web-dev-qa-db-ja.com

プライベートネットワークとクライアント間のOpenVPNでのルーティング

プライベートネットワークとそれに接続するホームクライアントの間にOpenVPNをセットアップしようとしています。 （クライアントは相互に接続する必要はありません）。ネットワークトポロジは少し興味深いものです。 10.7.42.0/24には公立/大学のネットワークがあります。そのネットワーク上にパブリックポートが転送されているIPがいくつかありますが、それらに制限されているため、192.168.203.0/24のプライベートネットワークに多くを配置しています。すべてのマシンには少なくともプライベートIPがあり、一部にはパブリックIPとプライベートIPの両方があります（2つのアダプター。これはすべてVMで実行されますが、物理的に離れた2つのネットワークがあるようです）

OpenVPNサーバーは、パブリック/プライベートネットワーク間のゲートウェイでもあります。 10.7.42.xアドレス、デフォルトゲートウェイ10.7.42.1（大学ゲートウェイ）、マスカレード/ IP転送、any-to-any、内部アドレス192.168.203.1を持っています。 NAT /ゲートウェイで正常に機能します。

私の開いているVPNサーバーの構成は次のようになります。

local 10.42.7.226
port 443
proto tcp
dev tun
ca /etc/openvpn/easy-rsa-2.0/keys/ca.crt
cert /etc/openvpn/easy-rsa-2.0/keys/server.crt
key /etc/openvpn/easy-rsa-2.0/keys/server.key  # This file should be kept secret
dh /etc/openvpn/easy-rsa-2.0/keys/dh1024.pem
server 192.168.137.0 255.255.255.0

ifconfig-pool-persist /etc/openvpn/ipp.txt

route 192.168.203.0 255.255.255.0
Push "route 192.168.203.0 255.255.255.0"

Push "dhcp-option DNS 192.168.203.100"

keepalive 10 120

cipher BF-CBC        # Blowfish (default)


comp-lzo

plugin /usr/lib64/openvpn/plugin/lib/openvpn-auth-pam.so login
client-cert-not-required
username-as-common-name

max-clients 201

user nobody
group nobody

persist-key
persist-tun

status /var/log/openvpn-status.log

log-append  /var/log/openvpn.log

Ifconfigは次のようになります。

eth0      Link encap:Ethernet  HWaddr XX:XX:XX:XX:XX:XX  
          inet addr:192.168.203.1  Bcast:192.168.203.255  Mask:255.255.255.0
          inet6 addr: fe80::8c2c:6bff:fe5b:5406/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:183488 errors:0 dropped:4 overruns:0 frame:0
          TX packets:198145 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:15024794 (14.3 Mb)  TX bytes:186885934 (178.2 Mb)
          Interrupt:32 Base address:0xa000 

eth1      Link encap:Ethernet  HWaddr XX:XX:XX:XX:XX:XX  
          inet addr:10.42.7.226  Bcast:10.42.7.255  Mask:255.255.255.0
          inet6 addr: fe80::a011:59ff:fe3e:c3aa/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:436236 errors:0 dropped:99041 overruns:0 frame:0
          TX packets:202673 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:239838327 (228.7 Mb)  TX bytes:20537299 (19.5 Mb)
          Interrupt:36 Base address:0xe100 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:2 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:100 (100.0 b)  TX bytes:100 (100.0 b)

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  
          inet addr:192.168.137.1  P-t-P:192.168.173.2  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:631 errors:0 dropped:0 overruns:0 frame:0
          TX packets:88 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:48118 (46.9 Kb)  TX bytes:13725 (13.4 Kb)

私のルートは次のようになります。

192.168.137.2     *               255.255.255.255 UH    0      0        0 tun0
10.42.7.0       *               255.255.255.0   U     0      0        0 eth1
192.168.203.0   *               255.255.255.0   U     0      0        0 eth0
192.168.137.0     192.168.137.2     255.255.255.0   UG    0      0        0 tun0
link-local      *               255.255.0.0     U     0      0        0 eth0
loopback        *               255.0.0.0       U     0      0        0 lo
default         10.42.7.1       0.0.0.0         UG    0      0        0 eth1

クライアントは次のようになります。

dev tun
remote vpn.mydomain.com
ca ca.crt

client
port 443
proto tcp
tls-client
auth-user-pass

comp-lzo

ping 15
verb 9
log-append  /tmp/openvpn.log

問題は、192.168.137.1にSSH接続した場合にのみOpenVPNサーバーにアクセスできることです。 192.168.203.0/24のアドレスに接続できません。トレースルートを実行すると、1ホップしか実行されず、VPNを介してリモートtunアダプターに到達するのに30秒かかります。

プライベートマシンはゲートウェイとして192.168.203.1（OpenVPNサーバー）を使用するため、パケットは少なくともそれらのマシンで正常に戻る必要があります（実際には、途中でNATが実行されるため、両方のマシンに到達する必要があります）パブリックアダプターとプライベートアダプターも）

私は以前にこれらのOpenVPNネットワークをセットアップしたことがあり、以前にこの正確な問題に遭遇したことは知っていますが、解決策を思い出せません。

routingvpnopenvpn
3
djsumdog

問題を見つけました。それは私のファイアウォールでした。ファイアウォールを無効にして、iptablesで必要なルールを手動で入力すると、正常に機能します。 （OpenVPNで人々が抱える最大の問題は、通常、freenode.netの#openvpnチャットルームによるとファイアウォールベースです）。次に、ファイアウォールスクリプトを調整して、tun0トラフィックを許可し、再起動しました。

2
djsumdog