问题：

Question 1

确保您的路由是对称的，或者禁用反向路径过滤（仅当您知道自己在做什么时，因为修复您的路由始终是更好的选择）。

我们来做个测试，流量来自192.168.0.33：

192.168.0.33 -> 192.178.100.10 如果 eth0

反向路径过滤在 ubuntu 中默认启用。它会反转源地址和目标地址，并尝试选择一条路由，就好像它有一个带有这些源地址和目标地址的数据包一样。如果接口与接收数据包的接口不匹配，则认为该数据包是伪造的。

因此内核尝试将 192.178.100.10 路由到 192.168.0.33 ...它查找主表...通过 eth0 找到条目 192.168.0.0/24，这也是接收数据包的接口，因此不会丢弃数据包。

因此，您对其进行 NAT 并在 VPN 接口上发送 10.200.2.235 -> 192.178.100.10。VPN 程序会将其封装并将其作为 192.168.0.5 -> remotevpn 发送。现在，您会从同一接口收到来自 VPN 的答复。反向路径过滤显然会在这里通过。VPN 解封装结果（192.178.100.10 -> 10.200.2.235），然后 NAT 将发生，破坏数据包以恢复原始目标地址。然后，您将对生成的数据包进行反向路径过滤：

192.178.100.10 -> 192.168.0.33 当且仅当 VPN

让我们尝试将 192.168.0.33 路由到 192.178.100.10 ...查找表 VPN ...默认通过 dev vpn 上的 10.200.0.1：PASS。

现在您想从主机执行操作，作为 192.168.0.5 或 10.200.2.235（带标记 3）。您将其发送到您的 VPN，VPN 将其从 192.168.0.5 发送到 VPN 远程。您以相同的方式获得答案，然后 VPN 将解封装（192.178.100.10 -> 192.168.0.5（或 10.200.2.235）），然后进行反向路径过滤。

192.168.0.5 或 10.200.2.235 -> 192.178.100.10 ... 不查找 VPN 表（它没有标记，也不来自 192.168.0.32/27），因此它最终进入主表，该表告诉它使用接口 eth0。反向路径过滤失败，因此该数据包被丢弃，作为 IP 源欺骗尝试。因此您看不到结果。

至于为什么 tcpdump 没有显示这些数据包...也许 VPN 端点上也存在路由问题。

至于解决方案，在您的情况下，我将使用 conntrack 的连接标记，并将传入数据包的标记设置为 conntrack 连接的标记：

# keep that rule
OUTPUT -m owner .... -j MARK 0x3
# add this one after the previous one: it saves the current mark into connmark
OUTPUT -j CONNMARK --save-mark

# and add this one (in mangle), which sets the mark to the connmark
# if conntrack determines that it is from the same connection.
PREROUTING -j CONNMARK --restore-mark

编辑：

您不必禁用反向路径过滤即可使此 iptables 解决方案发挥作用。不必要地禁用 rp_filter 并不是解决问题的好方法，它只会隐藏问题。

现在来谈谈随机想法：

我一直在猜测你的程序使用了哪个 IP 地址。找到一个可以打印出它正在使用的源 IP 地址的程序。或者告诉 telnet 绑定到 192.168.0.35 或 10.200.2.235。tcpdump 只会在传出数据包被 NAT 后显示它，并且只会在传入数据包被取消 NAT 之前显示它，所以它不会告诉你实际使用了哪一个。作为专家解决方案，你也可以尝试将 nflog 放入链中，并使用 tcpdump 检查链中的内容。
不要伪装所有发往 vpn 的信息，只伪装那些不是来自的vpnIP 或子网的信息。将您自己的流量伪装成您自己的流量似乎毫无意义。也许 conntrack 对此感到困惑。

Answer

确保您的路由是对称的，或者禁用反向路径过滤（仅当您知道自己在做什么时，因为修复您的路由始终是更好的选择）。

我们来做个测试，流量来自192.168.0.33：

192.168.0.33 -> 192.178.100.10 如果 eth0

反向路径过滤在 ubuntu 中默认启用。它会反转源地址和目标地址，并尝试选择一条路由，就好像它有一个带有这些源地址和目标地址的数据包一样。如果接口与接收数据包的接口不匹配，则认为该数据包是伪造的。

因此内核尝试将 192.178.100.10 路由到 192.168.0.33 ...它查找主表...通过 eth0 找到条目 192.168.0.0/24，这也是接收数据包的接口，因此不会丢弃数据包。

因此，您对其进行 NAT 并在 VPN 接口上发送 10.200.2.235 -> 192.178.100.10。VPN 程序会将其封装并将其作为 192.168.0.5 -> remotevpn 发送。现在，您会从同一接口收到来自 VPN 的答复。反向路径过滤显然会在这里通过。VPN 解封装结果（192.178.100.10 -> 10.200.2.235），然后 NAT 将发生，破坏数据包以恢复原始目标地址。然后，您将对生成的数据包进行反向路径过滤：

