На vpn туннеле обычно поднимаются какие либо внутренние IP адреса и запрос от клиента внутри тоннеля идет с этого IP. Маршрутизация обычно поднимается автоматом и с ней проблем не бывает. А вот то, что пакет сервер пытается передать с ip-отправителя из подсети поднятой на VPN - это наиболее распространенная проблема. Необходимо, что бы сервер передавая пакет дальше, поменял в нем адрес отправителя на свой IP, с которого он выходит в интернет. Для этого используется NAT, а обычно его разновидность маскарадинг. Настраивается утилитой iptables на сервере:
iptables -A POSTROUTING -t nat -s ip-клиента -o имя-интерфейса-смотрящего-в-интернет -j MASQUERADE
Если клиентов несколько и их ip находятся в одной подсети, то ip-клиента может быть задан в виде ip-адрес-сети/маска-подсети
Посмотреть поднятые правила:
iptables -L POSTROUTING -t nat -n
Удаляются ненужные правила почти такой же командой, которая использовалась при добавлении (со всеми ключами и ip-адресами), только -A
меняется на -D
.
Для того, что бы сервер в принципе передавал пакеты через себя дальше, в /proc/sys/net/ipv4/ip_forward
должна быть 1
. Что бы она там появлялась сама при загрузке системы надо добавить это в /etc/sysctl.conf
(на большинстве дистрибутивов) строкой вида net.ipv4.ip_forward = 1
iptables -A POSTROUTING -t nat -s ip-клиента -o имя-интерфейса-смотрящего-в-интернет -j MASQUERADE