在 VPN 客户端后面公开 LAN 上的端口

Question 1

我按照如下方式解决了这个问题：

在 VPS 服务器上，我在 PREROUTING 链上使用以下命令。它获取到达 eth0 接口（WAN）端口 555 的所有数据包，并将其目的地更改为 DD-WRT 路由器上的 VPN 客户端的 IP 地址：

iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 555 -j DNAT --to-destination 10.8.0.2

请注意，为了使其正常工作，您需要将 DD-WRT 路由器上的 OpenVPN 客户端配置为在连接时始终使用相同的 IP 地址，在我的情况下为 10.8.0.2。

此命令的结果是，当数据包到达路由决策时，它将遵循 FORWARD 路径，因为服务器可以通过新的 IP 地址看到该数据包不是发给自己的。

请注意，此 PREROUTING 命令仅在 VPN 服务器启动时创建一条路由，告诉服务器在哪里可以找到 10.8.0.1/24 子网（第一列中的数字是我为清楚起见添加的）：

Kernel IP routing table
Number    Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
1         default         185.181.9.1     0.0.0.0         UG    0      0        0 eth0
2         10.8.0.0        *               255.255.255.0   U     0      0        0 tun0
3         185.181.9.0     *               255.255.255.0   U     0      0        0 eth0

规则 2 告诉 VPS 服务器，我现在标记为目的地 10.8.0.2 的数据包需要通过 tun0 接口路由。

然后在 DD-WRT 路由器上，我使用相同类型的规则将到达 tun0 端口 555 的数据包的目标地址更改为内部服务器的目标地址：

iptables -t nat -A PREROUTING -i tun0 -p tcp -m tcp --dport 555 -j DNAT --to-destination 192.168.1.24

再次强调，这之所以有效，是因为 VPN 客户端在连接时会创建一条路由，告诉路由器在 br0 接口（LAN）上找到 192.168.1.0/24 子网（下面的规则 5）

Kernel IP routing table
Number     Destination     Gateway         Genmask         Flags Metric Ref      Use Iface
1          default         10.230.0.1      0.0.0.0         UG    0      0        0   ppp0
2          10.230.0.1      *               255.255.255.255 UH    0      0        0   ppp0
3          127.0.0.0       *               255.0.0.0       U     0      0        0   lo
4          169.254.0.0     *               255.255.0.0     U     0      0        0   br0
5          192.168.1.0     *               255.255.255.0   U     0      0        0   br0

就是这样。到达 VPS WAN 接口端口 555 的数据包现在将一路路由到我的 LAN 上的服务器。

当我弄清楚这一切时，我利用了以下资源：

使用 TRACE 调试 iptables
iptables 综合教程特别是该教程中的这张图片：

Answer