Dotaz: routovani trafiku pres VPNsever

[noob]

Strasnej offtopic, vim, ale za boha to nemuzu rochodit. :)
Mam fungujici VPN sit, pomoci openvpn, navazu spojeni, ping od klienta k serveru funguje, ale potreboval bych presmerovat vsechen sitovej provoz skrz ni. Kdyz se o to pokusim (viz config), tak nemam pristup krome site vpn(10.0.1.0/24) nikam. Trasovani paketu na (ip googlu) mi nevypise ani prvni skok
Server ma verejnou adresu x.y.z.t (eth0), a virtualni interface tap0 s ip 10.0.1.100 do vpn. Dale je nastaveno na serveru

echo "1" > /proc/sys/net/ipv4/ip_forward 
iptables -t nat -A POSTROUTING -s 10.0.1.0/24 -o eth0 -j MASQUERAD

V nastaveni OpenVPN serveru, co se tyce nastaveni routovani
....
mode server
tls-server
dev tap0
proto tcp-server
push "route-gateway 10.0.1.100"
push "redirect-gateway"
....
A v klientovi mam (bezi pod rootem)
....
tls-client
remote x.y.y.t PORT
dev tap0
proto tcp-client
pull
nobind
....


Odpovědi

[noob]

routovaci tabulka vypada dobre
10.0.1.0 * 255.255.255.0 U 0 0 0 tap0
default 10.0.1.100 0.0.0.0 UG 0 0 0 tap0


[ET]

Zdar, nebude problem v tom ze se snazis na serveru bridgovat ? viz:

# "dev tun" will create a routed IP tunnel,
# "dev tap" will create an ethernet tunnel.
# Use "dev tap0" if you are ethernet bridging
# and have precreated a tap0 virtual interface
# and bridged it with your ethernet interface.

[NN]

To forwardovani ve firewallu povolene mas(echo do /proc/sys nestaci..)?

NN

[noob]

mam tam na openvpn

iptables -A INPUT -p udp --dport $OPENVPNPORT -j ACCEPT
iptables -A INPUT -i tap0 -j ACCEPT
iptables -A FORWARD -i tap0 -j ACCEPT

[NN]

Tak pak uz jenom tcpdump a pokusit se odchytit celou komunikaci.

NN

[noob]

Problem se vyresil skoro sam :) Byl to maly preklep a nestabilni linka. Diky za pomoc

[Sten]

1. Jen pro kontrolu: je to MASQUERADE.
2. Použijte dev tun, přeci jen chcete routovaný IP tunel. Použitím dev tap0 byste musel přidat tap0 na serveru do bridge s odchozím rozhraním a podle toho nastavit firewall.

[noob]

1. checked
2. Pouzivam directivu --ifconfig-pool, takze musim pouzivat rohrani tap (server side). Jinak diky za napady, ale uz to funguje ... co se tyce nastavovani u rozhrani tap0 u klienta, tak sem nic navic nenastavoval..