Управление доступом пользователей к шлюзу OpenVPN

[merzavec]

Возможно не очень правильно сформулирована тема((
Условия:
Есть 2 сети соединенные друг с другом через OpenVPN туннель.
Задача:
Необходимо организовать доступ пользователей из одной сети к серверу терминалов в другой сети - элементарная задача если бы не одно "но...".
Разрешение на доступ пользователя к терминалу, должен давать администратор (не системный, просто что-то вроде начальника отдела), при выходе из терминального сеанса (обрыва связи) разрешение нужно получать заново, подключений будет много, то есть сам процесс выдачи разрешения должен быть быстрый и не сложны (обычный пользователь будет этим заниматся).


Внимательно прислушаюсь к любому совету в какую сторону хотя бы копать.

[Goodvin]

Совсем непонятно причем тут вообще OpenVPN.
Смысл соединения двух сетей туннелем как раз в том, чтобы работать с машина в удаленной сети так же, как будто они стоят рядом.
Здесь вопрос сугубо касательно авторизации, безотносительно VPN-а.

как вообще авторизуяются у Вас на терминальном сервере ?
Там у Вас домен или что ?

[merzavec]

Уточнение - разрешения необходимо выдавать не конкретно к терминальному серверу, а полностью к сети в которой он находится.

[selectron]

Уточнение - разрешения необходимо выдавать не конкретно к терминальному серверу, а полностью к сети в которой он находится.

Думаю, что лучше эту задачу решить другими средствами. Например, iptables. И для таблиц написать скрипт для юзера.

[Ariasp]

элементарная задача если бы не одно "но...".
Разрешение на доступ пользователя к терминалу, должен давать администратор (не системный, просто что-то вроде начальника отдела), при выходе из терминального сеанса (обрыва связи) разрешение нужно получать заново, подключений будет много, то есть сам процесс выдачи разрешения должен быть быстрый и не сложны (обычный пользователь будет этим заниматся).

используйте одноразовые пароли; в одних дистрибутивах это s/key, в других otp, в третьих opie; создаёшь полотно одноразовых паролей для каждого нужного юзера, и "начальник" может раскинуть пальцы веером -- всё будет просто и быстро, он будет просто вычёркивать из списка каждый следующий использованный пароль; по исчерпании полотно паролей генерируется заново, и "начальник" снова будет при деле
одноразовые пароли вполне можно связать с аутентификацией в openvpn; совсем не обязательно генерить сертификаты для каждого юзера; достаточно сертификата самого openvpn-сервера, а юзеров можно аутентифицировать по логину/паролю через плагин openvpn-auth-pam.so; поскольку это pam-плагин, то тип аутентификации может быть любым, хоть системные /etc/shadow, хоть керберос, хоть одноразовые s/key