仅通过 OpenVPN 为特定网络命名空间提供所有流量

Question 1

您可以在命名空间内启动 OpenVPN 链接，然后运行要在命名空间内使用该 OpenVPN 链接的每个命令。有关如何执行此操作的详细信息，请参阅在网络命名空间内运行 OpenVPN 隧道，作者：Sebastian Thorarensen。

我尝试了一下，确实有效。这个想法是提供一个自定义脚本来执行特定命名空间（而不是全局命名空间）内 OpenVPN 连接的启动和路由阶段。这是基于上述来源的答案，但经过修改以将 Google DNS 添加到 resolv.conf.

首先创建一个- 向上OpenVPN 的脚本。该脚本将在名为的网络命名空间内创建 VPN 隧道接口VPN，而不是默认的命名空间。

$ cat > netns-up << 'EOF'
#!/bin/sh
case $script_type in
        up)
                ip netns add vpn
                ip netns exec vpn ip link set dev lo up
                mkdir -p /etc/netns/vpn
                echo "nameserver 8.8.8.8" > /etc/netns/vpn/resolv.conf
                ip link set dev "$1" up netns vpn mtu "$2"
                ip netns exec vpn ip addr add dev "$1" \
                        "$4/${ifconfig_netmask:-30}" \
                        ${ifconfig_broadcast:+broadcast "$ifconfig_broadcast"}
                test -n "$ifconfig_ipv6_local" && \
                        ip netns exec vpn ip addr add dev "$1" \
                                "$ifconfig_ipv6_local"/112
                ;;
        route-up)
                ip netns exec vpn ip route add default via "$route_vpn_gateway"
                test -n "$ifconfig_ipv6_remote" && \
                        ip netns exec vpn ip route add default via \
                                "$ifconfig_ipv6_remote"
                ;;
        down)
                ip netns delete vpn
                ;;
esac
EOF

然后启动 OpenVPN 并告诉它使用我们的- 向上脚本而不是执行 ifconfig 和路由。

openvpn --ifconfig-noexec --route-noexec --up netns-up --route-up netns-up --down netns-up

现在您可以像这样启动要进行隧道传输的程序：

ip netns 执行 VPN命令

唯一的问题是您需要成为 root 才能调用，ip netns exec ...并且也许您不希望应用程序以 root 身份运行。解决方案很简单：

sudo ip netns exec vpn sudo -u $(whoami)命令

Answer

您可以在命名空间内启动 OpenVPN 链接，然后运行要在命名空间内使用该 OpenVPN 链接的每个命令。有关如何执行此操作的详细信息，请参阅在网络命名空间内运行 OpenVPN 隧道，作者：Sebastian Thorarensen。

我尝试了一下，确实有效。这个想法是提供一个自定义脚本来执行特定命名空间（而不是全局命名空间）内 OpenVPN 连接的启动和路由阶段。这是基于上述来源的答案，但经过修改以将 Google DNS 添加到 resolv.conf.

首先创建一个- 向上OpenVPN 的脚本。该脚本将在名为的网络命名空间内创建 VPN 隧道接口VPN，而不是默认的命名空间。

$ cat > netns-up << 'EOF'
#!/bin/sh
case $script_type in
        up)
                ip netns add vpn
                ip netns exec vpn ip link set dev lo up
                mkdir -p /etc/netns/vpn
                echo "nameserver 8.8.8.8" > /etc/netns/vpn/resolv.conf
                ip link set dev "$1" up netns vpn mtu "$2"
                ip netns exec vpn ip addr add dev "$1" \
                        "$4/${ifconfig_netmask:-30}" \
                        ${ifconfig_broadcast:+broadcast "$ifconfig_broadcast"}
                test -n "$ifconfig_ipv6_local" && \
                        ip netns exec vpn ip addr add dev "$1" \
                                "$ifconfig_ipv6_local"/112
                ;;
        route-up)
                ip netns exec vpn ip route add default via "$route_vpn_gateway"
                test -n "$ifconfig_ipv6_remote" && \
                        ip netns exec vpn ip route add default via \
                                "$ifconfig_ipv6_remote"
                ;;
        down)
                ip netns delete vpn
                ;;
esac
EOF

