iptables, openvpn

[usefree]

Помогите пожалуйста. Есть 2 локальных сети, у каждой есть свой шлюз в интернет:
шлюз сети1:
eth1 - 1.1.1.1 - интернет,
eth0 - 192.168.0.1 - локальная сеть,
шлюз сети2:
eth1 - 2.2.2.2 - интернет,
eth0 - 192.168.1.1 - локальная сеть.
На каждом из шлюзов стоит базово-настроенный firestarter, занимающийся только раздачей интернета в локальную сеть и пробросом (открытием) некоторых портов. Нужно объединить эти сети посредством openvpn, так чтобы при обращении из сети 1 к локальному адресу из сети 2 (и наоборот) данные ходили правильно.

На шлюз сети 1 установлен openvpn server с таким конфигом /etc/openvpn/server.conf:

port 1194
proto udp
dev tun   
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key
dh /etc/openvpn/dh1024.pem
server 10.10.10.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.0.0 255.255.255.0"
route 192.168.1.0 255.255.255.0
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
log-append  openvpn.log
client-config-dir /etc/openvpn/ccd

В папке /etc/openvpn/ccd создан файл client1 с таким содержимым:

iroute 192.168.1.0 255.255.255.0
push "192.168.0.0 255.255.255.0"

На шлюз сети 2 установлен openvpn client с таким конфигом /etc/openvpn/client.conf:

remote 1.1.1.1 1194
client
dev tun
proto udp
nobind
user nobody
group nogroup
persist-key
persist-tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/client1.crt
key /etc/openvpn/client1.key
comp-lzo
verb 4
mute 20

Ключи и сертификаты сгенерированы и подложены по нужным папкам.
Туннель поднимается, шлюзы видят друг друга, с клиентского шлюза даже пингуются компьютеры из сети 1, но компьютеры сети1 не видят компьютеров из сети 2 и наоборот.
Загвоздка, я так понимаю в отсутствии правил nat в обоих firestarter-ах для правильной обработки пакетов, предназначенных для "неродных" сетей (для сети1 - пакеты 192.168.1.0, для сети2 - пакеты 192.168.0.0).
Гугление привело к http://forums.openvpn.net/topic7762.html#p10387, откуда были подчерпнуты строки:

iptables -A INPUT -p udp --dport 1194 -j ACCEPT

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 10.10.10.0/24 -j ACCEPT
iptables -A FORWARD -j REJECT
iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE
 
но безрезультатно(( Хелп!

[fisher74]

Показывайте

Код: [Выделить]

sysctl net.ipv4.ip_forward И зачем Вам nat, если роутите обе сети?

[usefree]

sysctl net.ipv4.ip_forward = 1, это выставляется firestarter сразу после установки, nat - насколько я понимаю именно он осуществляет подмену адресов на шлюзе, чтобы пакеты от 192.168.0.2, например, пошли через 1.1.1.1 к ,например, ya.ru и вернулись через 1.1.1.1 на 192.168.0.2 обратно а не на 192.168.0.3, например.

[censor]

sysctl net.ipv4.ip_forward = 1, это выставляется firestarter сразу после установки, nat - насколько я понимаю именно он осуществляет подмену адресов на шлюзе, чтобы пакеты от 192.168.0.2, например, пошли через 1.1.1.1 к ,например, ya.ru и вернулись через 1.1.1.1 на 192.168.0.2 обратно а не на 192.168.0.3, например.

nat нужен для подмены адреса источника пакета, вам это не надо, вам надо смаршрутизировать 2 сети.
вывод ip route show с обоих серверов загони в спойлер

[usefree]

шлюз сети 1

ip route show

(Нажмите, чтобы показать/скрыть)

10.10.10.2 dev tun0  proto kernel  scope link  src 10.10.10.1
192.168.1.0/24 via 10.10.10.2 dev tun0
192.168.0.0/24 dev eth0  proto kernel  scope link  src 192.168.0.1
10.10.10.0/24 via 10.10.10.2 dev tun0
80.91.178.0/24 dev eth1  proto kernel  scope link  src 1.1.1.1
169.254.0.0/16 dev eth1  scope link  metric 1000
default via 80.91.178.97 dev eth1  metric 100

шлюз сети 2

ip route show

(Нажмите, чтобы показать/скрыть)

10.10.10.1 via 10.10.10.5 dev tun0
10.10.10.5 dev tun0  proto kernel  scope link  src 10.10.10.6
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.1
192.168.0.0/24 via 10.10.10.5 dev tun0
80.91.178.0/24 dev eth1  proto kernel  scope link  src 2.2.2.2
169.254.0.0/16 dev eth1  scope link  metric 1000
default via 80.91.178.97 dev eth1  metric 100

переустановил фаерстартеры - теперь при попытке пинать шлюзы друг друга - ping: sendmsg: Operation not permitted

[fisher74]

ох уж эти огненные стартёры....
Может давайте глянем, что они Вам там нажгли?

Код: [Выделить]

sudo iptables-saveи так же под спойлеры

P.S. правда, помню они там такой "колхоз" строят... что разобраться будет сложно..

[usefree]

посносил я эти фаерстартеры, снес затем и iptables, которые они с собой установили, перезагрузился, поставил iptables заново (без фаерстартеров), добавил обоим шлюзам echo 1 > /proc/sys/net/ipv4/ip_forward,
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE,

после этого туннель попрежнему жив, шлюзы пинают друг друга в виртуальной сети, но ни шлюз1 не видит сети шлюза2, ни шлюз2 не видит сети шлюза1.

iptables-save шлюза1:

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Wed Dec  7 21:43:55 2011
*nat
:PREROUTING ACCEPT [5417:284837]
:POSTROUTING ACCEPT [345:186064]
:OUTPUT ACCEPT [347:186620]
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT
# Completed on Wed Dec  7 21:43:55 2011
# Generated by iptables-save v1.4.4 on Wed Dec  7 21:43:55 2011
*filter
:INPUT ACCEPT [5028:444076]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [83199:12001313]
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
COMMIT
# Completed on Wed Dec  7 21:43:55 2011

шлюза2:

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.10 on Wed Dec  7 20:44:49 2011
*nat
:PREROUTING ACCEPT [155:13614]
:INPUT ACCEPT [9:599]
:OUTPUT ACCEPT [3:215]
:POSTROUTING ACCEPT [1:84]
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT
# Completed on Wed Dec  7 20:44:49 2011
# Generated by iptables-save v1.4.10 on Wed Dec  7 20:44:49 2011
*filter
:INPUT ACCEPT [233:30510]
:FORWARD ACCEPT [229:45356]
:OUTPUT ACCEPT [398:41179]
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
COMMIT
# Completed on Wed Dec  7 20:44:49 2011

[fisher74]

таблицу маршрутизации одного из непингующихся клиентов сети можно тоже посмотреть?

[usefree]

на 192.168.1.2
ip route show
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.2  metric 1
default via 192.168.1.1 dev eth0  proto static

[fisher74]

попробуйте серверу добавить в конфиг
route 10.10.10.0 255.255.255.0

[usefree]

спасибо большое, тему можно закрывать. Решение черпанул тут https://forum.ubuntu.ru/index.php?topic=75483.0. Там и про фаер и про впн рабочий пример.