openvpn правила для iptables

тебе одного маскарада/snat не хватит?

Ну насколько я помню NAT-правила не обеспечивают форвардинг трафика между интерфейсами, они непосредственно имеют дело с перезаписыванием адресов отправителя/получателя и портов. Для продвижения трафика используется цепочка FORWARD таблицы filter

Какой странный маскарад...
-j SNAT --to-source tun0 не должно даже добавиться, т.к. tun0 не является ip-адресом. Если имелся ввиду именно адрес, то не должно работать, т.к. на выходе из интерфейса ppp0 адрес отправителя будет от tun0. Или это какой-то Хитрый План?
Прокидывание тоже непонятное. Разрешены соединения из интернетов к другим (openvpn) серверам через уже поднятый tun0.

гммм верно тогда так

iptables -t nat -A POSTROUTING --out-interface tun0 -j SNAT --to-soure белыйip
По поводу форвардинга вопрос - насколькоя я понял 

1)нужно дать доступ из инета к моему VPN 

iptables -A FORWARD -i ppp0 -о tun0 -d   ipVPNservera   --dport 1194 -j ACCEPT

Тоесть разрешаем приходит пакетам из нета для моего сервака .

или я не прав ? 

сообственно вопрос еще -

Что необходимо FORWARD для работы VPN сервака (клиенты будут цеплятся с наружи и из локалки )?

По учебнику:
1. разрешаем пересылку:

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -A INPUT  -p tcp  --dport 1194 -j ACCEPT

iptables -A FORWARD -i tun0 -o ppp0 -j ACCEPT
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

iptables -A FORWARD -i tun0 -o ppp0 -j ACCEPT
iptables -t nat -A POSTROUTING -o ppp0 -j SNAT --to-soure <ip на ppp0>

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -P INPUT DROP
iptables -P FORWARD DROP

Ссылку на учебник киньте пожалуйста

google://iptables+tutorial :)

спасиб :)

может туплю но

iptables -A FORWARD -i tun0 -o ppp0 -j ACCEPT

Работает это так - транзитные пакеты с tun0 пробрасываются на ppp0 ,
тоесть vpn сервак может слать пакеты в нет .

А в обратную сторону это работает, тесть получать пакеты из нета для tun0 ? 

еще уточнить хочу

ppp0 – Сеть интернет  белый ip
eth0- локалка 
tun0-VPN серв - 10.8.0.1

Белый ip имее тока ppp0

В обратную сторону это или происходит само-собой для установленных соединений, или нужно применять DNAT, чтобы при обращении к серверу (на его белый ip), пакеты пересылались vpn-клиенту.
Т.е. случай 1: vpn-клиент набирает в браузере httр://example.com. Пакеты отправляются сквозь роутер, где правилом SNAT у них меняется <адрес отправителя> на адрес интерфейса ppp0 роутера и отправляются через ppp0 в интернет. example.com генерирует ответ (содержимое страницы) и отправляет на <адрес отправителя>, который был указан в приходящих пакетах. Т.е. на ppp0 роутера, который знает, что пакеты этого соединения нужно отправить тому самому vpn-клиенту. Тут всё происходит само собой. Нужно только правильно указать SNAT или MASQUERADE.
И случай 2: Нужно установить соединение с vpn-клиентом из интернетов. Тут есть несколько вариантов. Один из них - настроить роутер так, чтобы он (например) всё, что приходит на порты 30000-30010 перенаправлял к vpn-клиенту. Правило будет выглядеть как-то так:

-A PREROUTING -p tcp -m tcp --dport 30000:30010 -j DNAT --to-destination 192.168.0.3

Это был вопрос, или утверждение?

уже разобрался спасибо

3. разрешаем всем openvpn-клиентам соединение с интернетами:

Если уж всем клиентам, то тогда "-i tun+ -o ppp0 -j ACCEPT"

При dev tun на каждое соединение новый интерфейс на сервере поднимается? Я не помню, просто :) давно на tap перебрался, там такого точно нет.

 -A PREROUTING -p tcp -m tcp --dport 30000:30010 -j
DNAT --to-destination 192.168.0.3 

а чтобы они улетали обратно, как прописать SNAT/MASQUERADE ?

Если (для клиентов) vpn-сервер ещё и шлюз по умолчанию, то не обязательно. Ответ в интернет всё равно будет происходить через vpn-сервер.

А в общем случае - всему, что будет вылезать из tun0 ставим <адрес_отправителя>=адрес_на_tun0:

iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
или
iptables -t nat -A POSTROUTING -o tun0 -j SNAT --to-source <ip на tun0>

А iptables tutorial всё-таки покури. Там всё это расписано так, что даже я понял.

При dev tun на каждое соединение новый интерфейс на сервере поднимается?

Не, у ТС мультиклиентский сервер, tun один должен быть. А вообще сколько конфигов в /etc/openvpn положил, - столько и интерфейсов поднимится.