Hola, tengo una duda, es posible que un computador conectado a una vpn con openvpn solo use la vpn para ciertas conexiones de IPs especificas?

Por ejemplo, me gustaría que todo el tráfico WEB no pase por la VPN sino solo ciertas ip como por ejemplo las de intranet o cuando un pc necesite acceder a otro pc dentro de la misma vpn, la idea es ahorrar ancho de banda en el servidor ya que mi idea no es restringir ni monitorear el tráfico, sino solamente tener un canal de acceso a los equipos y que ellos tambien puedan acceder a sistemas internos, porque tener que pasar todo el tráfico quiere decir que necesitaré una maquina y una conexión de red que aguante todo lo que hacen los usuarios y la verdad es que no me interesa si alguien esta descargando un iso o un software de mas de 20gb, solo necesito que la gente acceda a los sistemas internos y poder tener acceso a cada uno.

Una solución que se me ocurrió fue publicar todos los servicios al exterior y usar dominios especiales y un daemon en cada pc para poder acceder a la shell de manera inversa, pero publicar los servicios no lo encuentro muy buena por temas de seguridad y no todos los servicios son web.

Es posible hacer esto solamente usando openvpn y algun enrutamiento especial con iptables? por ejemplo hacer que el pc acceda a google normalmente pero a document.local usando la vpn?, se me ocurre creando dos redes virtuales dentro del pc cliente y enrutar esas direcciones a la red virtualizada y desde ahi levantar el cliente vpn pero no se si realmente se pueda.

Lo otro que pensé es usar solamente socks 5 y desde ahi hacer pasar las conexiones por tunnel, por ejemplo el git, voip, servicios web, etc pero en el caso de los sitios de intranet como lo haria para hacer pasar solamente algunos dominios por socks 5 y no todos? otraves una red virtual en local?

Finalmente encontré la respuesta y lo pude comprender, era tan simple como decirle al cliente que no procese nada excepto ciertas ip.

En el archivo de configuración del cliente /etc/openvpn/client.conf hay que agregar al final de todas las instrucciones:


Donde "route-nopull" indica que no redireccione nada y luego las excepciones donde x.x.0.0 equivale al rango de ips que pueda acceder a traves de la vpn que puede ser 192.168.0.0 o 10.8.0.0, en mi caso utilizo la subred 10.x y no 192.x para que no de conflicto con las ips internas del router del pc del cliente.

En mi caso el archivo de configuración del cliente quedó así:


Donde aaa.a es el dominio o ip del servidor vpn y bbb es el puerto.

Saludos!