iptables+vds+openvpn

Нужно разрешить форвард пакетов в ядре (net.ipv4.ip_forward в sysctl.conf), разрешить форвард правилами iptables и отдельно пробросить порты правилами iptables. Лучше всего немного почитать мануал по iptables, а также подумать над картинкой.

Как-то так:

Прописать net.ipv4.ip_forward = 1 в /etc/sysctl.conf
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A PREROUTING -d xxx.xxx.xxx.xxx --dport 80 -j DNAT --to-destination 10.8.0.7
iptables -A POSTROUTING -d 10.8.0.7 --dport 80 -j SNAT --to-source 10.8.0.1

Всем спасибо! пробую

Ребят, а что делать если матерится: iptables: No chain/target/match by that name.

пишу так: iptables -A PREROUTING --dst ххх.ххх.ххх.ххх -p tcp --dport 5060 -j DNAT --to-destination 10.8.0.7

Модулей не хватает каких-то, может?

покажите

lsmod | grep nf

nf_nat 22759 2 ipt_MASQUERADE,iptable_nat nf_conntrack_ipv4 9506 7 iptable_nat,nf_nat nf_conntrack 79645 6 ipt_MASQUERADE,xt_state,xt_conntrack,iptable_nat,nf_nat,nf_conntrack_ipv4 nf_defrag_ipv4 1483 1 nf_conntrack_ipv4

в [code][/code] спрячьте, не видно же ничего..

Извините, протупил

nf_nat                 22759  2 ipt_MASQUERADE,iptable_nat
nf_conntrack_ipv4       9506  7 iptable_nat,nf_nat
nf_conntrack           79645  6 ipt_MASQUERADE,xt_state,xt_conntrack,iptable_nat,nf_nat,nf_conntrack_ipv4
nf_defrag_ipv4          1483  1 nf_conntrack_ipv4

Тьфу. цепочка PREROUTING не в таблице filter (которая по умолчанию берется), а в таблице nat, поэтому:

iptables -t nat -A PREROUTING --dst ххх.ххх.ххх.ххх -p tcp --dport 5060 -j DNAT --to-destination 10.8.0.7

Классно. Спасибо. Помогло

Но есть одно но. Это все делается для связи 2 ip-телефонов. Так звонок идет, но при поднятии трубки связь обрывается. Что делать? Куда ковырять...

Нужно грузить специализированные модули, искать их надо рядом с обычными. Например, nf_nat_h323 и nf_conntrack_h323

modprobe nf_nat_h323
modprobe nf_conntrack_h323

уже включил. но звука нет и связь гасится на седьмой секунде

а если с sip то же самое?

что именно?

Аналогичные модули: nf_nat_sip, nfs_conntrack_sip

Хотя я сомневаюсь, что это поможет. Туту уже скорее отлаживать надо: логировать трафик, который идет не через openvpn между телефонами, и смотреть, все ли такое проходит через туннель

Согласен полностью, варю кофе и вперед. Еще почитал что нужно udp порты перекинуть

сигнализация sip идет по порту 5060 UDP, а сам голос по диапазону динамических портов, обычно 10000-20000 UDP

нашел следующее:

Что открывать или «пробрасывать» для SIP устройств.

Открыть исходящий SIP-траффик с ip-телефона:

исходящий TCP с адреса ip-телефона с порта 5060 на все адреса на порты 1024-65535 Открыть входящий SIP-траффик на ip-телефон:

входящий TCP на адрес ip-телефона на порт 5060 со всех адресов с портов 1024-65535 Открыть исходящий RTP-траффик с ip-телефона:

исходящий UDP с адреса ip-телефона с портов {базовый порт из настройки устройства} - {базовый порт из настройки устройства + 10} на все адреса на порты 1024-65535 Открыть входящий RTP-траффик на ip-телефон:

входящий UDP на адрес ip-телефона на порты {базовый порт из настройки устройства} - {базовый порт из настройки устройства + 10} со всех адресов с портов 1024-65535 Открыть исходящий траффик с ip-телефона:

исходящий UDP с адреса ip-телефона с порта 69 на все адреса на порты 1024-65535 Открыть входящий траффик на ip-телефон:

входящий UDP на адрес ip-телефона на порт 69 со всех адресов с портов 1024-65535

Где «базовый порт из настройки устройства» для CISCO ATA-186 по умолчанию 16380-16390, а если брать настройки из моих примеров то 16500-16510; Для Grandstream по умолчанию 5000-5010. Иногда просто открывают (пробрасывают в случае работы за NAT) весь диапазон портов UDP 5000-65535.

