3

Есть система с centos 7. На ней пытаюсь поднять OpenVPN. Возник вопрос с настройкой iptables. Устанавливаю по мануалу

iptables запущен и работает.

В мануале предлагают вбить правило

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Но в итоге добиться рабочего VPN не удалось.

В другом мануале предлагалось использовать правила:

iptables -t nat -A POSTROUTING -o venet0 -j SNAT --to SERVER-IP
iptables -A FORWARD -i venet0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i tun0 -o venet0 -j ACCEPT

Они вообще убили сервер, пришлось ОС реинсталлить.

Перерыл инет и понял, что нужные правила не универсальны и зависят от того, какой сервер - выделенный или VPS, какая технология виртуализации хен или OpenVZ.

Подскажите, какие правила для iptables мне необходимо добавить, чтобы открыть 1194 порт и корректно заработал VPN на моем VPS с centos 7 и Virtualization Type OpenVZ.

2 ответа 2

1

Правило из мануала точно не сработает, в OpenVZ контейнере надо использовать SNAT. Эти правила, которые "убили" сервер:

iptables -t nat -A POSTROUTING -o venet0 -j SNAT --to SERVER-IP
iptables -A FORWARD -i venet0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i tun0 -o venet0 -j ACCEPT

точно рабочие и правильные. Вам надо проверить, использование tun/tap внутри контейнера разрешено или нет (чаще, по умолчанию, нет). У Вас точно интерфейс venet0?

0

Вот такая конструкция работтоспособна

iptables -t nat -A POSTROUTING -o venet0 -j SNAT --to a.b.c.d
iptables -A FORWARD -i venet0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i tun0 -o venet0 -j ACCEPT

но нужно проверить что названия интерфейсов правильные (venet0 и tun0). По tun надо скорее всего просить хостера разрешить использование внутри контейнера.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.