VPN+SSL+Internet+мобильник

Добрый день!

Есть десяток компов с серыми адресами. Есть сервер у провайдера с нормальным белым ИП. Компы объединены а VPN (openVPN). Все хорошо, но хочется большего. На каждом компе крутится apache с авторизацией по SSL сертификату. Можно ли в принципе сделать так, чтобы пользователь, находящийся в инете (вне нашей VPN), имел доступ к компам внутри VPN? Да еще с использованием SSL сертификата.
Можно попробовать пробрасывать порты на сервере - заходим на порт 444 - пакетик уходит к компу 1, на порт 445 - к компу 2 и так далее. Но, во-первых не уверен, что так можно, а во вторых не очень красиво. Да еще SSL этот, будь он неладен. Ставить на клиента OpenVPN нельзя.
В качестве клиентов выступают android и apple мобильники, что тоже не прибавляет оптимизма. Есть у кого-нибудь опыт подобных извращений?

"sm" написал:

Можно попробовать пробрасывать порты на сервере - заходим на порт 444 - пакетик уходит к компу 1, на порт 445 - к компу 2 и так далее. Но, во-первых не уверен, что так можно, а во вторых не очень красиво. Да еще SSL этот, будь он неладен.

так сделать можно, но так как у вас нет белого ip то вы это не сделаете.

На сервере белый ip. А вот на компьютерах с апачами ip неизвестно какой (обычно черный).
Если бы все компы имели белые ip мне бы не понадобилось организовывать VPN. Идея в том, что мобильники отсылает запрос серверу с белым ip, а тот пробрасывает пакет нужному компьютеру внутри VPN сети.

sm написал:

На сервере белый ip. А вот на компьютерах с апачами ip неизвестно какой (обычно черный).
Если бы все компы имели белые ip мне бы не понадобилось организовывать VPN. Идея в том, что мобильники отсылает запрос серверу с белым ip, а тот пробрасывает пакет нужному компьютеру внутри VPN сети.

ну не черные а серые ;)
Тогда мне если честно не понятно зачем было поднимать vpn, если сервер находится в 1 локальной сети с компами, тут достаточно обычного NAT и тупо через iptables пробросить порт на нужный комп внутри сети, все.
Или есть куча компов которые разбросаны териториально, и есть сервак арендуемый в дата центре, и вот на нем поднят VPN сервак к которому подключаются по VPN териториально разбросанные компы ? *SCRATCH*

lone_wolf написал:

Или есть куча компов которые разбросаны териториально, и есть сервак арендуемый в дата центре, и вот на нем поднят VPN сервак к которому подключаются по VPN териториально разбросанные компы ? *SCRATCH*

Так и есть. Сервак их собирает в кучку, я захожу на сервак и оттуда на любой из них по ssh. Теперь стоит вопрос как предоставить доступ клиентам к этим компам. Сейчас сделано так - клиент шлет http запрос на сервер, сервер забирает данные с компа и передает клиенту. А хочется сделать прозрачное соединение.

Ангидрид твою перекись марганцем, ну так изначально надо было четко это и сказать.
Ну вот тогда по идее можно сделать как и было задумано, а именно сервак же знает c какой ip он выдал клиенту, так вот тупо берем и в iptables пишем правило проброса порта на внутренний ip. И потом с мобилы обращаемся к серверу по ip:port

а ничего, что там SSL трафик бегает? Вроде как на уровне iptables пофигу что пробрасывать, но как-то нет уверенности. Спасибо за консультацию, буду думать, как там что делать дальше.

sm написал:

а ничего, что там SSL трафик бегает? Вроде как на уровне iptables пофигу что пробрасывать, но как-то нет уверенности. Спасибо за консультацию, буду думать, как там что делать дальше.

думаю что нечего, но на каждом копе надо юзать разный port

sm написал:

В качестве клиентов выступают android и apple мобильники, что тоже не прибавляет оптимизма. Есть у кого-нибудь опыт подобных извращений?

Ну почему же извращение?
Тот же андроид прекрасно держит openVPN. И может быть клиентом в VPN-сети. Приложение называется в GooglePlay "OpenVPN для Android". И оно не требует рутования andriod'а. Подключаешь смартфон к VPN, закачиваешь на него файл (/etc/hosts с именами твоих серверов) и вуаля.

У меня так мой смартфон подключен к офисной ATC. Которая сидит на честных серых адресах...
Другое дело - если ты не хочешь подключать к VPN эти мобильники. Тогда да, тогда только трансляция портов.