opvnvpn：寻址 LAN 后面的节点

Question 1

我看了所有的回复并且认为我知道你对这一切的看法。

让我们做一些简单的检查来缩小问题范围：

从无法 ping 192.168.0.x 主机的 OpenVPN 客户端之一： netstatn -rn 还请提供ifconfig -a*nix 或ipconfig /all ping <openvpn server external 10.21.x address> ping <openvpn 10.15.x address

从 openvpn 服务器： netstatn -rn ping <a 192.168.0.x host> ping <a 10.15.x host> ping <a 10.21.x host>

此外，您当前的 openvpn 服务器配置和客户端配置可能位于/etc/openvpn/server.conf客户端计算机上/etc/openvpn/<hostname>.conf或c:\program files\openvpn\config\<hostname.conf> or .ovpn

我有一个类似的设置。在我的 OpenVPN 服务器上，我有这个 iptables 规则的等效项（将主机掩码/接口更改为您应该的值）：

# Generated by iptables-save v1.4.4 
*nat
:PREROUTING ACCEPT [5:332]
:POSTROUTING ACCEPT [5:740]
:OUTPUT ACCEPT [5:740]
-A POSTROUTING -s 10.15.119.0/2 -o eth1 -j MASQUERADE
COMMIT

看起来你的问题肯定是因为你缺少 iptable_nat。

# lsmod | grep nat
iptable_nat             5011  1 
nf_nat                 19101  2 ipt_MASQUERADE,iptable_nat
nf_conntrack_ipv4      12548  3 iptable_nat,nf_nat
nf_conntrack           72270  4 ipt_MASQUERADE,iptable_nat,nf_nat,nf_conntrack_ipv4
ip_tables              17942  2 iptable_nat,iptable_filter
x_tables               21613  3 ipt_MASQUERADE,iptable_nat,ip_tables

modprobe iptable_nat或尝试使用该-a参数。

Answer

我看了所有的回复并且认为我知道你对这一切的看法。

让我们做一些简单的检查来缩小问题范围：

从无法 ping 192.168.0.x 主机的 OpenVPN 客户端之一： netstatn -rn 还请提供ifconfig -a*nix 或ipconfig /all ping <openvpn server external 10.21.x address> ping <openvpn 10.15.x address

从 openvpn 服务器： netstatn -rn ping <a 192.168.0.x host> ping <a 10.15.x host> ping <a 10.21.x host>

此外，您当前的 openvpn 服务器配置和客户端配置可能位于/etc/openvpn/server.conf客户端计算机上/etc/openvpn/<hostname>.conf或c:\program files\openvpn\config\<hostname.conf> or .ovpn

我有一个类似的设置。在我的 OpenVPN 服务器上，我有这个 iptables 规则的等效项（将主机掩码/接口更改为您应该的值）：

# Generated by iptables-save v1.4.4 
*nat
:PREROUTING ACCEPT [5:332]
:POSTROUTING ACCEPT [5:740]
:OUTPUT ACCEPT [5:740]
-A POSTROUTING -s 10.15.119.0/2 -o eth1 -j MASQUERADE
COMMIT

看起来你的问题肯定是因为你缺少 iptable_nat。

# lsmod | grep nat
iptable_nat             5011  1 
nf_nat                 19101  2 ipt_MASQUERADE,iptable_nat
nf_conntrack_ipv4      12548  3 iptable_nat,nf_nat
nf_conntrack           72270  4 ipt_MASQUERADE,iptable_nat,nf_nat,nf_conntrack_ipv4
ip_tables              17942  2 iptable_nat,iptable_filter
x_tables               21613  3 ipt_MASQUERADE,iptable_nat,ip_tables

