Форум русскоязычного сообщества Ubuntu


Получить помощь и пообщаться с другими пользователями Ubuntu можно
на irc канале #ubuntu-ru в сети Freenode
и в Jabber конференции ubuntu@conference.jabber.ru

Автор Тема: iptables+openvpn. не получается соединить 2 сети  (Прочитано 3446 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн bartol

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
День добрый.
Понимаю что тема заезженная донельзя, но прочитав кучу всего, так и не понял как нужно правильно сделать.

Есть 2 сети. в каждой стоит комп под Ubuntu 10.04. за каждым из компов есть сети с компами на которых стоит WinXP. Необходимо поднять между компами с Ubuntu openvpn, чтоб ресурсы сетей были доступны.

server

eth0 (192.168.0.37)  - смотрит в локалку и через шлюз ходит в интернет
tap0 (192.168.161.1) - интерфейс openvpn



client

eth0 (192.168.15.200) - смотрит в локалку
eth1 (192.168.1.200) - через шлюз смотрит в инет
tap0 (192.168.161.4) - openvpn

На клиенте стоит squid+dansguardian. также при загрузке выполлянется следующий скрипт для iptables

________________________________________________________________
#!/bin/sh

# Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward


# Разрешаем трафик на loopback-интерфейсе
iptables -A INPUT -i lo -j ACCEPT

# Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

# Включаем NAT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.15.0/24 -j MASQUERADE

# Разрешаем ответы из внешней сети
iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT


# Запрещаем доступ снаружи во внутреннюю сеть
#iptables -A FORWARD -i eth0 -o eth1 -j REJECT

# Проброс на зивол
iptables -t nat -A PREROUTING -i eth1 -d 192.168.1.50 -p tcp --dport 443 -j DNAT --to 192.168.1.50

# Проброс на 61
iptables -t nat -A PREROUTING -d 192.168.1.200 -p tcp --dport 3089 -j DNAT --to 192.168.15.61:3389
iptables -A FORWARD -i eth0 -d 192.168.15.61 -p tcp --dport 3089 -j ACCEPT

# Заворачиваем http на прокси
iptables -t nat -A PREROUTING -i eth1 -d ! 192.168.15.0/24 -p tcp -m multiport --dport 80,8080 -j DNAT --to 192.168.15.200:8081
__________________________________________________________________________


На сервере поднят Openvpn, клиент соединяется с сервером, получает IP. С клиента видится вся сетка, которая находится за сервером, но компьютеры из сети за клиентом не видят сеть за сервером.

Не пойму как необходимо прописать правила iptables, чтоб сеть которая находится за клиентом видела ресурсы, который находятся за сервером и наоборот.

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13756
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #1 : 02 Сентября 2011, 09:54:09 »
кто в сетях является основным шлюзом?
Если с маршрутами проблем нет, то и правил никаких не нужно, так как запрещающих на форвардинг - не вижу

P.S. А, вообще, как выражается AnrDaemon, мы здесь не онлайн-интерпретаторы скриптов - показывайте результирующие правила командой iptables-save

Оффлайн bartol

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #2 : 02 Сентября 2011, 11:06:59 »
в сети за клиентом шлюзом по умолчанию является сам клиент.

вывод route на клиенте
(Нажмите, чтобы показать/скрыть)

вот вывод iptables-save
(Нажмите, чтобы показать/скрыть)

настройки openvpn клиента
(Нажмите, чтобы показать/скрыть)


на стороне сервера:
iptables-save

(Нажмите, чтобы показать/скрыть)

openvpn

(Нажмите, чтобы показать/скрыть)

В сети за сервером пишу роуты вручную, т.к. там шлюз по умолчанию другой

route add 192.168.15.0 mask 255.255.255.0 192.168.0.37

вывод команды route на сервере при поднятом openvpn

(Нажмите, чтобы показать/скрыть)

Оффлайн RandomNT

  • Любитель
  • *
  • Сообщений: 80
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #3 : 02 Сентября 2011, 12:14:26 »
на сервере добавить маршрут до 192.168.15.0/24 через 192.168.161.4

Оффлайн bartol

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #4 : 02 Сентября 2011, 12:44:21 »
маршрут на сервере добавил. Теперь со стороны сервера пингуется вся сетка за клиентом, но со стороны сети за клиентом пинги проходят только до tap0 интерфеса сервера (192.168.161.1). дальше не идет. с самого клиента видится вся сеть за сервером

(Нажмите, чтобы показать/скрыть)

получается затык где-то на сервере

route print на компе в сети за клиентом:

(Нажмите, чтобы показать/скрыть)

Оффлайн metal_mania

  • Любитель
  • *
  • Сообщений: 60
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #5 : 02 Сентября 2011, 12:53:21 »
IMHO для таких целей лучше подойдёт openswan.

Оффлайн bartol

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #6 : 02 Сентября 2011, 12:58:50 »
Вполне возможно. Но нужно сделать на openvpn

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13756
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #7 : 02 Сентября 2011, 13:10:16 »
а с клиента на 192.168.0.37 пинг идёт?

Оффлайн bartol

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #8 : 02 Сентября 2011, 15:03:36 »
Да. с клиента пингуются обе сети.

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13756
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #9 : 02 Сентября 2011, 15:30:48 »
значит на компах за сервером проверяйте маршрутизацию.

Стоп... А чего это за кривый правила маскарадинга натыканы?
Цитировать
-A POSTROUTING -s 192.168.161.0/24 -j MASQUERADE
выносите их поганой метлой
sudo iptables -t nat -D POSTROUTING -s 192.168.161.0/24 -j MASQUERADEи так не менее 4 раз
« Последнее редактирование: 02 Сентября 2011, 15:34:10 от fisher74 »

Оффлайн RandomNT

  • Любитель
  • *
  • Сообщений: 80
    • Просмотр профиля
Re: iptables+openvpn. не получается соединить 2 сети
« Ответ #10 : 02 Сентября 2011, 18:16:19 »
либо на 192.168.0.220 нету роуты до 192.168.15.0/24, либо его фаервол запрещает отвечать на пинги из этой сети

 

Страница сгенерирована за 0.043 секунд. Запросов: 25.