2

Я понимаю, что много источников и подробных описаний, я их прочитал, попробовал, но у меня не работает. Вероятно, это мои кривые руки, но тем не менее спрошу.

Есть сервер ubuntu 18.04 с белым IP(eth1 123.123.123.123). Этот сервер работает сервером OpenVPN(tun0 раздает адреса 10.10.10.0/24) и к нему подключаются клиенты. Форвардинг на сервере включен еще на этапе настройки OpenVPN. Одним из клиентов этого OpenVPN сервера является роутер(tun0 адрес 10.10.10.5), подключенный к интернету через 4G модем с серым адресом. К этому роутеру подключено 3 машины, находящиеся в локальной сети роутера(192.168.1.0/24). Проброс портов на роутере я настроил и если я подключаюсь к OpenVPN серверу, то имею к ним доступ.

Нужно иметь аналогичный доступ к этим серверам, обращаясь на белый IP сервера по разным портам(допустим, для доступа к 1 серверу использовать порт 3457). Пытался настроить через iptables по разным статьям(естественно с редактированием интерфейсов и адресов из примеров под мою ситуацию), но не заработало.

Что делал:

1) Разрешил форвард SYN с eth1 на tun0 на сервере по порту 3457.

2) Разрешил форвард трафика с eth1 на tun0 и обратно.

3) Направил прероутинг при обращении на порт 3457 по eth1 с перенаправлением на адрес роутера 10.10.10.5 по тому же порту.

4) Ответы от роутера 10.10.10.5 по порту 3457 перенаправляю обратно на белый IP сервера 123.123.123.123.

И вот этот набор не работает. Доступа через белый IP сервера к локальным серверам нет. Скажу еще раз, что если подключусь к VPN, то обращаясь к IP роутера внутри VPN по порту 3457 имею доступ к локальному серверу.

Подскажите, где я косячу или в чем еще может быть проблема?

1
  • если интерфейс tun0 создаётся программой openvpn, то у вас не получится его использовать. обращайтесь к маршрутизатору по тому ip-адресу, по которому он реально доступен с вашего сервера (и, естественно, через тот интрефейс, за которым закреплён маршрут к этому ip-адресу). 30 мая 2019 в 12:37

1 ответ 1

0

На сервере:

iptables -t nat -I PREROUTING -i eth1 -p tcp --dport 3457 -j DNAT --to-destination 10.10.10.5

и всё. Обратная трансляция выполняется автоматически. Но:

  1. Сервер должен пропускать пакеты.
  2. Роутер должен пробрасывать пакеты на нужный хост внутренней сети.
  3. Роутер должен посылать пакеты-ответы от того хоста через туннель серверу.

Пункты 1, 3 контролируются tcpdumpом на сервере:

tcpdump -i tun0 -n -p port 3457

Таким образом, из вашего списка вызывают вопросы пп. 1 и 4. 1 — потому что неизвестно, есть ли правило ESTABLISHED, пропускающее пакеты без SYN.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.