サーバーLANに到達するためのOpenVPNクライアントLAN

Question

OpenVPNサーバーをVPCで実行し、クライアントをオフィスネットワークで実行しています。

10.24.11.37に次の表がある

# route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 10.24.11.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 0.0.0.0 10.24.11.1 0.0.0.0 UG 100 0 0 eth0

10.24.11.37を10.2.1.145に接続したいので、10.24.11.37に次のルートを追加しました。

route add -net 10.8.0.0 netmask 255.255.255.0 gw 10.24.11.235 route add -net 10.2.0.0 netmask 255.255.0.0 gw 10.24.11.235

今私は10.24.11.37に次の表を持っています

# route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 10.8.0.0 10.24.11.235 255.255.255.0 UG 0 0 0 eth0 10.24.11.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 10.2.0.0 10.24.11.235 255.255.0.0 UG 0 0 0 eth0 0.0.0.0 10.24.11.1 0.0.0.0 UG 100 0 0 eth0

これで、10.8.0.2から10.24.11.37にpingを実行できますが、10.2.1.145から10.8.0.1、10.2.2.101、10.24.11.37にpingを実行できません。

10.24.11.235に次のルートがあります

$ route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 10.8.0.1 128.0.0.0 UG 0 0 0 tun0 0.0.0.0 10.24.11.1 0.0.0.0 UG 202 0 0 eth0 10.8.0.0 0.0.0.0 255.255.255.0 U 0 0 0 tun0 10.24.11.0 0.0.0.0 255.255.255.0 U 202 0 0 eth0 38.xxx.xxx.291 10.24.11.1 255.255.255.255 UGH 0 0 0 eth0 128.0.0.0 10.8.0.1 128.0.0.0 UG 0 0 0 tun0

OpenVPNサーバーから10.2.2.101私は10.8.0.2にpingできますが、10.24.11.235はできません。 OpenVPNサーバーSudo ip route add 10.24.11.0/24 via 10.8.0.2 dev tun0に10.2.2.101を追加しようとしました。しかし、それは問題を修正しませんでした。

OpenVPNサーバー（EC2インスタンス）の送信元/宛先チェックを無効にし、OpenVPNサーバー10.2.2.101およびOpenVPNクライアント10.24.11.235でIP転送（net.ipv4.ip_forward = 1）を有効にしました

そしてOpenVPNサーバーでは10.2.2.101

$ route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 10.2.2.1 0.0.0.0 UG 100 0 0 ens5 10.2.2.0 0.0.0.0 255.255.255.0 U 0 0 0 ens5 10.2.2.1 0.0.0.0 255.255.255.255 UH 100 0 0 ens5 10.8.0.0 0.0.0.0 255.255.255.0 U 0 0 0 tun0 10.24.11.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0

OpenVPNサーバー10.2.2.101およびOpenVPNクライアント10.24.11.235には次のファイアウォールルールがあります

$ Sudo iptables -nvL FORWARD Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination

ping 10.8.0.2の10.24.11.37はSudo tcpdump -i tun0 icmpの10.24.11.235には表示されませんが、Sudo tcpdump -i eth0 icmpの10.24.11.235には表示されます

Sudo iptables -Sの10.24.11.235

-P INPUT ACCEPT -P FORWARD ACCEPT -P OUTPUT ACCEPT -A FORWARD -s 10.24.11.0/24 -d 10.2.0.0/16 -j ACCEPT -A FORWARD -s 10.2.0.0/16 -d 10.24.11.0/24 -j ACCEPT -A FORWARD -s 10.24.11.0/24 -d 10.8.0.0/24 -j ACCEPT -A FORWARD -s 10.8.0.0/24 -d 10.24.11.0/24 -j ACCEPT -A FORWARD -s 10.24.11.0/24 -d 10.2.0.0/16 -j ACCEPT -A FORWARD -s 10.2.0.0/16 -d 10.24.11.0/24 -j ACCEPT

Sudo iptables -Sの10.2.2.101

-P INPUT ACCEPT -P FORWARD ACCEPT -P OUTPUT ACCEPT -A FORWARD -s 10.24.11.0/24 -d 10.2.0.0/16 -j ACCEPT -A FORWARD -s 10.2.0.0/16 -d 10.24.11.0/24 -j ACCEPT -A FORWARD -s 10.2.0.0/16 -d 10.8.0.0/24 -j ACCEPT -A FORWARD -s 10.8.0.0/24 -d 10.2.0.0/16 -j ACCEPT -A FORWARD -s 10.24.11.0/24 -d 10.2.0.0/16 -j ACCEPT -A FORWARD -s 10.2.0.0/16 -d 10.24.11.0/24 -j ACCEPT

