Интернет шлюз на Debian. Маршрут для клиентов через VPN.

iptables-save полный покажи. ppp0 это ВПН или PPPoE провайдерский?

Впервын создаю тему, извеняйте за оформление правила iptables: ''' iptables -P INPUT DROP

iptables -P OUTPUT DROP

iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i enp3s0 -j ACCEPT

iptables -A OUTPUT -o lo -j ACCEPT

iptables -A OUTPUT -o enp3s0 -j ACCEPT

iptables -A INPUT -p icmp –icmp-type echo-reply -j ACCEPT

iptables -A INPUT -p icmp –icmp-type destination-unreachable -j ACCEPT

iptables -A INPUT -p icmp –icmp-type time-exceeded -j ACCEPT

iptables -A INPUT -p icmp –icmp-type echo-request -j ACCEPT

iptables -A OUTPUT -o ppp0 -j ACCEPT

iptables -A INPUT -p all -m state –state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -p all -m state –state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -p all -m state –state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -m state –state INVALID -j DROP

iptables -A FORWARD -m state –state INVALID -j DROP

iptables -A INPUT -p tcp –tcp-flags ALL NONE -j DROP

iptables -A INPUT -p tcp ! –syn -m state –state NEW -j DROP

iptables -A OUTPUT -p tcp ! –syn -m state –state NEW -j DROP

iptables -A FORWARD -i enp3s0 -o ppp0 -j ACCEPT

iptables -A FORWARD -i ppp0 -o enp3s0 -j REJECT

iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.1.0/24 -j MASQUERADE ''' ppp0 это pppoe провардейский. После коннекта коннекта к VPN в этом интерфейсе появляется IP VPN.

Извиняюсь, с телефона пишу, оформить красиво нет возможности. В общем, если у тебя ppp0 это провайдерский PPPoE, то при поднятом PPPoE поднимая VPN - интерфейс VPN должен подняться под ppp1. Если же, он заменяет провайдерский ppp0 (PPPoE), то какое имя при этом становится у провайдерского PPPoE? Самое простое что приходит в голову, переименуй PPPoE в какой-нибудь ppp100 или наоборот, ВПН переименуй,и уже в правилах iptables укажи, через какой pppX выпускать локалку в инет. И убери это «iptables -A FORWARD -i ppp0 -o enp3s0 -j REJECT»

iptables -A FORWARD -i ppp0 -o enp3s0 -j REJECT Уже сам заметил, что глупо блочить свою локалку )))). При коннекте к VPN, ip vpn добавляется к провайдерскому в этом интерфейсе. Вывод примерно такой(c другого похожего ПК):

 pppo: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN group default qlen 1000
    link/ether ce:85:84:38:a3:27 brd ff:ff:ff:ff:ff:ff 
IP провайдера   
   inet 192.168.42.155/24 brd 192.168.42.255 scope global dynamic noprefixroute enp0s6u2
       valid_lft 3536sec preferred_lft 3536sec
IP VPN
    inet 10.10.10.5/32 scope global enp0s6u2
       valid_lft forever preferred_lft forever
    inet6 fe80::fdf4:8d10:539d:48c6/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

у VPN айпишник постоянный прилетает? или каждый дозвон - разные адреса? Если постоянный, то: это:

iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.1.0/24 -j MASQUERADE

iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.1.0/24 -j SNAT --to-source 10.10.10.5

К сожалению разные: 10.10.10.0/24. Хм… может можно как-то на сервере с VPN(strongsawan) в настройках закрепить ip для клиента. Попробую поискать как это можно сделать. или … может есть элегантное решение…? СПС.

давай попробуем дергать новый IP и скриптом создавать правило для NAT
Подними VPN и выполни:

ip addr show ppp0 | grep "inet" | grep "peer" | awk '{print $2}'

ip addr show ppp0 | grep "inet" | grep "peer" | awk '{print $2}'

[root@homeserver etc]# ip addr show ppp0
4: ppp0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1450 qdisc pfifo_fast state UNKNOWN group default qlen 3
    link/ppp
    inet 10.169.33.7 peer 10.169.33.1/32 scope global ppp0
       valid_lft forever preferred_lft forever
[root@homeserver etc]#
[root@homeserver etc]# ip addr show ppp0 | grep "inet" | grep "peer" | awk '{print $2}'
10.169.33.7
[root@homeserver etc]#

Идею я понял. парсим вывод, получаем IP и делаем правило

ip tablses ... SNAT --to-source IP

Я тут чуть покопался wiki.strongswan , но там много английских букв ))).

На сколько я понял надо всего лишь

iptables -t nat -I POSTROUTING -m policy --pol ipsec --dir out -j ACCEPT

Вроде есть еще один вариант. Создать новый интерфейс https://wiki.strongswan.org/projects/strongswan/wiki/RouteBasedVPN (там то же много английского к сожалннию для меня) и прописать маршрут.