Openvpn нет доступа к сети за сервером, хотя на шлюзе все работает

Маршруты на микротике:

И что здесь что? Какой интерфейс это openvpn с CentOS? Какие адреса локалки в сети, где CentOs?

извиняюсь: OpenVPN:

10.1.2.1 - сервер микротик
10.1.2.2 - клиент centos

LAN:

192.168.20.1/24 - микротик
192.168.0.1/24 - centos

И я привел маршруты не с микротика а с centos..

У OpenVPN, чтобы видеть сеть за клиентом, какое-то колдунство надо применить особое в конфиге (openvpn, только не помню, сервера, или клиента). Обычного ip route add недостаточно. Оно гуглится и вполне описано, просто не помню сходу.

конфиги сервера и клиента покажите

Так мне надо видеть сеть за сервером. странность в том что со шлюза (который в роли клиента) все работает, у меня есть доступ в сеть за сервером. А вот компы в локалке которые за этим шлюзом доступ в сеть за сервером не имеют.

В чем косяк я так и не понимаю.

Выше же уже написали, сервер не знает ничего о локалке клиента.
Еще раз конфиги покажите.
btw если замаскарадить локалку клиента то в одну сторону будет работать. :)

Сервер: не нашел в микротике что то на подобии как в линухе, только вот так:

/interface ovpn-server server
set certificate=mikrotik.crt_0 cipher=blowfish128,aes128,aes192,aes256,null \
    default-profile=OpenVPN enabled=yes mode=ethernet port=1195 \
    require-client-certificate=yes

remote myserv.st.ru 1195
dev tap

nobind
persist-key

tls-client


ca /etc/openvpn/mikrotik/ca.crt
cert /etc/openvpn/mikrotik/centos_server.crt
key /etc/openvpn/mikrotik/centos_server.key

ping 10
verb 3
ns-cert-type server
cipher AES-256-CBC
auth SHA1
pull
# эта строка задаёт файл с логином-паролем которые мы прописывали в PPP-Secrets на микротике
auth-user-pass /etc/openvpn/mikrotik/auth.cfg
профиле
#auth-user-pass
route-method exe
route-delay 2
route 192.168.20.0 255.255.255.0 10.1.2.1

Да это я понимаю, не понимаю только почему со шлюза который является клиентом OpenVpn я вижу локалку за сервером...

btw если замаскарадить локалку клиента то в одну сторону будет работать. :)

Так мне и нужно в одну сторону

Сервер: не нашел в микротике что то на подобии как в линухе, только вот так:

Ищите, конфиги у openvpn везде практические одинаковые, хоть linux хоть androin &etc
Вам нужна волшебная фраза iroute что бы сервер знал о сети клиента.

Чего-то вы «путаетесь в показаниях», в залоловке: «tun0» а здесь «dev tap»

iptables -t nat -A POSTROUTING -o openvpn_интерфейс -j MASQUERADE

Да ковыряю, настройки меняю, tap сейчас стоит, если это важно то могу обратно на tun переделать как я понял для моей задачи это не важно.

В целом нет, но раз только начинаете пробовать не надо «коноплю с грибами мешать», оставайтесь на одном сорте :) В вашем случае tun оставьте.

Ищите, конфиги у openvpn везде практические одинаковые, хоть linux хоть androin &etc

Я Неправ, посмотрел наискосок гугл, беру свои слова назад.

по другому сделал: iptables -t nat -A POSTROUTING -d 192.168.20.0/20 -s 192.168.0.0/24 -j SNAT --to 10.1.2.1

трафик забегал, только почему то все что на https отказалось работать..правда в момент когда я проверял инет пропал..завтра посмотрю

по другому сделал: iptables -t nat -A POSTROUTING -d 192.168.20.0/20 -s 192.168.0.0/24 -j SNAT --to 10.1.2.1

Это почти тоже самое.
1. По простому: В случае SNAT вы указываете явно какой адрес подставить, в случае MASQUERADE выбирается автоматом.
2. Я написал вариант чуть проще с указанием интерфейса.

только почему то все что на https отказалось работать..

Посмотрите на fw.
ЗЫ Тут много знатоков микротика, я с сожалению не помню кто именно, поищите в темах и кастаните сюда. Т.к. решение с маскарадом все-таки костыль.

Без костыля пока никак, как оказалось что у провайдера на филиале та же адресация что и в локалке в офисе. Менять адресацию не очень хочется, слишком большой геморой.

Ну можно оставить один статик маршрут до роутера (я не думаю что провайдерская локалка нужна) а вю сетку в тунель.

Пока работает, трогать не буду, потихоньку, со временем,лучше поменяю адрессацию. Так будет надежнее и проще потом, в поисках «а почему не работает»