OpenVPN mit fester Client-IP

[trixter]

Moin Gemeinde,

hat schon mal jemand versucht OpenVPN-Usern feste IPs zuweisen zu lassen?

Hintergrund: Nicht jeder muss immer überall hin, Personaler brauchen die Perso-DB, andere sollten da besser nicht hineinsehen können.

Natürlich kann man das auch über unterschiedliche Instances lösen, das würde aber mutiple GWs erzeugen und damit unnötigen Overhead.

Freue mich über eure Infos - Danke im Voraus ;)

[Patrick M. Hausen]

Natürlich hat das schon jemand versucht - ist ein Standard-Feature. Was ist denn die konkrete Frage?

https://docs.opnsense.org/manual/vpnet.html#client-specific-overrides

[trixter]

Bisher funktionierte das so:
Unter VPN - OpenVPN - Client Specific Overrideseinen neuen Eintrag anlegen, bei "Common name" den Benutzername oder den common name des Zertifikats (je nach Konfiguration) eintragen und im Feld "Advanced" dann die gewünschte IP-Adresse hinzufügen:

"ifconfig-push 10.0.8.2 255.255.255.0;"

Unbedingt beachten sollte man, das die erste IP-Adresse bereits für den OpenVPN-Server vergeben ist, also immer erst ab der zweiten Adresse mit der Vergabe beginnen! Ggf. muss der OpenVPN-Server neu gestartet werden, damit die Änderungen greifen.

Update 02/2024

Offenbar wurde in der Zwischenzeit etwas verschlimmbessert. Jedenfalls der hier beschriebene Weg funktioniert nicht mehr (Version 24.1). Schlimmer noch, die bestehenden Einstellungen sind wohl weg. Im Dateisystem unter

client-config-dir /var/etc/openvpn-csc/1

findet man auch nichts mehr. Vielleicht wird oder wurde es auch woanders gespeichert ?

[Patrick M. Hausen]

Ich hab dir doch die Doku verlinkt: VPN > OpenVPN > Client Specific Overrides.

[trixter]

Sorry Patrick, aber ich aus der Anleitung nicht schlau:

https://docs.opnsense.org/manual/vpnet.html#id6

Das sind dieselben Optionen, die ich auch unter Instances habe, jedoch eine Möglichkeit dem Client aus dem Subnet 1982.168.0.0/24, die IP 192.168.0.8/24 fest zuzuordnen lese ich da nicht heraus, oder verstehe diese falsch.

[Patrick M. Hausen]

Bei IPv4 Tunnel Network kannst du die IP-Adresse rein schreiben. Steht doch daneben: "Push virtual IP endpoints for client tunnel, overriding dynamic allocation."

[Monviech (Cedrik)]

Btw das hier ist in den neuen versionen auch mit drin falls man wirklich nur CSO erlauben will:

https://github.com/opnsense/core/pull/9025