Dotaz: OpenVPN - neroutuje traffic z klienta na stroj, na nemz bezi OpenVPN server

[Karel Matyas]

Ucelem je, aby veskery traffic z klienta sel ven skrze server. To funguje. Pokud je ale cil na teze IP adrese jako OpenVPN server, tak to jde z klienta primo a nikoli skrze OpenVPN tunel.

Problem je prvni radek v routovaci tabulce klienta, ktery se tam objevi diky direktive push "redirect-gateway". To je IP adresa OpenVPN serveru, ale i napriklad webserveru, ktery bezi na stejnem stroji.

# route -n
212.60.60.60    192.168.2.1     255.255.255.255 UGH   0      0        0 wlan0
192.168.2.0     0.0.0.0         255.255.255.0   U     0      0        0 wlan0
10.1.0.0        0.0.0.0         255.255.255.0   U     0      0        0 tap0
127.0.0.0       127.0.0.1       255.0.0.0       UG    0      0        0 lo
0.0.0.0         10.1.0.1        128.0.0.0       UG    0      0        0 tap0
128.0.0.0       10.1.0.1        128.0.0.0       UG    0      0        0 tap0
0.0.0.0         192.168.2.1     0.0.0.0         UG    0      0        0 wlan0

212.60.60.60 je IP OpenVPN serveru a webserveru
192.168.2.1  je IP gw klienta
10.1.0.1     je IP serveru ve VPN 
10.1.0.2     je IP klienta ve VPN

Reseni pomoci modifikace /etc/hosts se mi uplne nelibi, protoze nemusi byt uplne spolehlive. Zkousel jsem tedy DNAT, iptables -t nat -A OUTPUT -p tcp --dport 80 -d 212.60.60.60 -j DNAT --to-destination 10.1.0.1 ale delam neco spatne, protoze takto to prestane fungovat uplne.

Dekuji moc za pomoc

Odpovědi

[NN]

Otestuj to takhle:

push "redirect-gateway local def1"

NN

[Karel Matyas]

S parametrem local to bohužel nefunguje. Ten způsobí, že se do routovací tabulky klienta nepřidá řádek

212.60.60.60    192.168.2.1     255.255.255.255 UGH   0      0        0 wlan0

čímž se ovšem klient odřízne od internetu úplně. Podle manuálu je parametr local vhodný tehdy, když jsou klienti i server na stejném subnetu, jenže to v tomto případě není.

[marek]

Dobry den. Routovat provoz na zajisteni tunelu samozrejme musite. Muzete ale routovat treba jen podle ciloveho portu, necht port ovpn je 12345:

iptables -A OUTPUT -d 212.60.60.60 -p tcp -m udp --dport 12345 -j MARK --set-mark 2
ip rule add fwmark 2 table 2
ip route add  212.60.60.60 via 192.168.2.1 dev wlan0 table 2

Marek