OpenVPN多服务器集群单点接入配置实现方案相关问题咨询

方案结论 #

你的需求完全可以实现，不需要维护多份OpenVPN配置，也无需通过中间服务器SSH跳转，是业内非常成熟的远程接入私网的部署模式。

标准部署步骤 #

1. 部署独立OpenVPN接入节点 #

从5台服务器中任选一台作为固定接入节点即可，无需新增硬件资源，核心配置如下：

• OpenVPN服务端给客户端分配独立的隧道网段，比如10.8.0.0/24
• 在服务端配置文件中添加路由推送规则：

  push "route 192.168.1.0 255.255.255.0"
  

  该规则会在客户端连接成功后，自动将访问私网192.168.1.X段的流量导入OpenVPN隧道
• 开启服务器IP转发：
  执行sysctl -w net.ipv4.ip_forward=1，并将net.ipv4.ip_forward = 1写入/etc/sysctl.conf永久生效
• 配置SNAT规则，允许隧道网段流量访问私网：

  iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -d 192.168.1.0/24 -j MASQUERADE
  

  若使用firewalld等防火墙工具，替换为对应规则即可。

2. 私网服务器路由配置 #

若OpenVPN接入节点本身就是5台服务器的默认网关，无需额外配置。否则需要在每台私网服务器添加静态路由，保证回程流量可以回到OpenVPN客户端：

ip route add 10.8.0.0/24 via 192.168.1.[OpenVPN节点的私网IP]

将规则写入系统静态路由配置文件可实现永久生效。

3. 客户端配置 #

本地仅需维护1份OpenVPN客户端配置，指向接入节点的公网IP即可。连接成功后，可直接通过ssh root@192.168.1.X访问任意一台私网服务器，无需跳转。

高可用可选方案 #

如果不想固定单台作为接入节点，可在5台服务器上都部署相同配置的OpenVPN服务端，客户端配置中添加remote-random参数，将5台服务器的公网IP都加入remote列表，客户端会自动随机选择可用节点接入，全程仍只需维护1份客户端配置。

内容的提问来源于stack exchange，提问作者TVA van Hesteren