OpenVPN сложная структура

Может ли вообще OpenVPN объединить множество локальных сетей, помогите реально не пойму что делать, тупо погуглить не получается дока в основном или множество клиентов один сервер или впн между двумя локальными сетями.

маршруты посмотри на удаленных шлюзах.
я думаю, что их просто нет

Более отвратительного описания проблемы давно не видел.

>Проблема такая если я с клиента пингую 192.168.40.12 есть ответы. а если из 192.168.0.0/24 то нет.

У тебя выше написано, что 192.168.0.0/24 и еще 7 сетей являются клиентами. Опиши с чего что ты пингуешь, пожалуйста.

>а нужно что бы комп 192.168.0.12 мог видеть 192.168.40.12 и наоборот

Но я могу предположить, что на самом деле ты хочешь, чтобы любая машина одной сети видела любую машину другой сети.

Не знаю как в случае линукса, но твои команды route живут только для openvpn на виндах. Соответственно, на каждом клиенте линукс или чего-то еще должен быть маршрут к шлюзу.

Т.е. если шлюз смотрит в сетку _физическим_интерфейсом_ с адресом (для простоты возьмем такую метрику) 172.16.128.1, а локалка, подключенная через инет, имеет адрес 192.168.10.0/24, то у тебя на рабочих клиентах в сети должно быть написано что-то типа

route add -net 192.168.10.0 netmask 255.255.255.0 dev eth0 gw 172.16.128.1

А на серваке уже

route add -net 192.168.10.0 netmask 255.255.255.0 dev tap0

Для второй сети все то же самое.

P.S. Один маленький момент - я строил конфигурацию под Fedora 8 и не через мосты, а через NAT. Соответственно для каждой подсетки другая сеть конфигурировалась так же, как если бы она была "интернетом".

Буду стараться ясне выражать свои мысли спасибо. Давайте пока отбросим то что нужно подключать еще 7 локальных сетей. Возьмем то что есть счас:
  Внешний интерфейс		   Внешний интерфейс	

   213.181.00.00                    85.101.11.111
  +--------------+                 +-------------+
  |   server  	 |     Internet	   |  client*    |
  |              |<->-----------<->|             |
  | FreeBSD, NAT |                 | FreeBSD NAT |
  |              |                 |             |
  +-----+--------+                 +-------+-----+
        ^      ^                     ^     ^
        |      |         VPN         |     |
        |      +---------------------+     |
        |              10.8.0.0            |
  +-----+---+				+--+------+
  |Локальная|__192.168.40.12		|Локальная|__192.168.0.12
  |   сеть  |				|   сеть  |
  +---------+				+---------+
    192.168.40.0			192.168.0.0

Я понимаю не слишком удачное название для шлюза клиент))) На данном этапе только находясь на client* я могу пропинговать комп 192.168.40.12. 
Следовательно туда значит маршрут проложен, просто загвоздка в том что маршрут точно такой же и на client*. Но в результате должно получится 
ком 192.168.40.12 видит 192.168.0.12 и на оборот. В перспективе в место 2 объединенных сетей должно быть 8 объединенных сетей.
В линуксовом нате не рублю, у меня так:
Кусок из Packet Filter:

vpn_if  = "tun0"
vpn_network="{10.8.0.0/24}"
nat on $ext_if from $vpn_network to any -> $ext_if
pass in on $ext_if proto udp from any to port 1194 keep state

а вы уверенны, что надо шифровать трафик между сетями ?

если нет, то проще и правильнее поднять простые тунели(ip-ip,gre,etc) между FreeBSD и прописать маршруты..

а по vpn подключать именно(и только) клиентов у которых нет постоянного ip-адреса

Да шифрование нужно, иначе эта затея не имеет смысла, в одной из подсетей будет сервер БД почти не защищенный, а там конфиденциальная инфа о стоматологических клиентах.

У тебя проблемы с маршрутизацией. Почитай повнимательнее и попробуй сделать проще - http://www.section6.net/wiki/index.php/Setting_up_Routed_OpenVPN_in_FreeBSD
http://www.lissyara.su/?id=1549
http://unixstyle.nnm.ru/nastroka_servera_openvpn_chastichnyj_perevod_howto

Извините за наглость но можно не много по точнее про проблему с маршрутизацией, где проблема в NATe или на OpenVPN.

Я полагаю, что проблема в том, что ты не совсем понимаешь, что ты желаешь настроить..

Почитай тут, подумай, выбери - http://www.shorewall.net/OPENVPN.html
какой тип VPN соединения тебе нужно настроить.

Затем - ifconfig 10.8.0.1 255.255.255.0
Ты желаешь настроить тунели в IP mode или Bridge mode? - http://www.openmaniak.com/openvpn_tutorial.php

# IP ADDRESSING
# IP mode example:
# Server IP: 10.8.0.1 ; Client IP: 10.8.0.2
ifconfig 10.8.0.1 10.8.0.2
# Bridge mode example
# Server IP: 10.8.0.1
ifconfig 10.8.0.1 255.255.255.0
# Use bridged or routed settings but not
# both
# Client and Server must use the same
# tunnel mode

Далее -
push "route 192.168.40.0 255.255.255.0" - ну, тут всё ясно.
push "route 192.168.0.0 255.255.255.0 10.8.0.6" - а вот этим ты что клиенту делегируешь?

Тоже самое на клиентской стороне - push "route 192.168.40.0 255.255.255.0 10.8.0.1"

Подумай над этим. И внимательно прочитай следующее howto с примерами и комментариями к опциям настройки - http://openvpn.net/index.php/documentation/howto.html#config

Да, кстати, если хочешь, чтоб клиенты видели друг друга, то не забывай об опции - client-to-client

Далее, накидаю ещё полезной информации на почитать -

http://www.section6.net/wiki/index.php/Setting_up_OpenVPN_in_FreeBSD
http://www.bsdguides.org/guides/freebsd/security/openvpn2/print
http://blog.innerewut.de/2005/07/04/openvpn-2-0-on-openbsd

ИМХО, NAT здесь излишен. В условии - нумерация подсетей не пересекается. Все, что нужно - правильно настроить маршрутизацию между серверами подсетей. У самого была практически аналогичная ситуация, за исключением того, что с каждого сервера устанавливалось несколько OpenVPN соединений с другими серверами, дабы по возможности избежать транзитного трафика (ибо пров его за деньги продавал). Поставил кваггу, настроил ospfd... работает...

Совет: для начала настрой маршрутизацию между серверами. Клиентами займешься, когда сервера будут знать, где какая сеть (в этом поможет ospfd). А дальше настраивай маршруты на клиентских машинах. Для меньшего геморроя рекомендую сервер каждой из подсетей сделать "шлюзом по-умолчанию". Так избежишь множественного набирания "route add -p ...." у клиентов в случае расширения сети.

для этих целей, тогда уж, лучше strongswan использовать.

хотя, это для linux.. уж лучше сразу ipsec использовать в доступных реализациях.