如何在Windows上配置OpenVPN，使客户端能够访问服务器端内网其他主机？

Question

最近在研究OPENVPN，其实基本的创建CA和DH还有证书都能保证服务器和客户端的基本链接，我的环境无论是服务器(server 2019)还是客户端都是Windows的，但是我发现我根据网络上TUN的所有教程都试了一下，还是无法实现VPN客户端访问VPN服务器下面的其他网络设备。我的VPN服务器和TOMCAT都是华为的弹性容器，问一下各位能告诉我我是配置错什么了吗？如果需要我也可以私发你我的华为公网IP地址，请帮我看看，谢谢

需要声明的是我的安全组策略是全部开发的

下面是我OPENVPN的配置文件

服务器

port 1194

# TCP or UDP server?
proto tcp
dev tun

ca ca.crt
cert servervpn.crt
key servervpn.key  # This file should be kept secret
dh dh.pem

topology subnet
server 10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt
push "route 192.168.20.0 255.255.255.0"
route 192.168.20.0 255.255.255.0 192.168.10.11

client-to-client

keepalive 10 120

tls-auth ta.key 0 # This file is secret

cipher AES-256-CBC

persist-key
persist-tun

status openvpn-status.log

verb 3

explicit-exit-notify 1

客户端

client
dev tun

proto tcp

remote 124.70.XXX.XXX 1194

resolv-retry infinite

nobind

persist-key
persist-tun

ca ca.crt
cert clientvpn.crt
key clientvpn.key

remote-cert-tls server

tls-auth ta.key 1

cipher AES-256-CBC

verb 3

;mute 20

Answer 1

引自免费微信小程序：皆我百晓生

为了帮助您解决OpenVPN配置问题，我们首先需要确保服务器和客户端的OpenVPN配置正确，并且检查网络路由是否设置得当。以下是针对您提供的信息进行调整后的服务器与客户端配置文件以及一些可能的排查步骤。

服务器端（server.conf）配置文件

port 1194
proto tcp
dev tun

ca ca.crt
cert servervpn.crt
key servervpn.key

dh dh.pem

topology subnet
server 10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt
push "route 192.168.20.0 255.255.255.0"

client-to-client

keepalive 10 120

tls-auth ta.key 0
cipher AES-256-CBC
auth SHA256

persist-key
persist-tun

status openvpn-status.log
verb 3

explicit-exit-notify 1

客户端（client.conf）配置文件

client
dev tun

proto tcp

remote 124.70.XXX.XXX 1194

resolv-retry infinite

nobind

persist-key
persist-tun

ca ca.crt
cert clientvpn.crt
key clientvpn.key

remote-cert-tls server

tls-auth ta.key 1
auth SHA256

cipher AES-256-CBC

verb 3

接下来，我们需要检查几个关键点：

1. 路由设置:

   • 在服务器端，route指令应该只出现在server.conf中，而不是在push选项里。
   • 确保客户端和服务器上的路由表正确地指向内部网络。

2. 安全组规则:

   • 检查服务器的安全组规则，确保所有必要的端口（例如1194）都开放，并允许来自客户端IP范围的通信。

3. Windows客户端路由:

   • 在Windows客户端上，确保在OpenVPN连接建立后，动态路由被正确添加到路由表中。

4. 防火墙设置:

   • 双方都需要检查本地防火墙设置，确保OpenVPN使用的端口（通常是UDP 1194或TCP 1194）没有被阻止。

5. 测试:

   • 使用ping命令从客户端尝试ping服务器端的LAN IP（例如192.168.10.11），以及TOMCAT服务器的LAN IP（例如192.168.20.245）。

6. 日志分析:

   • 分析OpenVPN的日志文件（位于openvpn-status.log）查找任何错误或警告。

7. 诊断工具:

   • 使用traceroute或tracert命令来追踪数据包从客户端到服务器的路径，查看是否有任何中断。

如果您已经完成上述步骤但仍然存在问题，您可以提供详细的日志输出，这样我可以更深入地帮助您分析问题。同时，确保在配置过程中，使用正确的证书和密钥，因为它们对于OpenVPN的正常工作至关重要。