ここで行方不明のルートは何ですか？

更新：

10.8.0.2から10.2.1.145にpingを実行すると、ICMP echo request/replyに10.2.2.101がSudo tcpdump -i tun0 -nn icmpで表示されます。

しかし、10.24.11.235から10.2.1.145にpingを実行すると、次のように表示されます。

$ ping -c 1 10.24.11.235 PING 10.24.11.235 (10.24.11.235) 56(84) bytes of data. From 10.2.2.101: icmp_seq=1 Redirect Host(New nexthop: 10.2.2.1) From 10.2.2.101: icmp_seq=1 Redirect Host(New nexthop: 10.2.2.1) From 10.2.2.101: icmp_seq=1 Redirect Host(New nexthop: 10.2.2.1) From 10.2.2.101: icmp_seq=1 Redirect Host(New nexthop: 10.2.2.1) From 10.2.2.101: icmp_seq=1 Redirect Host(New nexthop: 10.2.2.1) From 10.2.2.101: icmp_seq=1 Redirect Host(New nexthop: 10.2.2.1) From 10.2.2.101: icmp_seq=1 Redirect Host(New nexthop: 10.2.2.1) From 10.2.2.101: icmp_seq=1 Redirect Host(New nexthop: 10.2.2.1) --- 10.24.11.235 ping statistics --- 1 packets transmitted, 0 received, 100% packet loss, time 0ms

10.2.2.101とSudo tcpdump -i ens5 -nn icmp：

$ Sudo tcpdump -i ens5 -nn icmp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on ens5, link-type EN10MB (Ethernet), capture size 262144 bytes 13:36:45.072517 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072544 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072568 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072575 IP 10.2.2.101 > 10.2.2.46: ICMP redirect 10.24.11.235 to Host 10.2.2.1, length 92 13:36:45.072576 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072602 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072606 IP 10.2.2.101 > 10.2.2.46: ICMP redirect 10.24.11.235 to Host 10.2.2.1, length 92 13:36:45.072700 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072726 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072782 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072803 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072822 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072848 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072894 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072915 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072980 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.072983 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073020 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073046 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073087 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073090 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073128 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073145 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073168 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073170 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073194 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073233 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073292 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073341 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073391 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073411 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073432 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073435 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073452 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073475 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073498 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073520 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073540 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073543 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073559 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073584 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073588 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073605 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073609 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073625 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073645 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073665 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073669 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073686 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073704 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073729 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073732 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073749 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073753 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073772 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073792 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073810 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073834 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073837 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073854 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073857 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073892 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073895 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073911 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073934 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073938 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64 13:36:45.073956 IP 10.2.2.46 > 10.24.11.235: ICMP echo request, id 29545, seq 1, length 64

更新：2019年12月18日

route 10.24.11.0 255.255.255.0を/etc/openvpn/server.confに追加し、openvpn@serverを再起動しました。他の設定変更はありません。まだpingできません

10.8.0.2から10.2.1.145にpingを実行すると、10.2.2.101でSudo tcpdump -i tun0 -nn icmp/Sudo tcpdump -i ens5 -nn icmpを使用して次のように表示されます

17:09:53.076642 IP 10.2.7.61 > 10.8.0.2: ICMP echo request, id 27504, seq 1, length 64 17:09:53.158914 IP 10.8.0.2 > 10.2.7.61: ICMP echo reply, id 27504, seq 1, length 64 17:09:54.077827 IP 10.2.7.61 > 10.8.0.2: ICMP echo request, id 27504, seq 2, length 64 17:09:54.160234 IP 10.8.0.2 > 10.2.7.61: ICMP echo reply, id 27504, seq 2, length 64

10.2.1.145から10.24.11.37にpingを実行すると、10.2.2.101をSudo tcpdump -i tun0 -nn icmpでフォローします。

17:17:01.361549 IP 10.24.11.37 > 10.2.1.145: ICMP echo request, id 24639, seq 0, length 64 17:18:14.451241 IP 10.24.11.37 > 10.2.1.145: ICMP echo request, id 8768, seq 0, length 64

Kamil J · Answer

何が問題を引き起こしているのかを推測し、（うまくいけば）それを解決する方法を教えてください...

