SSL-VPN mehrere interne Netzwerke

Die saubere und einzige Lösung ist, alle Netze in der SSL Config anzugeben und dann über das Userobject den Zugriff regeln.  

Sven

hmm, ja, so hatte ich das ja, bis vpn-user X daher kam, das er mit einer route auf 10.101.0.0 / 16 nichts anfangen kann, da er schon andere netze bei sich hat, die 10.101.***.yyy / 24 haben .... und ihm reicht es, wenn ich ihm 10.101.0.0/24 geben würde .... normal hätte ich gesagt, user, du hast pech, nicht mein problem... aber es gibt user, da kann man soetwas leider nicht sagen ... [:@]

Hmm - wenn es wirklich nur der eine superspezialpoweruserceo ist :-) kann du ihm vielleicht eine leicht abgewandelte *.ovpn Datei unterjubeln.

Ich habs selber noch nicht gemacht aber laut der openvpn Hilfe kann man doch nach dem ganzen Verbindungsaufbau noch scripts laufen lassen - vielleicht gibts da nen Weg die zuviele Route wieder rauszukloppen.

Gruß
Manfred

wenn das so ein spezieller user ist, dann sollte man dem vlt einen ipsec-client spendieren, da kann man pro user die routen vergeben.

ja, mehr wie speziell der user.... bin heute halb ausgerastet, wegen dem - nein, ipsec währ dann zu einfach - der user nimmt nur ovpn :-/

das mit der ovpn config hab ich auch schon überlegt, kann ich im ovpn-clientfile sagen, das er die route automatisch setzen soll ????

Hm - also der OpenVPN Server in der ASG benutzt scheinbar du 'push' methode um die Routen an die Clients zu schieben - ich weiß nicht ob man sich dagegen wehren kann.

Aber mit ein Up Skript das die eine 'falsche' Route wieder löscht, könnte man evtl. hinkommen. Hier mal ein Link zu den möglichen Parametern: OpenVPN 2.2. Ich fürchte, da muß man ein bischen rumprobieren ...

Gruß
Manfred

(I apologize - my German-speaking brain is not working. [[;)]])

M0rphois, you didn't say which group this special user is in.  If he only needs access to a single server, say 10.101.0.1, you could create a NAT rule like 'Any -> Any -> {172.21.0.1} : SNAT to (10.101.0.1}', add {172.21.0.1) to 'Local networks' for the SSL VPN, and then anyone can access the server at 172.21.0.1 instead of 10.101.0.1.

If he needs access to a complete /24 subnet, then you have a problem this approach can't solve, and Manfred's solution is the only one.

If this special person is an employee of your corporation, then it sounds like you have a long-term networking proble to solve... or good justification for starting to plan on implementation of IPv6! [[;)]]

MfG - Bob (Bitte, auf Deutsch weiterhin)