openvpn TP-LINK Archer C1200

Attól, hogy ugyanaz a subnet, még nem kell kategórikusan kijelenteni, hogy nem fog menni. De, megoldható. Csak nem a klasszikus felállás - ergo bocsolultabb és a konfigurálásához esélyesen nincs grafikus felület. Lépések:
- az openvp nem tun, hanem tap interface-t használ,
- a tap interface nem önállő IP címmel rendelkező interface, hanem bridge member,
- cserébe a belső hálózati interface-t is bele kell barkácsolni a bridge-be,
- ennek megfelelően mindenképp kell egy if-up script, ami elvégzi a brctl addif nemes műveletét,
- kliens oldalon ezen felül illő levenni a tap interface-ről az openvpn által automatikusan felhúzott IP címet.

A megoldás ugyan működik, de ennek vannalk olyan jutalmai, amelyek megfotolandóak:
- mivel alsóbb rétegen csomóztuk össze a két hálózatot, nem az IPv4 lesz az egyetlen protokoll, ami átmegy rajta,hanem minden más is: IPX, NetBeu. AppleTalk, IPv6, ....
- ennek megfelelően egy ARP kérés is (jogosan) átmegy. Meg minden broadcast is (logikus).
Kérdés, hogy ez mennyire probléma?

Ha a két hely subnet-je eltérő, akkor természetesen TUN interfésszel, route-olt kapcsolattal simán látni fogják egymást a két oldal eszközei.

Zárójelben, mert ez nekem sem nem kell, sem nem fog menni a TP-Link-kel:
(Valójában azonos címtartománnyal is meg lehetne oldani, ha pl. MT vagy bármi más teljesebb képességű eszköz lenne mind a két oldalon, de az egy kényszermegoldás olyan esetre, amikor a VPN felállításával megbízott szakinak nincs lehetősége egyik oldal IP tartományát sem cserélni. Pl. két független céget muszáj összekötni, de azonos IP tartományt használnak. Olyankor a túloldali gépeket nem a valódi, hanem egy virtuális címen lehet elérni. )

Nekem azonos címtartománynál csakis a layer2 összekötés játszana TAP interfésszel, de ilyent szerintem a TP-Link nem tud egyáltalán.

Ha átállítottad az egyik oldalt másik címtartományra, akkor a kapcsolat felépítése után annyi a dolgod, hogy a route táblába mindkét oldalon felvedd a túloldali subnet-et a VPN-en élő címmel (mint gateway). Meg persze egyik oldalon sem dobja el a tűzfal a túloldal IP címeiről jövő csomagokat.

A NETMAP target nagyon hasonlít a DNAT targethez, csak nem a teljes cél IP címet írja át, hanem csak a network részt (a host részt meghagyja). Így ha a VPN interfészen bejön egy csomag, aminek a cél IP-je 192.168.254.1, akkor a következő NETMAP szabály szépen átírja 192.168.0.1-re:

iptables-legacy -t nat -A PREROUTING -i "$VPN_IF" -d 192.168.254.0/24 -j NETMAP --to 192.168.0.0/24