如何通过 ipsec / xl2ptd vpn 访问远程局域网机器（可能与 iptables 相关）

Question 1

你很可能遇到了同样的问题邮政

您的情况如下：

VPN 客户端可以访问 VPN 服务器并通过 VPN 隧道连接到互联网，但无法访问服务器 LAN 或任何其他 VPN 客户端 IP。

由于您有 iptables NAT 规则，因此隧道连接到互联网是可行的。其余您需要应用以下内容在 VPN 服务器上：

启用 tcp/ip 转发

Linux TCP/IP 堆栈默认不转发数据包（无论是在接口之间还是在 IP 网络之间重新路由）。必须启用它

echo 1 > /proc/sys/net/ipv4/ip_forward

如果没有该规则，VPN 服务器将在本地接受 VPN 客户端数据包，并根据 NAT 规则路由客户端数据包，但不会将流量路由到本地网络。

iptables 目录

Iptables 默认阻止所有流量。您需要制定规则来允许流量通过（转发）。

$IPTABLES -A FORWARD -s 192.168.1.0/24 -d 192.168.1.0/24 -j ACCEPT

PS：每个 vpn 连接都是一个单独的（虚拟）接口（nic），为了允许数据包在它们之间流动/路由，您需要向前在 iptables 中。

/etc/l2tpd.conf

当 vpn 客户端需要互相通信时，vpn 服务器充当路由点，并且需要在同一个网络上。

local ip 192.168.1.1
ip range 192.168.1.2 - 192.168.1.254

根据您的网络设置修改上述内容。如果您的 vpn 服务器有 192.168.1.x ip，请将其用作“本地 ip”。

修改 Iptables 脚本

如果您无法物理访问 vpn 服务器，请务必小心。

（此脚本需要在 WAN 接口上进行反欺骗，但让我们首先关注从 VPN 到 LAN 的流量。）

# Reset/Flush iptables
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

# Enable IP forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward

# NAT
# -- iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
#
# Updated NAT rule
#   External interface  = eth0
#   External IP     = 123.123.123.123
#   Internal LAN        = 192.168.1.0/24
#   To support dynamic interface : "-j SNAT" replace "-j MASQUERADE" 
#   NO NAT if destination is LAN 
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 ! -d 192.168.1.0/24 -j SNAT --to-source 123.123.123.123

# New(1) - lo
# -- iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i lo   -m state --state NEW  -j ACCEPT
iptables -A OUTPUT -o lo   -m state --state NEW  -j ACCEPT

# -- iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# New(2) Allow inter-192.168.1.x routing
iptables -A INPUT  -s 192.168.1.0/24   -m state --state NEW  -j ACCEPT
iptables -A OUTPUT  -s 192.168.1.0/24   -m state --state NEW  -j ACCEPT
iptables -A FORWARD  -s 192.168.1.0/24   -m state --state NEW  -j ACCEPT

# -- allow lan to router traffic - Shadowed by New(2)
# -- This rule maybe your source of trouble too, it only accept 192.168.1.x from eth2
# -- iptables -A INPUT -s 192.168.1.0/24 -i eth2 -j ACCEPT

# ssh
iptables -A INPUT -p tcp --dport ssh -j ACCEPT

# vpn
iptables -A INPUT -p 50 -j ACCEPT
iptables -A INPUT -p ah -j ACCEPT
iptables -A INPUT -p udp --dport 500 -j ACCEPT
iptables -A INPUT -p udp --dport 4500 -j ACCEPT
iptables -A INPUT -p udp --dport 1701 -j ACCEPT

# dns - Shadowed by New(2)
# -- iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 53 -j ACCEPT
# -- iptables -A INPUT -s 192.168.1.0/24 -p udp --dport 53 -j ACCEPT

# logging
iptables -I INPUT 5 -m limit --limit 1/min -j LOG --log-prefix "iptables denied: " --log-level 7

# block all other traffic
iptables -A INPUT -j DROP

Answer