为新的 VPN 连接设置路由和 iptables，以仅重定向端口 80 和 443

Question 1

因此，大部分内容如上所述，但整个解决方案如下：

编辑 /etc/iproute2/rt_tables 并在底部添加两行：

101 internet
102 vpn

您可以为这些表赋予其他更有意义的名称，只要保持一致即可。

然后你需要在 /etc/init.d 中创建一个脚本（我称之为 rt_setup）

#!/bin/sh

DEV1=eth0
IP1=`ifconfig|perl -nE'/dr:(\S+)/&&say$1'|grep 192.`
GW1=192.168.0.1
TABLE1=internet
TABLE2=vpn
DEV2=tun0
IP2=`ifconfig|perl -nE'/dr:(\S+)/&&say$1'|grep 10.`
GW2=`route -n | grep 'UG[ \t]' | awk '{print $2}'`

ip route flush table $TABLE1
ip route flush table $TABLE2
ip route show table main | grep -Ev ^default | while read ROUTE ; do
    ip route add table $TABLE1 $ROUTE
    ip route add table $TABLE2 $ROUTE
done
ip route add table $TABLE1 $GW1 dev $DEV1 src $IP1
ip route add table $TABLE2 $GW2 dev $DEV2 src $IP2
ip route add table $TABLE1 default via $GW1
ip route add table $TABLE2 default via $GW2

echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr

ip rule add from $IP1 lookup $TABLE1
ip rule add from $IP2 lookup $TABLE2
ip rule add fwmark 1 lookup $TABLE1
ip rule add fwmark 2 lookup $TABLE2

iptables -t nat -A POSTROUTING -o $DEV1 -j SNAT --to-source $IP1
iptables -t nat -A POSTROUTING -o $DEV2 -j SNAT --to-source $IP2

iptables -t nat -A PREROUTING           -m state --state ESTABLISHED,RELATED          -j CONNMARK --restore-mark
iptables        -A OUTPUT               -m state --state ESTABLISHED,RELATED          -j CONNMARK --restore-mark
iptables -t nat -A PREROUTING -i $DEV1  -m state --state NEW                          -j CONNMARK --set-mark 1
iptables -t nat -A PREROUTING -i $DEV2  -m state --state NEW                          -j CONNMARK --set-mark 2
iptables -t nat -A PREROUTING           -m connmark --mark 1                          -j MARK --set-mark 1
iptables -t nat -A PREROUTING           -m connmark --mark 2                          -j MARK --set-mark 2
iptables -t nat -A PREROUTING           -m state --state NEW -m connmark ! --mark 0   -j CONNMARK --save-mark

iptables -t mangle -A PREROUTING -i $DEV2 -m state --state NEW -p tcp --dport  80 -j CONNMARK --set-mark 2
iptables -t mangle -A PREROUTING -i $DEV2 -m state --state NEW -p tcp --dport 443 -j CONNMARK --set-mark 2

route del default
route add default gw 192.168.0.1 eth0

然后，显然，从 /etc/rc2.d 链接它（我使用 ubuntu，运行级别可能与你不同）。确保给它一个 S 号更高比 openvpn 链接！

该脚本执行多项操作。上半部分设置变量，使用一些 perl 和 awk 语句来获取动态 IP 和网关地址。第二部分清理您在 ipruote2 中设置的表，并将当前路由表复制到这些表。然后，它为它们创建两个新路由和两个默认网关，其中 VPN 路由通过 VPN，互联网路由通过我的本地网络。

我并不确信接下来的两行是必要的，但是它们可以启用 ip 转发以便在 iptables 中使用。

接下来，脚本会创建一些规则，确定在哪里查找来自相关 IP 地址的流量，以及在哪里查找流量是否被特别标记。

POSTROUTING 和 PREROUTING 确保来自某个地址的流量得到答复！

最后的 iptables PREROUTING 是标记流量的部分，并确保任何到端口 80 或 443 的内容都被标记为使用表 2（VPN）

最后两行从默认路由表中删除 VPN 网关，并重新添加我的本地网络网关。

目前看来，这个过程非常出色。VPN 在机器启动时启动，几秒钟后运行此脚本（我可能会添加一个 sleep 语句，以确保在运行此脚本之前 VPN 已完全初始化）。我的远程访问连接（ssh 等）运行良好。我的连接（不去往端口 80 或 443）使用我的本地连接，但所有网络流量都通过 VPN，并绕过我的 ISP 设置的控制！

正如我在问题下的评论中所说，如果没有 @anttir 的建议，我根本不会开始考虑这条路线。根据这个建议，这些网站http://blog.khax.net/2009/11/28/multi-gateway-routing-with-iptables-and-iproute2/和http://linux-ip.net/html/adv-multi-internet.html非常有用（即使代码不是 100% 完成！）

Answer