxMuster]

Hi,

der Ordner "clients_openvpn" wird vom OpenVPN des Freetz schon angelegt, allerdings wird OpenVPN aus Sicherheitsgründen mit chroot unter dem User "openvpn" ausgeführt, der in /tmp/openvpn "eingesperrt" ist.
Die Dateien liegen also aus Sicht des "normalen" Dateisystems unter "/tmp/openvpn/clients_openvpn".

Standardmäßig wird das jedoch nur genutzt, um pro Client (pro Zertifikat) eine IP und ggf Routen zu den Clients festzulegen. Wenn du das tiefer festlegen willst, müsstest du da von Hand eingreifen.
Dazu könntest du ein Skript "/tmp/flash/openvpn.extra" anlegen, das in diese Dateien etwas schreiben kann. Dabei ist zu beachten, das dieses Skript so aufgerufen wird, dass es alle eigenen Ausgabe nach "/mod/etc/openvpn.conf" schreibt:

	if [ -r "/tmp/flash/${DAEMON}.extra" ]; then
		cat /tmp/flash/${DAEMON}.extra >> /mod/etc/${DAEMON}.conf
	fi

Wenn also darin etwas in eines der Client-Clonfigs geschrieben werden soll, müsste es direkt erfolgen mit

echo "was auch immer " >> /tmp/openvpn/clients_openvpn/<DerClient>

Was in die Configs rein soll, ist natürlich schwierig:
Du könntest die Routen für das Netz hinter der Box nicht in der GUI eingeben, dann wird es standardmäßig auch nicht verteilt und du könntest das "push route ..." dann gezielt nur in eine Config reinschreiben. Dann würde der eine Client zumindest die Route für das LAN nicht automatisch bekommen (er könnte sie sich aber natürlich noch selbst eintragen).
Eine "echte Sicherheit" wirst du so ohne weiteres wohl nicht allein mit OpenVPN hinbekommen. Dafür müsstest du wohl eine Firewall (z.B. iptables) bemühen...

Jörg