如何仅通过 openvpn 客户端在 Tomato 上隧道特定主机路由

Question 1

该固件是否支持iproute2，它可能支持基于源ip的多个路由表。

echo "200 ovpn" >> /etc/iproute2/rt_tables
ip rule add from YOUR.WIFI.IP.S table ovpn

并为表添加路由规则

ip route add default via VPN.ROUTE.IP.ADDR dev vpn_dev table ovpn
ip route flush cache

你可以参考这个：Linux 高级路由和流量控制 HOWTO ：http://lartc.org/howto/index.html

或者，如果你是中国人，你可以阅读我关于这个主题的博客：http://wangxu.me/blog/p/675

希望这能有所帮助

Answer

该固件是否支持iproute2，它可能支持基于源ip的多个路由表。

echo "200 ovpn" >> /etc/iproute2/rt_tables
ip rule add from YOUR.WIFI.IP.S table ovpn

并为表添加路由规则

ip route add default via VPN.ROUTE.IP.ADDR dev vpn_dev table ovpn
ip route flush cache

你可以参考这个：Linux 高级路由和流量控制 HOWTO ：http://lartc.org/howto/index.html

或者，如果你是中国人，你可以阅读我关于这个主题的博客：http://wangxu.me/blog/p/675

希望这能有所帮助

Question 2

我终于做到了:-)

我正在使用v1.28.9054 MIPSR2-beta K26 USB vpn3.6，但应该可以在其他人身上起作用，因为它是网络。

OpenVPN 想要设置您的所有路由，您必须停止这种操作……

在 VPN 隧道/客户端/基本

在 VPN 隧道/客户端/高级中取消选中“在隧道上创建 NAT”

取消选中“重定向互联网流量”

自定义配置，添加行：route-nopull

在管理/脚本/防火墙中，确保您拥有：

iptables -I FORWARD -i br0 -o tun11 -j ACCEPT
iptables -I FORWARD -i tun11 -o br0 -j ACCEPT
iptables -I INPUT -i tun11 -j REJECT
iptables -t nat -A POSTROUTING -o tun11 -j MASQUERADE

重新启动，然后你就什么都没有了......

然后，在 VPN 启动脚本（最佳选择）中，或者如果您的 VPN 以 WAN 启动，请输入 Administration/Scripts/WANUP

sleep 30
ip route flush table 200
ip route flush cache
ip rule add from 192.168.1.11 lookup 200
ip rule add from 192.168.1.13 lookup 200
VPN_GW=`ifconfig tun11 | awk '/inet addr/ {split ($2,A,":"); print A[2]}'`
ip route add table 200 default via $VPN_GW dev tun11

这可能不是“最佳”或“正确”的方法，但它确实有效。现在只有192.168.1.11和192.168.2.13将通过 OpenVPN 隧道。所有其他设备及其流量都将本地传输。

这对我来说非常重要，因为我不想让我的 Transmission torrent 流量通过 VPN。像 SgtPepperKSU 这样的人看到这个可能就会笑了... 无论如何，从一个路由菜鸟到另一个...

Answer

我终于做到了:-)

我正在使用v1.28.9054 MIPSR2-beta K26 USB vpn3.6，但应该可以在其他人身上起作用，因为它是网络。

OpenVPN 想要设置您的所有路由，您必须停止这种操作……

在 VPN 隧道/客户端/基本

在 VPN 隧道/客户端/高级中取消选中“在隧道上创建 NAT”

取消选中“重定向互联网流量”

自定义配置，添加行：route-nopull

在管理/脚本/防火墙中，确保您拥有：

iptables -I FORWARD -i br0 -o tun11 -j ACCEPT
iptables -I FORWARD -i tun11 -o br0 -j ACCEPT
iptables -I INPUT -i tun11 -j REJECT
iptables -t nat -A POSTROUTING -o tun11 -j MASQUERADE

重新启动，然后你就什么都没有了......

然后，在 VPN 启动脚本（最佳选择）中，或者如果您的 VPN 以 WAN 启动，请输入 Administration/Scripts/WANUP

sleep 30
ip route flush table 200
ip route flush cache
ip rule add from 192.168.1.11 lookup 200
ip rule add from 192.168.1.13 lookup 200
VPN_GW=`ifconfig tun11 | awk '/inet addr/ {split ($2,A,":"); print A[2]}'`
ip route add table 200 default via $VPN_GW dev tun11

这可能不是“最佳”或“正确”的方法，但它确实有效。现在只有192.168.1.11和192.168.2.13将通过 OpenVPN 隧道。所有其他设备及其流量都将本地传输。

这对我来说非常重要，因为我不想让我的 Transmission torrent 流量通过 VPN。像 SgtPepperKSU 这样的人看到这个可能就会笑了... 无论如何，从一个路由菜鸟到另一个...

