OpenVPNでクライアント同士の接続を任意に制限できますか？

質問

OpenVPNでクライアント同士の接続を任意に制限できますか？

現在、OpenVPNにて「client-to-client」を有効にして、特定のパソコン(A)から他のVPNクライアント(B,C,D・・・)に対して1対nのリモート操作を行っております。
もちろんこの状態では、やろうと思えばBなどからAも操作できてしまいますので、それを防ぎたいのです。つまりBなどからAに対しては接続できないようにしたいのです。

ちなみにVPNクライアントには固定でIPアドレスを振り出しています。
プロトコルはudpを使用し、ルーティングモードで行っております。

アドバイスを宜しくお願い致します。

回答No.1

anmochi · ベストアンサー

この要件だったらやり方は2つあるのではないかな。

１．Aに対して外部からの接続拒否を設定する。
　設定を行うのはA。AのWindowsファイアーウォールなどで外部からの接続を拒否する。NIC単位ならOpenVPNクライアントに使っているTAPデバイスに対して拒否すればよい。

２．OpenVPN、client-to-client、ルーティングだと、ポート番号ベースだとファイアーウォールで設定する事になる。OpenVPNサーバーがLinuxならiptablesだな。この辺の話はFAQに載ってるはずだよ。多分「OpenVPN Bridging Routing」とかで検索したらたどり着けるはず。
　仮にクライアントAに振り出しているネットワークが10.8.0.5/29、Bが10.8.0.9/29だとすると、10.8.0.5あるいは10.8.0.4/29の3389番あてのパケット（->リモートデスクトップの場合）をサクマ式ドロップス(TM)してやれば良い。

お礼

お礼が遅くなりまして申し訳ありません。
ご回答どうも有難うございます。

１については納得です。確かに基本ですよね。
VPNサーバー設定に目が行ってて基本的なことが疎かになっていました。

２については、私もインターネットで色々調べていて、iptablesが有効なのかなと思い始めていました。
それが今回いただいたアドバイスにて確信に変わりましたので、早速試してみたいと思います。

本当にどうも有難うございました。

補足

iptablesを勉強し、ここ数日色々と試してみましたが、残念ながらうまく動作してくれません。

Ａが10.8.0.5、Ｂには10.8.1.1 を固定で振り出しています。
ＡからＢの接続はＯＫ、ＢからＡの接続はＮＧとしたい場合

iptables -A FORWARD -s 10.8.0.0/24 -d 10.8.1.0/24 -j DROP

では思うように制御できません。

ちなみに
iptables -A INPUT -s 10.8.1.0/24 -j DROP
にてＢからOpenVPNサーバーへの接続を拒否することはできました。

ＢからＡへの接続拒否の方法についてご教授願えませんでしょうか。
宜しくお願いいたします。