Да все верно, для каждого устройства индивидуально. Я думал у вас asterisk там стоит

Получается такая ситуация: - Будет сервер с Астериском в локалке с выходом в интернет. - Есть VDS-сервер с выделенным ip-адресом. - Есть ip-телефоны, раскиданные по разным городам.

Нужно поднять между ними связь (АТС).

Есть ip-телефоны, раскиданные по разным городам.

а вся эта радость умеет tls и zrtp например?

"-t nat" надо ещё, конечно. На этот раз подвела память.

пока дошел до такого:

iptables -t nat -A PREROUTING --dst xxx.xxx.xxx.xxx -p tcp --dport 5060 -j DNAT --to-destination $vpn_client
iptables -t nat -A POSTROUTING --dst $vpn_client -p tcp --dport 5060 -j SNAT --to-source $vpn_server
iptables -t nat -A PREROUTING --dst xxx.xxx.xxx.xxx -p udp -m multiport --dport 5060,10000:20000 -j DNAT --to-destination $vpn_client
iptables -t nat -A POSTROUTING --dst $vpn_client -p udp -m multiport --dport 5060,10000:20000 -j SNAT --to-source $vpn_server

[code/]

связывает, но звука нет

плюс добавил:

modprobe nf_nat_sip
modprobe nf_conntrack_sip

Боюсь, здесь уже не помогу. С sip не работал ни разу.

Походу есть решение, возможно корявое но работает. После перезагрузке подключаю скрипт:

iptables -t nat -A PREROUTING --dst xxx.xxx.xxx.xxx -p tcp --dport 5060 -j DNAT --to-destination $vpn_client
iptables -t nat -A POSTROUTING --dst $vpn_client -p tcp --dport 5060 -j SNAT --to-source $vpn_server
iptables -t nat -A PREROUTING --dst xxx.xxx.xxx.xxx -p udp -m multiport --dport 5060,10000:20000 -j DNAT --to-destination $vpn_client
iptables -t nat -A POSTROUTING --dst $vpn_client -p udp -m multiport --dport 5060,10000:20000 -j SNAT --to-source $vpn_server
modprobe nf_nat_sip
modprobe nf_conntrack_sip
modprobe ip_conntrack_sip

Проверено, методом тыка.

Тут мне рассказали, что некоторые ip-телефоны сами умеют openvpn.

Ваши не такие?

Фишка в том, что можно подключать абонентов еще и с помощью софтфонов. Т.е. решение более универсально и доступно обычным пользователям

Ну никто не мешает выпускать ip-телефоны напрямую в интернет, а софтфоны через vpn-шлюз

у меня похожая ситуация. Есть IP атс за шлюзом с centos, а клиент за обычной железкой-роутером в интернете. Выяснил, что ip_nat_sip не подменяет локальные адреса в уходящих пакетах и клиент пытается ответить на локальный адрес атс и, естественно пакет отбрасывается. При звонке от клиента все нормально и голос в обе стороны. При звонке с атс звонок приходит но в трубке тишина на обоих концах. Вот пример пакета уходящего в centos в инет клиенту:

Session Initiation Protocol
Request-Line: INVITE sip:118@XXX:5060 SIP/2.0
Message Header
Via: SIP/2.0/UDP 192.168.0.248:5060;branch=z9hG4bK00005aac
Max-Forwards: 70
To: sip:118@192.168.0.248
From: "L-001" <sip:192.168.0.248>;tag=29307
Call-ID: 00006659-0b75625e2c88100088ff0080f0ccbddc@192.168.0.248
CSeq: 1 INVITE
Contact: sip:192.168.0.248:5060
Supported: timer
Session-Expires: 90;refresher=uac
Min-SE: 90
Allow: INVITE,ACK,CANCEL,BYE,REGISTER
Content-Type: application/sdp
Content-Length: 258
Message Body

ЗЫ: я имел ввиду именно SIP пакет, а не RTP. Т.е. клиент получает INVITE от атс, начинает звонить, но его ответ на атс не приходит и атс снова посылает инвайт, и так по кругу. И звонок даже у клиента соответственный- рывками