Question 3

我做了一些不同的事情，但仍然取得了大致相同的成果。我想在这里分享一下。

我将 Tomato 路由器设置为 OpenVPN 客户端，以便它通过 VPN 路由所有互联网流量。为此，我使用了 StrongVPN.com 的服务，他们提供了分步说明，因此这部分操作相当容易。谷歌搜索“Tomato OpenVPN 设置教程 StrongVPN”，你就会找到它

但是“选择性路由某些主机”的事情非常棘手。

我最终将其实现为“WAN UP”脚本（在 Tomato GUI 中：管理->脚本->WAN UP）。下面的代码是我放入该框中的。它有很多注释来解释发生了什么。它主要基于我在这里找到的代码：

http://linksysinfo.org/index.php?threads/route-only-specific-ports-through-vpn-openvpn.37240/

阅读这篇文章非常有帮助：

http://linux-ip.net/html/adv-multi-internet.html

代码如下：

# This code goes in the WAN UP section of the Tomato GUI.
#
# This script configures "selective" VPN routing. Normally Tomato will route ALL traffic out
# the OpenVPN tunnel. These changes to iptables allow some outbound traffic to use the VPN, and some
# traffic to bypass the VPN and use the regular Internet instead.
#
#  To list the current rules on the router, issue the command:
#      iptables -t mangle -L PREROUTING
#
#  Flush/reset all the rules to default by issuing the command:
#      iptables -t mangle -F PREROUTING
#

#
# First it is necessary to disable Reverse Path Filtering on all
# current and future network interfaces:
#
for i in /proc/sys/net/ipv4/conf/*/rp_filter ; do
      echo 0 > $i
done

#
# Delete and table 100 and flush any existing rules if they exist.
#
ip route flush table 100
ip route del default table 100
ip rule del fwmark 1 table 100
ip route flush cache
iptables -t mangle -F PREROUTING

#
# Copy all non-default and non-VPN related routes from the main table into table 100.
# Then configure table 100 to route all traffic out the WAN gateway and assign it mark "1"
#
# NOTE: Here I assume the OpenVPN tunnel is named "tun11".
#
#
ip route show table main | grep -Ev ^default | grep -Ev tun11 \
  | while read ROUTE ; do
      ip route add table 100 $ROUTE
done
ip route add default table 100 via $(nvram get wan_gateway)
ip rule add fwmark 1 table 100
ip route flush cache

#
# Define the routing policies for the traffic. The rules will be applied in the order that they
# are listed. In the end, packets with MARK set to "0" will pass through the VPN. If MARK is set
# to "1" it will bypass the VPN.
#
# EXAMPLES:
#
#  All LAN traffic will bypass the VPN (Useful to put this rule first, so all traffic bypasses the VPN and you can configure exceptions afterwards)
#    iptables -t mangle -A PREROUTING -i br0 -j MARK --set-mark 1
#  Ports 80 and 443 will bypass the VPN
#    iptables -t mangle -A PREROUTING -i br0 -p tcp -m multiport --dport 80,443 -j MARK --set-mark 1
#  All traffic from a particular computer on the LAN will use the VPN
#    iptables -t mangle -A PREROUTING -i br0 -m iprange --src-range 192.168.1.2 -j MARK --set-mark 0
#  All traffic to a specific Internet IP address will use the VPN
#    iptables -t mangle -A PREROUTING -i br0 -m iprange --dst-range 216.146.38.70 -j MARK --set-mark 0
#  All UDP and ICMP traffic will bypass the VPN
#    iptables -t mangle -A PREROUTING -i br0 -p udp -j MARK --set-mark 1
#    iptables -t mangle -A PREROUTING -i br0 -p icmp -j MARK --set-mark 1

# By default all traffic bypasses the VPN
iptables -t mangle -A PREROUTING -i br0 -j MARK --set-mark 1

# Spotify explicitly uses the VPN
iptables -t mangle -A PREROUTING -i br0 -m iprange --dst-range 78.31.8.1-78.31.15.254 -j MARK --set-mark 0
iptables -t mangle -A PREROUTING -i br0 -m iprange --dst-range 193.182.8.1-193.182.15.254 -j MARK --set-mark 0

Answer