0

На сервере есть 3 сетевых интерфейса:

  • eth0 - интернет
  • tun1 - openvpn-сервер(10.8.1.1/24)
  • tun2s1 - интерфейс tun2socks, подключенный через eth0(10.9.1.1/24)

Мне нужно чтобы трафик с tun1 ходил через tun2s1.

Примерная схема: Client -> tun1 -> tun2s1 -> eth0

Если выполнить команду curl --interface tun2s1 http://site.com, то запрос совершается верно, то есть tun2s1 подключен корректно. Проблема в подключении tun1 и tun2s1 интерфейсов.

Я попробовал создать новую таблицу маршрутизации и направлять через нее, но это тоже пока не сработало

С помощью tcpdump мониторю оба tun-интерфейса, вижу как на tun1 ходят пакеты 10.8.1.2 > 1.1.1.1, а на tun2s1 - 1.1.1.1 > 10.8.1.2. Но на клиенте vpn все равно не проходит пинг

Команды:

ip route add 10.9.1.0/32 dev tun2s1 src 10.9.1.1 table admin
ip route add default via 10.9.1.1 dev tun2s1 table admin
ip rule add to 10.8.1.0/24 table admin
ip rule add from 10.8.1.0/24 table admin

Настройки:

/ip_forward=1
*/rp_filter=0
*/accept_local=1 

2 ответа 2

0

Вопрос в том с каким IP должны вылетают в eth0 пакеты пришедшие с tun0.

Вам надо прописать строчку (пишу по памяти, могу ошибиться) :

iptables -t nat -I POSTROUTING -s 10.8.1.1/24 -o eth0 -j SNAT --to-source 10.9.1.1

Возможно вместо 10.9.1.1 нужно будет прописать внешний IP туннеля tun2s1, не IP той стороны тоннеля а внешний IP вашей стороны.

Ну и проверить что разрешен форвардинг в /proc/sys/net/ipv4/ip_forward

0

Решение:

# Включаем ip forward
echo 1 > /proc/sys/net/ipv4/ip_forward

# Маскируем трафик
iptables -t nat -A POSTROUTING -s 10.8.1.1/24 -o tun2s1 -j MASQUERADE

# Добавляем новую таблицу маршрутизации
echo "100  admin" >> /etc/iproute2/rt_tables

# Добавляем интерфейс в новую таблицу
ip route add 10.9.1.0/32 dev tun2s1 src 10.9.1.1 table admin

# Объявляем интерфейсом по-умолчанию
ip route add default via 10.9.1.1 dev tun2s1 table admin

# Создаем правило маршрутизации для tun1, направляющее трафик с tun1 в таблицу admin 
ip rule add from 10.8.1.0/24 table admin 

# Чистим кэш ip route для обновления правил
ip route flush cache

# Отключаем фильтр обратного пути для всех интерфейсов*
for i in /proc/sys/net/ipv4/conf/*/rp_filter ; do
  echo 0 > $i 
done

# Включаем пакеты с локальных источников для всех интерфейсов*
for i in /proc/sys/net/ipv4/conf/*/accept_local ; do
  echo 1 > $i 
done

*Думаю можно и не для всех, но это для меня сработало и уже нет времени на эту задачу. Если вы знаете как лучше - напишите, я отредактирую ответ.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.