openvpn нестандартная конфигурация

добрый день, прошу помочь с конфигурацией openvpn. Есть 3 компьютера, которые выступают в роле межсетевых экранов, за каждым из них есть сеть с сервером. Необходимо установить и настроить openvpn на эти компьютеры, но в настройках указать чтоб трафик шифровался только между серверами.

________ ________ ________ ________
| | | |_____________| | | |
|сервер1 |----------| VPN1 | | | VPN2 |----------| сервер2|
|_______| |_______| | |________| |_______|
|
____|____
| |
| VPN3 |
|________|
|
____|____
| |
|сервер3 |
|________|

potap15 написал:

добрый день, прошу помочь с конфигурацией openvpn. Есть 3 компьютера, которые выступают в роле межсетевых экранов, за каждым из них есть сеть с сервером. Необходимо установить и настроить openvpn на эти компьютеры, но в настройках указать чтоб трафик шифровался только между серверами.

Надо четко понимать, что openVPN - это топология типа "звезда". Выбираешь центральный сервер (например, VPN1) и к нему подключаешь клиентами шлюзы VPN2 и VPN3. Соответственно разрешаешь маршрутизацию между клиентами. И тогда все, что находится за шлюзами пойдет по шифрованному каналу.

_______ ________ ________ ________ ________
| | | |_____| |________| | | |
|сервер1 |----------| VPN | |сервер3 | | VPN |----------| сервер2|
|_______| |_______| |________| |________| |_______|


1. Настраиваешь серверную част OpenVPN на "Сервере 3".
2. Создаешь подключение по OpenVPN Сервак1 к Серваку3
3. Создаешь подключение по OpenVPN Сервак2 к Серваку3
4. Настраиваешь маршрутизацию

Можно поднять на каждом сервере по связи с двумя предыдущими, а потом между ними настроить ospf =).

это часть только, серверов будет более 30. Еще пару вопросов:
1)возможно ли сделать несколько управляющих серверов? ( на случай отказа основного)
2)возможно ли сделать шифрованные каналы, но без изменений айпи адресов внутренних ресурсов?

potap15 написал:

это часть только, серверов будет более 30. Еще пару вопросов:
1)возможно ли сделать несколько управляющих серверов? ( на случай отказа основного)
2)возможно ли сделать шифрованные каналы, но без изменений айпи адресов внутренних ресурсов?

По первому вопросу - нет проблем поднять резервный openVPN сервер на втором компьютере и устроить там кластер высокой доступности средствами heartbeat или pacemaker. Это первый ход. А второй - в конфиге клиента можно указывать несколько IP-адресов openVPN серверов. У меня это дает переключение на резервный канал связи в случае отказа одного из провайдеров. Ну а сам сервер резервирую через pacemaker. Но что мешает иметь второй IP на совершено ином реальном сервере?
По второму вопросу - именно так и будет. Важно только одно - чтобы IP-сети во всех сегментах были различными.

"potap15⇓" написал:

1)возможно ли сделать несколько управляющих серверов? ( на случай отказа основного)

Можно заюзать tinc для построение отказоуствойтивой впн сети. Где нет управляющих серверов и вылет одной или нескольхих машин не повлияет на оставшиеся впн связи между узлами. Тлько вот для конфигурации 30 нод придется попотеть, тат как нету в tinc механизма обмена ключами.

всех благодарю за помощь