OpenVPN-туннель и маршрутизация

Question

lafayette @lafayette

OpenVPN-туннель и маршрутизация

Имеется настроенный vpn-туннель между windows-клиентом (10.9.8.2) и удаленным сервером на debian (10.9.8.1).
Настроено вот по этому мануалу: wiki.debian.org/HowTo/openvpn
Как правильно настроить маршрутизацию/что-либо ещё, чтобы доступ в интернет с клиента был через туннель, а не через собственное подключение к интернет?

Пробовал «route add 0.0.0.0 MASK 0.0.0.0 10.9.8.1» — не помогло. Возможно, нужно что-то настроить на сервере?

Вопрос задан более трёх лет назад
18606 просмотров

Комментировать

Подписаться 8 Оценить Комментировать

Решения вопроса 1

14 комментариев

lafayette @lafayette Автор вопроса

Не помогло.
Прописал iptables -t nat -A POSTROUTING -s 10.9.8.0/24 -o eth0 -j MASQUERADE и включил ipv4-форвардинг.

Написано более трёх лет назад
apangin @apangin

А это тоже прописывали?
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

Написано более трёх лет назад
lafayette @lafayette Автор вопроса

Прописал. Нет эффекта.
У меня есть подозрение, что дело в том, что клиент подключен через роутер. А задать метрику маршрута ниже той, что ведет на роутер нельзя.

Написано более трёх лет назад
apangin @apangin

Не-не-не. А как сейчас выглядит таблица маршрутизации на клиенте?

Написано более трёх лет назад

lafayette @lafayette Автор вопроса

Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0      192.168.0.1     192.168.0.10     10
          0.0.0.0          0.0.0.0         10.9.8.1         10.9.8.2     40
         10.9.8.0  255.255.255.252         On-link          10.9.8.2    286
         10.9.8.2  255.255.255.255         On-link          10.9.8.2    286
         10.9.8.3  255.255.255.255         On-link          10.9.8.2    286

192.168.0.1 — роутер, 192.168.0.10 — локальный клиента.

Написано более трёх лет назад

Sergey @bondbig

Система Win7, так?
в свойствах сетевой карты (физической) удаляйте дефолт, все заработает.

Написано более трёх лет назад
lafayette @lafayette Автор вопроса

Так ведь vpn-сервер в инете, туннель через инет идет (который отдает роутер). Мне нужно поверх существующего инет-подключения клиента создать vpn, на который уже должен идти весь траффик.

Написано более трёх лет назад
lafayette @lafayette Автор вопроса

ОСь Win7

Написано более трёх лет назад
Sergey @bondbig

всё правильно. Удаляете нахрен дефолт из настроек сети, прописываете его же, но через route add, с НУЖНОЙ метрикой, большей, чем у туннельного дефолта (или не прописываете дефолт совсем, а просто отдельный маршрут, только на адрес vpn-сервера)

Написано более трёх лет назад
apangin @apangin

Так вот же, шлюз 192.168.0.1 с меньшей метрикой, а должно быть наоборот.
Попробуйте route change 0.0.0.0 mask 0.0.0.0 10.9.8.1 metric 1

Написано более трёх лет назад
lafayette @lafayette Автор вопроса
Убрал автоматическое назначение метрики физическому интерфейсу.
Прописал маршруты так:

0.0.0.0 0.0.0.0 192.168.0.1 192.168.0.10 100 0.0.0.0 0.0.0.0 10.9.8.1 10.9.8.2 80

Инет на клиенте отрубило (до роутера связь есть).
Написано более трёх лет назад
apangin @apangin

Ай, так он убьет второй маршрут. Ну, значит, сначала route change, затем route add для добавления шлюза 192.168.0.1 с большей метрикой.

Написано более трёх лет назад
Sergey @bondbig

еще бы, не нужно руками прописывать маршрут в туннель с меньшей метрикой, он сам пропишется ПОСЛЕ установки соединения (redirect-gateway). Ну или таки если хотите руками, то делайте хостовый маршрут через роутер на адрес ВПН-сервера.

Написано более трёх лет назад
lafayette @lafayette Автор вопроса

Все заработало: добавил route-gateway 192.168.0.1 и route add 0.0.0.0 mask 0.0.0.0 10.9.8.1
Спасибо всем, кто помогал =)

Написано более трёх лет назад

Пригласить эксперта

Ответы на вопрос 2

5 комментариев

lafayette @lafayette Автор вопроса

прописан

Написано более трёх лет назад
Sergey @bondbig

чудес не бывает. Если нат на сервере есть и маршрут на клиенте — тоже, то все будет работать. Какой трейс от клиента в инет?

Написано более трёх лет назад
lafayette @lafayette Автор вопроса

Да я понимаю, что чудес не бывает — вот и пытаюсь найти, где я ошибся…
Трейс такой же, как без туннеля.

Написано более трёх лет назад
zavant @zavant

Клиент получает маршрут по-умолчанию? Можно еще в конфиге клиента прописать redirect-gateway def1
зы: прингуете по ip? А то может с днс проблема?

Написано более трёх лет назад
lafayette @lafayette Автор вопроса

У клиента первичный маршрут — тот, что ведет до роутера (смотрите пост выше с маршрутами клиента).
Пингую по IP.

Написано более трёх лет назад