modprobe iptable_nat或尝试使用该-a参数。

Question 2

您需要将路由推送到客户端。这可以使用服务器配置文件中的“推送”选项来完成。

默认情况下，OpenVPN 服务器只会向其自身推送路由。

一般来说，设置 VPN 服务器时，最好让 VPN 在单独的子网上工作，这样可以简化路由，也可以简化防火墙设置。示例：

运行 OpenVPN 服务器的服务器的内部 IP 地址为 10.15.119.1。其公共 IP 地址为 123.1.2.3。您的整个内部网络位于 10.15.119.0/24 上。然后，您将设置 OpenVPN 服务器在 10.15.120.0/24 上运行，这将为您提供最多 63 个可能的客户端连接（每个连接需要一个包含 4 个 IP 地址的小子网）。连接的第一个客户端将获得 IP 地址 10.15.120.5。如果您现在将路由推送到 10.15.119.0/24 ，客户端将在其路由表中添加一条路由，以便该子网的所有流量都进入隧道。然后，OpenVPN 服务器会将此流量转发到其私有以太网连接中。

阅读 OpenVPN 的手册页（或互联网上的文档）以获取有关如何推送路由的详细信息。

Answer

您需要将路由推送到客户端。这可以使用服务器配置文件中的“推送”选项来完成。

默认情况下，OpenVPN 服务器只会向其自身推送路由。

一般来说，设置 VPN 服务器时，最好让 VPN 在单独的子网上工作，这样可以简化路由，也可以简化防火墙设置。示例：

运行 OpenVPN 服务器的服务器的内部 IP 地址为 10.15.119.1。其公共 IP 地址为 123.1.2.3。您的整个内部网络位于 10.15.119.0/24 上。然后，您将设置 OpenVPN 服务器在 10.15.120.0/24 上运行，这将为您提供最多 63 个可能的客户端连接（每个连接需要一个包含 4 个 IP 地址的小子网）。连接的第一个客户端将获得 IP 地址 10.15.120.5。如果您现在将路由推送到 10.15.119.0/24 ，客户端将在其路由表中添加一条路由，以便该子网的所有流量都进入隧道。然后，OpenVPN 服务器会将此流量转发到其私有以太网连接中。

阅读 OpenVPN 的手册页（或互联网上的文档）以获取有关如何推送路由的详细信息。

Question 3

也许我理解得不正确，但是您尝试访问 VPN 服务器后面的设备是否具有指向 OpenVPN 客户端子网的配置路由？

如果您在非默认网关的系统上运行 OpenVPN 并且需要单独的路由，那么这些服务器将无法将数据包发回给您的客户端。

来自您的 OpenVPN 服务器的 ping 是从设备可以路由到的接口发送的，但如果其他服务器不知道该路由，那么返回客户端的 ping 可能就没有返回的路由。

如果您在服务器上对客户端流量进行 NAT，那么这可能无关紧要，但是在您发布的配置中我没有看到任何表明这一点的内容。

Answer

也许我理解得不正确，但是您尝试访问 VPN 服务器后面的设备是否具有指向 OpenVPN 客户端子网的配置路由？

如果您在非默认网关的系统上运行 OpenVPN 并且需要单独的路由，那么这些服务器将无法将数据包发回给您的客户端。

来自您的 OpenVPN 服务器的 ping 是从设备可以路由到的接口发送的，但如果其他服务器不知道该路由，那么返回客户端的 ping 可能就没有返回的路由。

如果您在服务器上对客户端流量进行 NAT，那么这可能无关紧要，但是在您发布的配置中我没有看到任何表明这一点的内容。

Question 4

为什么不彻底清除 iptables 规则，以消除这种可能性。那么客户端上的 iptables 呢？也清除它们。

iptables --flush
iptables --table nat --flush
iptables --delete-chain
iptables --table nat --delete-chain
iptables -P FORWARD ACCEPT
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT

然后在 openvpn 服务器上运行更干净的 tcpdump，同时从客户端 ping 到 192.168.0.100：

tcpdump -vn -i tun0 '(host 192.168.0.100 or host 10.15.119.6)' and icmp

同时在服务器上运行第二个转储：

tcpdump -vn -i eth1 '(host 192.168.0.100 or host 10.15.119.6)' and icmp

第三次向你的客户端转储：

tcpdump -vn -i eth0 host 192.168.0.100 and icmp

看起来 ping 确实到达了 192.168.0.100，回复到达了 openvpn，但没有到达您的客户端。但您确定客户端没有丢弃回复吗？第一个和第三个 tcpdump 将验证这一点。

Answer