0

Не являюсь специалистом в linux, но жизнь сложная штука, и постоянно приходится решать новые задачи.

Есть облако с кучей виртуальных машин. Первоначально поднял openvpn по инструкции https://www.cyberciti.biz/faq/ubuntu-18-04-lts-set-up-openvpn-server-in-5-minutes/ Всё работало штатно никаких проблем не было. Доступ был ко всем ресурсам, интернет также шел через впн, решались ровно те задачи, которые необходимо.

Сейчас возникла потребность собрать все машина за общим NAT-ом. Поднял NAT-сервер, настроил все машины начали смотреть в интернет через него, всё ок.

А вот с openvpn не получается. На nat-сервере настроил проброс udp нужного порта на vpn. Подключение с windows клиента проходит как надо, соединение устанавливается, однако по сети пингуется/доступна только машина с openvpn, другие в сети не вижу, пинг не проходит ни до одной из машин.

Фактически понимаю, что видимо что-то нужно подкрутить на nat-сервере, но перебрал кучу вариантов, всё равно не работает, и понять не могу.

Проверил маршруты на рабочем впн и на впн за натом на windows клиенте абсолютно идентичны.

Прошу подсказать, где какие материалы можно починать по настройке nat сервера для openvpn и/или настройки openvpn за nat сервером.

Сервера все ubuntu 18 и 20. Клиент - windows 10.

UPD 22.03.08

Провёл трассировку с win клиента, выглядит так:

Tracing route to 10.151.0.16 over a maximum of 30 hops
  1     8 ms    16 ms     6 ms  10.8.0.1
  2     *        *        *     Request timed out.
  3     *        *        *     Request timed out.
  4     *        *        *     Request timed out.
  5     *        *        *     Request timed out.
  6     *        *        *     Request timed out.
  7     *        *        *     Request timed out.
  8     *        *        *     Request timed out.
  9     *        *        *     Request timed out.
 10  ^C

Аналогичная трассировка через VPN с публичным адресом выглядит так:

Tracing route to 10.151.0.16 over a maximum of 30 hops
  1     7 ms    11 ms    10 ms  10.8.0.1
  2    13 ms    13 ms     9 ms  10.128.0.1
  3     *        *        *     Request timed out.
  4    14 ms    14 ms    16 ms  10.151.0.16

Копаю дальше, стал смотреть tcpdump по icmp пакетам и параллельно выполнять ping.

На VPN с публичным IP адресом вижу нормальную картину, и на конечной машине тоже вижу соответствующий вывод

17:12:20.385454 IP 10.128.0.32 > 10.151.0.16: ICMP echo request, id 1, seq 258, length 40
17:12:20.521267 IP 10.151.0.16 > 10.128.0.32: ICMP echo reply, id 1, seq 258, length 40

А вот при работе через VPN за натом пакеты не доходят, и tcpdump выглядит так

17:14:36.103446 IP 10.151.0.11 > 10.151.0.16: ICMP echo request, id 1, seq 262, length 40
17:14:40.630096 IP 10.151.0.11 > 10.151.0.16: ICMP echo request, id 1, seq 263, length 40

Что смущает адрес 10.151.0.11 - это не действующий адрес машины, это не адрес машины с натом, это вообще неизвестный мне адрес. Откуда он берётся - пока не ясно.

Возможно причина как раз как-то связана с этим. В процессе манипуляций с сетью действительно IP адрес менялся несколько раз у машины VPN, вопрос, где прописывается внутренний адрес для openvpn.

2 ответа 2

0

Очень похожая проблема возникала у меня когда то, когда я делал L2TP соединение и поднимал для него сервер. И писал инструкцию на эту тему.

я приведу отрывок из инструкции, а Вы посмотрите, похоже ли это на Ваш случай:

"Теперь у нас есть доступ к компьютеру с адресом 192.168.42.1 (это VPN-сервер), который нам совершенно бесполезен. Потому что с этого компьютера нет доступа никуда больше.

Чтобы этот доступ появился - нам нужно - внимание! - на клиенте задать то, что называется static route

Для того, чтобы проверить что это будет работать - нужно выполнить на клиенте (с установлденным l2tp - соединением) команду

ROUTE ADD 192.168.10.0 MASK 255.255.255.0 192.168.42.1

Здесь первый адрес содержит адрес из локальной сети, в которой содержится сервер.

Теперь у нас должна нормально ввполняться команда

ping <адрес сервера в локальной сети сервера>

Если этот ping выполняется - значит, "в принципе" всё работает."

1
  • Спасибо, попробовал, не получилось. Тут дело скорее всего не в маршрутах, т.к. по маршрутам я изначально проверял, они соответствуют 1 в 1 в случае с "публичным" vpn и с vpn, скрытым за nat-ом. Т.е. ощущение, что проблема не в маршрутизации, а в конфигурации сети с использованием nat, но в какую сторону копать, я пока не могу разобраться.
    – Aries
    8 мар 2022 в 7:09
0

Решение оказалось найдено. После смены IP у сервера с Open VPN оказалась неверная конфигурация SNAT iptables.

Проверил командой

iptables -t nat -L -n  --line-numbers

Оказалось, что IP отправителя заменялся на несуществующий.

Заменил на локальный адрес сервера с VPN и всё заработало

iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to-source 10.151.0.34

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.