Zentraler VPN Tunnel zwischen zwei Zentyal Gateways

[Skaal]

Guten Tag Community

Leider hat auch längere Suche mir keine Antwort gebracht, darum frage ich nun euch.

Folgende Situation:
Netz A <-> Zentyal A <-> Intranet <->Zentyal B <-> Netz B

Im Detail:
Netz A
172.16.10.0/24
Clients
#################
Zentyal A
eth0: 172.16.10.1/24
eth1: 192.168.10.1/24
#################
Intranet
Gesichertes Netz, auf dem ich allerdings keine Routings hinterlegen kann
Das 192.168.10.0/24 Netz und das 192.168.20.1/24 Netz kennen sich.
Es kennt aber keines der beiden 172.16.X.X Netze
################
Zentyal B
eth0: 192.168.20.1/24
eth1: 172.16.20.1/24
#################
Netz B
172.16.20.0/24
Clients + Server

Soll zustand:
Die Clients im Netz A sollen Zugriff auf die Server im Netz B bekommen.
Ein verbindungsaufbau erfolgt nur von den Clients zum Server.
Die Clients von Netz B brauchen keinen Zugriff auf die Clients Netz A
Ich möchte gerne vermeiden, dass jeder Client ein VPN Zugang benötigt und will einen Tunnel zwischen den Zentyal-Servern einrichten.

Was ich Versucht habe:
Meine Idee war, auf den Zentyal B den VPN Server zu installieren und siesen als „Advertised networks“ das Netz B zu hinterlegen. Auf den Zentyal A die Verbindung als Client hinterlegt und fertig.
Ich kann auch von Zentyal A die Server auf Netz B anpingen. Leider komme ich nur von den Clients Netz A nicht auf die Server.

„TUN interface“ Haken ist drin
„NAT“ Haken ist auch drin
"Allow Zentyal-to-Zentyal tunnels" haken ist draußen (habe auch noch nicht herausfinden können, was der genau bewirkt. Macht aber auch keinen unterschied ob rein oder raus)

Kann mir jemand sagen, wo mein Denkfehler liegt?
Ein kreativer Vorschlag, wie ich das am besten umsetzen kann, ist auch nicht schlecht.

[Skaal]

Ich habe eine Lösung gefunden.
Nicht wirklich schön aber es funktioniert!

Alle Änderungen sind auf den Client (Zentyal A) durchzuführen!

Step 1:
Bearbeiten der Stub File: openvpn-client.conf.mas
Hier am Ende Folgenden Code einfügen

Code: [Select]

script-security 2
up "/etc/openvpn/up.sh <% $dev %>"Dies bewirkt, dass dies auch in der OpenVPN Config Datei steht.
Hier wird dem openvpn Client mitgeteilt, dass nach erfolgreichen erstellen der Verbindung das Script up.sh gestartet wird.
Als Variable wird das Tunnel-Device übergeben.

Step 2:
Eine Datei mit den Namen up.sh in /etc/openvpn erstellen und ausführbar machen.

Code: [Select]

#!/bin/bash
iptables -A POSTROUTING -t nat -o $1 -j MASQUERADE
[Logging und Prüffunktionen habe ich der Übersichtlichkeit wegen aus dem Code entfernt]
Hier wird der ausgehende Verkehr einfach maskiert.

Fertig!

Ist aber mit Sicherheit nicht der Ideale Weg.
Verbesserungsvorschläge werden gerne angenommen.