Ubuntu Server L2TP VPN и две подсети

[Prtoy]

Здравствуйте.

Имеется Ubuntu Server 20.04.3 LTS, на нём поднят L2TP VPN сервер.
На сервере две сетевые карты, одна смотрит в интернет, вторая в корпоративную сеть организации.
Задача - сделать так, чтобы при подключении VPN на клиенте (Windows) была видна корпоративная подсеть организации.

На данный момент сам VPN корректно подключается, на клиенте после подключения есть доступ в интернет. Также, с клиента пингуется сам VPN-сервер. Но вторая подсеть, которая настроена на втором сетевом интерфейсе, из VPN не видна (не пингуется). С самого сервера пингуются обе подсети.

Настраивал всё чётко по инструкции:

(Нажмите, чтобы показать/скрыть)

www.dmosk.ru/miniinstruktions.php?mini=l2tpd-ubuntu

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

root@vpn-server:/var/log/xl2tpd# ifconfig
enp2s0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.16.0.5  netmask 255.255.255.248  broadcast 172.16.0.7
        inet6 fe80::92e6:baff:fe84:5eea  prefixlen 64  scopeid 0x20<link>
        ether 90:e6:ba:84:5e:ea  txqueuelen 1000  (Ethernet)
        RX packets 282140  bytes 253789849 (253.7 MB)
        RX errors 0  dropped 11  overruns 0  frame 0
        TX packets 256206  bytes 174730734 (174.7 MB)
        TX errors 0  dropped 0 overruns 0  carrier 1  collisions 0

enp4s2: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.20.102.45  netmask 255.255.255.0  broadcast 172.20.102.255
        inet6 fe80::21e:58ff:fe39:d967  prefixlen 64  scopeid 0x20<link>
        ether 00:1e:58:39:d9:67  txqueuelen 1000  (Ethernet)
        RX packets 18951  bytes 1944796 (1.9 MB)
        RX errors 0  dropped 3616  overruns 0  frame 0
        TX packets 11670  bytes 2246592 (2.2 MB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 188  bytes 16639 (16.6 KB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 188  bytes 16639 (16.6 KB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

enp2s0 - Сетевой интерфейс, который смотрит наружу
enp4s2 - Сетевой интерфес, который смотрит в корпоративную сеть

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

root@vpn-server:/var/log/xl2tpd# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination


Возможно, где-то какой-то дополнительный роутинг надо прописать? К сожалению, опыта в подобных вещах, тем более на линуксе, нет. Прошу помощи.

[AnrDaemon]

Код: [Выделить]

ip a; ip r s type unicast; iptables-save
С сервера, под спойлер.

[Prtoy]

ip a; ip r s type unicast; iptables-save

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

root@vpn-server:~# ip a; ip r s type unicast; iptables-save
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 90:e6:ba:84:5e:ea brd ff:ff:ff:ff:ff:ff
    inet 172.16.0.5/29 brd 172.16.0.7 scope global enp2s0
       valid_lft forever preferred_lft forever
    inet6 fe80::92e6:baff:fe84:5eea/64 scope link
       valid_lft forever preferred_lft forever
3: enp4s2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:1e:58:39:d9:67 brd ff:ff:ff:ff:ff:ff
    inet 172.20.102.45/24 brd 172.20.102.255 scope global enp4s2
       valid_lft forever preferred_lft forever
    inet6 fe80::21e:58ff:fe39:d967/64 scope link
       valid_lft forever preferred_lft forever
15: ppp0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1400 qdisc fq_codel state UNKNOWN group default qlen 3
    link/ppp
    inet 111.11.11.1 peer 111.11.11.2/32 scope global ppp0
       valid_lft forever preferred_lft forever
default via 172.16.0.2 dev enp2s0 proto static
default via 172.20.102.1 dev enp4s2 proto static
111.11.11.2 dev ppp0 proto kernel scope link src 111.11.11.1
172.16.0.0/29 dev enp2s0 proto kernel scope link src 172.16.0.5
172.20.102.0/24 dev enp4s2 proto kernel scope link src 172.20.102.45
# Generated by iptables-save v1.8.4 on Thu Oct 28 22:00:42 2021
*nat
:PREROUTING ACCEPT [20587:2934686]
:INPUT ACCEPT [3099:475867]
:OUTPUT ACCEPT [261:21051]
:POSTROUTING ACCEPT [268:20969]
-A POSTROUTING -o enp2s0 -j MASQUERADE
COMMIT
# Completed on Thu Oct 28 22:00:42 2021
# Generated by iptables-save v1.8.4 on Thu Oct 28 22:00:42 2021
*filter
:INPUT ACCEPT [77302:12925638]
:FORWARD ACCEPT [80599:18538505]
:OUTPUT ACCEPT [28204:12020369]
-A FORWARD -i enp4s2 -o enp2s0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i enp4s2 -o enp2s0 -j ACCEPT
COMMIT
# Completed on Thu Oct 28 22:00:42 2021
root@vpn-server:~#


[Usermaster]

Если сервер в прямой видимости от клиента, нафига настраивать на нём VPN сервер для выпуска компов в интернет?
Если клиент и так в той же сети что и второй сетевой интерфейс не проще просто пробрасывать на сервере трафик с одного сетевого интерфейса на другой через firewall?
Или я ничего не понял или Вы каую то мутную схему замутили на какой то фиг.

[Prtoy]

Или я ничего не понял или Вы каую то мутную схему замутили на какой то фиг.

Почти так и есть
Задача: попадать с домашнего компа в корпоративную сеть, чтобы, когда надо, работать из дома.
Попадать надо в сеть 172.20.102.0/24 из интернета.
Но есть шлюз 172.20.102.1 на котором закрыты все порты, и открывать их не хотят, поэтому прямой доступ путём настройки VPN сразу в нужной подсети не прокатывает.
Поэтому придуман такой обходной путь - сервер с двумя сетевыми картами, на первой интернет в обход шлюза, на второй - нужная сеть. На самом сервере доступ есть, но из VPN нужной сети не видно. Задача в том чтобы как-то маршрутизировать клиентов VPN в подсеть 172.20.102.0/24
Вроде как-то так.

[Usermaster]

Вы вроде как трафик в обратную сторону кидаете:

Код: [Выделить]

-A FORWARD -i enp4s2 -o enp2s0 -m state --state RELATED,ESTABLISHED -j ACCEPT

[Prtoy]

То есть надо переписать это правило и поменять местами интерфейсы?

[Usermaster]

По логике раз Вы подключаетесь к enp2s0 и хотите кидать трафик на enp4s2 тогда да.

Я в правилах iptables не гуру, могу где то и ошибиться. Просто не приходилось его плотно использовать для подобных случаев.
Так что если где ошибусь, то уж простите.

[Prtoy]

Проблему ркшил, помогли на другом форуме:

Код: [Выделить]

iptables -t nat -A POSTROUTING -o enp4s2 -s 192.168.120.0/28 -d 172.20.102.0/24 -j MASQUERADE
iptables -t nat -A POSTROUTING -o enp2s0 -s 192.168.120.0/28 -j MASQUERADE