然后启动 OpenVPN 并告诉它使用我们的- 向上脚本而不是执行 ifconfig 和路由。

openvpn --ifconfig-noexec --route-noexec --up netns-up --route-up netns-up --down netns-up

现在您可以像这样启动要进行隧道传输的程序：

ip netns 执行 VPN命令

唯一的问题是您需要成为 root 才能调用，ip netns exec ...并且也许您不希望应用程序以 root 身份运行。解决方案很简单：

sudo ip netns exec vpn sudo -u $(whoami)命令

Question 2

原来你能将隧道接口放入网络命名空间中。我的整个问题都归因于打开界面时的错误：

ip addr add dev $tun_tundv \
    local $ifconfig_local/$ifconfig_cidr \
    broadcast $ifconfig_broadcast \
    scope link

问题是“范围链接”，我误解为只影响路由。它使内核将发送到隧道的所有数据包的源地址设置为0.0.0.0；据推测，OpenVPN 服务器会根据 RFC1122 将它们视为无效而丢弃；即使没有，目的地显然也无法回复。

在没有网络命名空间的情况下一切都正常工作，因为 openvpn 的内置网络配置脚本没有犯这个错误。如果没有“范围链接”，我的原始脚本也可以工作。

（您问我是如何发现这一点的？通过strace在 openvpn 进程上运行，设置为 hexdump 从隧道描述符中读取的所有内容，然后手动解码数据包标头。）

Answer

原来你能将隧道接口放入网络命名空间中。我的整个问题都归因于打开界面时的错误：

ip addr add dev $tun_tundv \
    local $ifconfig_local/$ifconfig_cidr \
    broadcast $ifconfig_broadcast \
    scope link

问题是“范围链接”，我误解为只影响路由。它使内核将发送到隧道的所有数据包的源地址设置为0.0.0.0；据推测，OpenVPN 服务器会根据 RFC1122 将它们视为无效而丢弃；即使没有，目的地显然也无法回复。

在没有网络命名空间的情况下一切都正常工作，因为 openvpn 的内置网络配置脚本没有犯这个错误。如果没有“范围链接”，我的原始脚本也可以工作。

（您问我是如何发现这一点的？通过strace在 openvpn 进程上运行，设置为 hexdump 从隧道描述符中读取的所有内容，然后手动解码数据包标头。）

Question 3

尝试创建 veth 设备时出现的错误是由ip命令行参数解释方式的更改引起的。

ip创建一对 veth 设备的正确调用是

ip link add name veth0 type veth peer name veth1

（name代替dev）

现在，如何将流量从命名空间传输到 VPN 隧道？由于您只有 tun 设备可供使用，因此“主机”必须进行路由。即创建 veth 对并将其放入命名空间中。通过路由将另一个连接到隧道。因此，启用转发，然后添加必要的路由。

举例来说，假设eth0是您的主接口，tun0是您的 VPN 隧道接口，并且veth0/veth1其中的一对接口veth1位于命名空间中。在命名空间内，您只需添加veth1.

在需要使用策略路由的主机上，请参阅这里例如。你需要做什么：

添加/附加条目，例如

1   vpn

到/etc/iproute2/rt_tables。这样您就可以按名称调用（尚未创建的）表。

然后使用以下语句：

ip rule add iif veth0 priority 1000 table vpn
ip rule add iif tun0 priority 1001 table vpn
ip route add default via <ip-addr-of-tun0> table vpn
ip route add <ns-network> via <ip-addr-of-veth0> table vpn

我无法在这里尝试使用像您这样的设置，但这应该完全符合您的要求。您可以通过数据包过滤规则来增强它，这样 VPN 和“访客”网络都不会受到干扰。

注意：tun0首先进入名称空间看起来是正确的做法。但和你一样，我也没有做到这一点。策略路由看起来是下一个正确的做法。如果您了解 VPN 背后的网络，Mahendra 的解决方案就适用和所有其他应用程序将永远不会访问这些网络。但是你的初始条件（“所有的流量，以及仅有的进出特定进程的流量通过 VPN”）听起来好像后者无法得到保证。

Answer