192.178.100.10 -> 192.168.0.33 当且仅当 VPN

让我们尝试将 192.168.0.33 路由到 192.178.100.10 ...查找表 VPN ...默认通过 dev vpn 上的 10.200.0.1：PASS。

现在您想从主机执行操作，作为 192.168.0.5 或 10.200.2.235（带标记 3）。您将其发送到您的 VPN，VPN 将其从 192.168.0.5 发送到 VPN 远程。您以相同的方式获得答案，然后 VPN 将解封装（192.178.100.10 -> 192.168.0.5（或 10.200.2.235）），然后进行反向路径过滤。

192.168.0.5 或 10.200.2.235 -> 192.178.100.10 ... 不查找 VPN 表（它没有标记，也不来自 192.168.0.32/27），因此它最终进入主表，该表告诉它使用接口 eth0。反向路径过滤失败，因此该数据包被丢弃，作为 IP 源欺骗尝试。因此您看不到结果。

至于为什么 tcpdump 没有显示这些数据包...也许 VPN 端点上也存在路由问题。

至于解决方案，在您的情况下，我将使用 conntrack 的连接标记，并将传入数据包的标记设置为 conntrack 连接的标记：

# keep that rule
OUTPUT -m owner .... -j MARK 0x3
# add this one after the previous one: it saves the current mark into connmark
OUTPUT -j CONNMARK --save-mark

# and add this one (in mangle), which sets the mark to the connmark
# if conntrack determines that it is from the same connection.
PREROUTING -j CONNMARK --restore-mark

编辑：

您不必禁用反向路径过滤即可使此 iptables 解决方案发挥作用。不必要地禁用 rp_filter 并不是解决问题的好方法，它只会隐藏问题。

现在来谈谈随机想法：

我一直在猜测你的程序使用了哪个 IP 地址。找到一个可以打印出它正在使用的源 IP 地址的程序。或者告诉 telnet 绑定到 192.168.0.35 或 10.200.2.235。tcpdump 只会在传出数据包被 NAT 后显示它，并且只会在传入数据包被取消 NAT 之前显示它，所以它不会告诉你实际使用了哪一个。作为专家解决方案，你也可以尝试将 nflog 放入链中，并使用 tcpdump 检查链中的内容。
不要伪装所有发往 vpn 的信息，只伪装那些不是来自的vpnIP 或子网的信息。将您自己的流量伪装成您自己的流量似乎毫无意义。也许 conntrack 对此感到困惑。

Question 2

好的，它开始工作了...我仍然不知道我之前做错了什么。无论如何，为了让它工作，我使用了：

iptables -t mangle -A OUTPUT -m owner --uid-owner 2000 -j MARK --set-mark 3
iptables -t nat -A POSTROUTING -o vpn -j MASQUERADE

ip rule add fwmark 3 lookup VPN
ip route add default via x.x.x.x table VPN

sysctl -w net.ipv4.conf.vpn.rp_filter=2

希望它也能帮助其他人。

Answer

好的，它开始工作了...我仍然不知道我之前做错了什么。无论如何，为了让它工作，我使用了：

iptables -t mangle -A OUTPUT -m owner --uid-owner 2000 -j MARK --set-mark 3
iptables -t nat -A POSTROUTING -o vpn -j MASQUERADE

ip rule add fwmark 3 lookup VPN
ip route add default via x.x.x.x table VPN

sysctl -w net.ipv4.conf.vpn.rp_filter=2

希望它也能帮助其他人。

Question 3

我认为需要明确的是：
参见 Gheorghe 的“设计和实施 Linux 防火墙和 QoS……”第 116 页）

nat 的 INPUT 链：（Fedora 18 的手册页中从未提及）
和
mangle 的 INPUT 链：（根据 iptables 手册页，用于进入盒子本身的数据包）

他们和过滤表输入链？

以及
mangle 的 FORWARD 链和 filter 的 FORWARD 链。
这两个 FORWARD 链之间有什么区别？
（好的，我找到了答案，但其他人可以审查一下吗： http://www.linuxhomenetworking.com/wiki/index.php/Quick_HOWTO_：第 14 章:_Linux_防火墙_使用_iptables#.UMUF0HTqOIU）

Answer

我认为需要明确的是：
参见 Gheorghe 的“设计和实施 Linux 防火墙和 QoS……”第 116 页）

nat 的 INPUT 链：（Fedora 18 的手册页中从未提及）
和
mangle 的 INPUT 链：（根据 iptables 手册页，用于进入盒子本身的数据包）

他们和过滤表输入链？

以及
mangle 的 FORWARD 链和 filter 的 FORWARD 链。
这两个 FORWARD 链之间有什么区别？
（好的，我找到了答案，但其他人可以审查一下吗： http://www.linuxhomenetworking.com/wiki/index.php/Quick_HOWTO_：第 14 章:_Linux_防火墙_使用_iptables#.UMUF0HTqOIU）

问题：

问题：

这是我的 VPN 网关设置：

更新：

更新 2：

更新 3

答案1

编辑：

答案2

答案3

相关内容