あなたの問題はopenvpnサーバーの「内部ルーティング」だと思います。サーバーへのopenvpnセッションを開くと、現在確立されているセッションを介して10.8.0.2に到達可能であることを示す「内部ルーティングレコード」が作成されます。その隣には、「一般的な」OSシステムのルーティングレコードがあり、10.8.0.0/24はtun0--openvpnを介して再利用可能である必要があります。これらの2つの情報は一緒になって、10.8.0.2に到達するために必要なすべての情報を提供します。

システムで10.24.11.0/24のトラフィックの転送を許可し、tunv（openvpnサーバーセッション）にトラフィックをポイントしても、openvpnの「内部ルーティング」に到達すると、それ以上の対処方法に関する情報はありません...

これを解決するには、openvpnサーバーでCCD（Client Config Dir）オプションを利用し、10.8.0.2に対応するクライアントのカスタム構成を作成する必要があります。そこに「iroute 10.24.11.0 255.255.255.0 "レコードにより、セッション確立時に内部ルーティングルールが設定されます...つまり、クライアントが接続されると、10.8.0.2の「通常の」内部ルーティングレコードが作成されます（これは現在でも機能しています）。また、このセッションを介して10.8.0.2に転送される10.24.11.0/24の内部ルーティングルールも設定されます。理論10.8.0.2は静的である必要がないため、openvpnサーバーは静的である必要がないため、ccdを使用して設定する必要があります。どのセッションをトラフィックルーティングに使用するのが正しいかを知ってください...このトピックの詳細については、たとえば openvpn howto page を参照してください。

「OSシステムのルーティングレコード」を永続的にしたい場合は、「route 10.24.11.0 255.255.255.0 "をサーバー側のopenvpn構成に追加-openvpnサーバーを開始すると、このシステムルールが設定されます。

うまくいけば、これはあなたを助けるでしょう。幸運を！

ofirule · Answer

私はそれをテストしていませんが、これは解決策の一般的な考え方です：

10.24.11.37：

# Add routes route add -net 10.8.0.0 netmask 255.255.255.0 gw 10.24.11.235 # this is not mandatory, only if you want 10.24.11.37 to be able to connect to 10.8.0.0/24 route add -net 10.2.0.0 netmask 255.255.0.0 gw 10.24.11.235

10.24.11.235：

# Add route route add -net 10.2.0.0 netmask 255.255.0.0 gw 10.8.0.1 # Allow forwarding rules ## this is not mandatory, only if you want 10.24.11.37 to be able to connect to 10.8.0.0/24 iptables -A FORWARD -s 10.24.11.0/24 -d 10.8.0.0/24 -j ACCEPT iptables -A FORWARD -s 10.8.0.0/24 -d 10.24.11.0/24 -j ACCEPT ## For access to and from 10.2.1.145 / 10.24.11.37 iptables -A FORWARD -s 10.24.11.0/24 -d 10.2.0.0/16 -j ACCEPT iptables -A FORWARD -s 10.2.0.0/16 -d 10.24.11.0/24 -j ACCEPT

10.2.2.101の場合：

# Add route route add -net 10.24.11.0 netmask 255.255.255.0 gw 10.8.0.2 # Allow forwarding rules ## this is not mandatory, only if you want 10.2.1.145 to be able to connect to 10.8.0.0/24 iptables -A FORWARD -s 10.2.0.0/16 -d 10.8.0.0/24 -j ACCEPT iptables -A FORWARD -s 10.8.0.0/24 -d 10.2.0.0/16 -j ACCEPT ## For access to and from 10.2.1.145 / 10.24.11.37 iptables -A FORWARD -s 10.24.11.0/24 -d 10.2.0.0/16 -j ACCEPT iptables -A FORWARD -s 10.2.0.0/16 -d 10.24.11.0/24 -j ACCEPT

10.2.1.145の場合：

# Add routes route add -net 10.8.0.0 netmask 255.255.255.0 gw 10.2.2.101 # this is not mandatory, only if you want 10.2.1.145 to be able to connect to 10.8.0.0/24 route add -net 10.24.11.0 netmask 255.255.255.0 gw 10.2.2.101

基本的に、ルートを追加し、すべてのホストで関連する転送を許可する必要があります