OpenVPNドキュメント

企業VPNのセットアップを想定して、3つのユーザークラス毎に個別のアクセスポリシーを設定したいとします。

• システム管理者…ネットワーク上の全てのマシンへのフルアクセス
• 正社員…Samba/メールサーバーのみアクセス可能
• 契約社員…特定のサーバーのみアクセス可能

基本的なアプローチとして、(1)各ユーザークラス毎に仮想IPアドレスに分離する、(2)クライアントの仮想IPアドレスをキーとするファイアウォールのルールを設定してマシンへのアクセスを制御する、の2つがあります。
今回の例では、システム管理者は1名、正社員は変動あり、契約社員は2名、と想定します。IPアドレスの割り当ては、正社員に対してはIPアドレスの範囲内から割り当て、システム管理者と請負業者に対しては固定IPアドレスを割り当てるものとします。
また、今例の前提条件として、OpenVPNサーバーマシン上でソフトウェアファイアウォールとしてLinux iptablesが稼働しています。
これにより、特定のファイアウォールルールを定義できるようになります。

まず、ユーザークラス毎の仮想IPアドレスをマッピングします。

ユーザークラス名	仮想IPアドレス範囲	アクセス可能範囲	共通名
正社員	10.8.0.0/24	10.66.4.4 Samba/メールサーバー	［変数］
システム管理者	10.8.1.0/24	10.66.4.0/24 サブネット全体	sysadmin1
契約社員	10.8.2.0/24	10.66.4.12 契約社員用サーバー	contractor1, contracter2

次に、このマッピングをOpenVPNサーバー設定に書き換えます。
こちらの手順に従い、10.66.4.0/24サブネットが全てのクライアントに対して利用可能な設定になっている事を確認します。
クライアントが10.66.4.0/24サブネット全体にアクセスできるようルーティング設定をおこなった後、上記ポリシーに従ってファイアウォールを設定し、アクセス制限を適用します。

tunインターフェイスのユニット番号を定義して、後でファイアウォール ルールで参照できるようにします。

サーバー設定ファイルで、正社員のIPアドレス範囲を定義します。

システム管理者及び契約社員のIPアドレス範囲に対するルーティングを追加します。

システム管理者と契約社員には固定IPアドレスを割り当てるため、クライアント設定ディレクトリを使用します。

ccdサブディレクトリに別の設定ファイルを配置して、システム管理者と契約社員の固定IPアドレスを定義します。

ccd/sysadmin1

ccd/contractor1

ccd/contractor2

ifconfig-pushでpushされる2つのアドレスは、仮想クライアントとサーバーのIPエンドポイントを表しています。
Windowsクライアント及びTAP-Windowsドライバとの互換性のため、これらのアドレスは連続する/30サブネットから選択する必要があります。
具体的には、各エンドポイントのIPアドレスの最後のオクテットの組み合わせを以下のセットから取得する必要があります。

これでOpenVPNの設定は完了です。
あとはアクセスポリシーに基づいてファイアウォールルールを追加します。
今回の例ではLinux iptables構文のファイアウォールルールを以下のように使用します。