0

На удаленном сервере статический ip на нем поднят VPN сервер С компа с динамическим IP подключаюсь к серверу и мне требуется ходить на удаленный сайт через VPN сервер, так как на нем фильтр по допустимым IP адресам. Прописал маршрут на клиенте

ip route add Адрес_Сайта/32 dev tun0

, но на этом затык, похоже что не хватает на сервере маршрутов из впн в инет и обратно подскажите какой командой и как прописать?

8
  • 2
    Маршруты обычно поднимаются автоматом. Тут похоже что то другое. У вас на туннеле какие ip, реальные интернетовские ? думаю вам нужно маскарадинг (NAT) на сервере поднимать. Ну и 1 в /proc/sys/net/ipv4/ip_forward занести, если ее там вдруг нет
    – Mike
    14 дек 2015 в 15:29
  • ip адрес нет, сервер в локальной сети за маршрутером 14 дек 2015 в 15:32
  • /proc/sys/net/ipv4/ip_forward 1 сделал толку ноль 14 дек 2015 в 15:33
  • 2
    Эммм. как это нет адреса. ifconfig на обоих сторонах vpn туннеля что по нему показывает. Скажем так, клиент когда внутри туннеля шлет запрос на конечный сайт (до которого вы маршрутизацию прописывали) он в этих пакетах какой адрес отправителя ставит ?
    – Mike
    14 дек 2015 в 15:43
  • 2
    ну тогда маскарад на сервере. что то типа iptables -A POSTROUTING -t nat -s ip-клиента -o имя-интерфейса-смотрящего-в-интернет -j MASQUERADE
    – Mike
    14 дек 2015 в 15:55

1 ответ 1

1

На vpn туннеле обычно поднимаются какие либо внутренние IP адреса и запрос от клиента внутри тоннеля идет с этого IP. Маршрутизация обычно поднимается автоматом и с ней проблем не бывает. А вот то, что пакет сервер пытается передать с ip-отправителя из подсети поднятой на VPN - это наиболее распространенная проблема. Необходимо, что бы сервер передавая пакет дальше, поменял в нем адрес отправителя на свой IP, с которого он выходит в интернет. Для этого используется NAT, а обычно его разновидность маскарадинг. Настраивается утилитой iptables на сервере:

iptables -A POSTROUTING -t nat -s ip-клиента -o имя-интерфейса-смотрящего-в-интернет -j MASQUERADE

Если клиентов несколько и их ip находятся в одной подсети, то ip-клиента может быть задан в виде ip-адрес-сети/маска-подсети

Посмотреть поднятые правила:

iptables -L POSTROUTING -t nat -n

Удаляются ненужные правила почти такой же командой, которая использовалась при добавлении (со всеми ключами и ip-адресами), только -A меняется на -D.

Для того, что бы сервер в принципе передавал пакеты через себя дальше, в /proc/sys/net/ipv4/ip_forward должна быть 1. Что бы она там появлялась сама при загрузке системы надо добавить это в /etc/sysctl.conf (на большинстве дистрибутивов) строкой вида net.ipv4.ip_forward = 1

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.