Проблемы с OpenVPN

Извините за недоверие, но пакеты точно не идут через eth1 в локальную сеть? Вы проверяли tcpdump/wireshark? Гораздо вероятнее, что в локальной сети проблемы с маршрутизацией.

Точно. На любом сервере

tcpdump -i tun0 показывает, что пакеты пришли с другой стороны.

tcpdump -i any показывает тоже самое.

Что-то типа "192.168.1.100 -> 192.168.2.100 echo request" и всё. Тишина. Попыток переслать пакет в локалку ядро не делает.

route -n говорит, что всё в порядке.

Мне даже неудобно за свою назойливость, но в случае 'tcpdump -i any' "192.168.1.100 -> 192.168.2.100 echo request" идут не парами?

Просто буквально вчера было то же самое.

в цепочках POSTROUTING во всех трёх таблицах ничего подозрительно нет? Раз уж доказано, что там пакеты появляются..

nat пуст, пакеты идут только в одном направлении. Т.е. по одному.

client-to-client

Кстати, стоит проверить. :-)

И

А маршруты для 192.168.(1|2).0/24 на каждом из VPN серверов имеются ?
Не может ли в это всё вмешиваться rp_filter ? (sysctl -a|grep rp_filter)

Маршруты есть - как я уже сказал в первом сообщении - пакеты доходят до второго сервера и там умирают в tun интерфейсе.

sysctl -a | grep rp_filter
net.ipv4.conf.all.rp_filter = 0
net.ipv4.conf.all.arp_filter = 0
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.default.arp_filter = 0
net.ipv4.conf.lo.rp_filter = 1
net.ipv4.conf.lo.arp_filter = 0
net.ipv4.conf.eth0.rp_filter = 1
net.ipv4.conf.eth0.arp_filter = 0
net.ipv4.conf.eth1.rp_filter = 1
net.ipv4.conf.eth1.arp_filter = 0
net.ipv4.conf.tun0.rp_filter = 1
net.ipv4.conf.tun0.arp_filter = 0

Первый сервер - eth1 - LAN

Я так понимаю rp_filter нужно только для tun* интерфейсов отрубать?

Для начала можно поубирать везде, если поможет - тогда уже более точно экспериментировать.

Короче, проблема рушил - слишком круто iptables настроил :-)

rp_filter не имеет значения.