LINUX.ORG.RU
решено ФорумAdmin

Настройка клиента OpenVPN

 ,


0

1

Есть роутер который подключен к openvpn серверу с подсетью 10.10.10.0/24 (сервер 10.10.10.1). На роутере (10.10.10.5) нужный кусок домашней подсети 172.16.0.0/24 маркируется (цепочка PREROUTING в таблице mangle) и пересылается с помощью ip rule в свою таблицу маршрутизации с дефолтным маршрутом на openvpn сервер. Всё работает хорошо, но хочется кинуть ssh сервер с роутера в openvpn подсеть. Для этого маркирую весь входящий и исходящий трафик по порту 22 в/из tun0 в таблице mangle (правила INPUT/OUTPUT) и тем же ip rule они пересылаются в таблицу маршрутизации на vpn сервер.

Проблема в том, что на сервере openvpn я не могу подключиться к ssh серверу на роутере. tcpdump показывает что пакеты ssh от сервера vpn (10.10.10.1) доходят до роутера (10.10.10.5), но обратно никак не идут. Форвардинг на vpn-сервере и на роутере разрешен для интерфейса tun0. Роуты vpn удалены из стандартной таблицы роутера и есть только в таблице для vpn подключения. Или же нужно маркировать пакеты с роутера цепочкой PREROUTING вместо OUTPUT/INPUT в таблице mangle?

P.S С vpn сервера так же нельзя пинговать роутер - пакеты icmp идут только в сторону клиента, а обратно тишина.

Я такого рода проблемы разбиваю на две. Во-первых, ставлю на оба хоста iperf. Во-вторых, проверяю с помощью iperf-а в UDP-режиме работу в одну и другую сторону. Иногда оказывается, что в одну сторону пакеты идут, а в другую — нет, что позволяет сузить круг поиска

XMs ★★★★★ ()

Закомментил на vpn сервере строчку в iptables:

-A POSTROUTING -s 10.10.10.0/24 -j SNAT --to-source xx.xx.xx.xx

И всё заработало. Только теперь не роутит трафик с клиентов через IPшник vpn сервера. Как это исправить? Маскарад не использую потому что нельзя указать на какой внешний IP SNATить подсеть.

FluffyPillow ()
Ответ на: комментарий от Deleted

А не проще указать интерфейс? Если потом внезапно понадобиться больше сетей как описывать будем?

anc ★★★★★ ()
Ответ на: комментарий от anc

А не проще указать интерфейс?

А если еще один интрерфейс появится?

Если потом внезапно понадобиться больше сетей как описывать будем?

Вот когда понадобится, тогда и поговорим. Тогда ipset в помощь.

Deleted ()
Ответ на: комментарий от Deleted

А если еще один интрерфейс появится?

Роутинг через разные интерфейсы но при этом с одним адресом в snat ? Что же, такое может быть. Асимметрия сама по себе не запрещена. Но и схемка будет явно не как у ТС.

Вот когда понадобится, тогда и поговорим. Тогда ipset в помощь.

Объясните, зачем костыли с not (восклицательный знак как отрицание), когда все решается проще? А если и говорить про измененные правила, то логичнее разделять на два, первый с ACCEPT

anc ★★★★★ ()
Последнее исправление: anc (всего исправлений: 1)
Ответ на: комментарий от anc

Роутинг через разные интерфейсы но при этом с одним адресом в snat ?

Захочет ТС поднять рядом какой-нибудь новомодный wireguard с адресами в той же сети, например.

зачем костыли с not

С чего вдруг костыли?

когда все решается проще?

Хорошо, с интерфейсом наверно действительно будет лучше.

А если и говорить про измененные правила, то логичнее разделять на два, первый с ACCEPT

Это как?

Deleted ()
Ответ на: комментарий от Deleted

С чего вдруг костыли?

С того что правила not работают в единственном экземпляре.

А если и говорить про измененные правила, то логичнее разделять на два, первый с ACCEPT

Это как?

-d 10.10.10.0/24 -j ACCEPT

anc ★★★★★ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.