如何转发流量到 VPN 设备

Question

OpenWRT 具有所需的所有接口（因此也具有路由），能够 ping 远程网关 (10.128.0.1)。而且看起来 VPN 已经回复了。很好。

现在，在 DSL 上，您需要添加一条路由：10.128.0.X/24（或 10.X/8？取决于您在远程设置的内容...根据需要进行调整），带网关10.130.3.45（即 OpenWRT，这是您需要通过的“网关”才能到达 10.128.x 网络）。局域网只能通过网关访问另一个局域网，使用该网关的局域网 IP，因为它是本地机器唯一可以访问的东西：其（一个或多个）局域网上的任何 IP。似乎您直接将远程 IP 放在 DSL 上，但 DSL 不知道如何到达它。它可能默认将其发送到其“默认网关”，该网关可能是互联网路由器或任何东西，但显然不是 OpenWRT（或至少不是 OpenWRT 10.130.3.45 接口，即通往 10.X 网络的网关）

我可能读得有点斜着了。

简而言之：

将自己置于数据包中，并表现得像想要一跳一跳地到达目的地：
您需要找到“最近”的路线（如果没有，则采用默认路线）到达下一跳。
如此一跳一跳地进行（向前，也向后），你很快就会发现哪一跳没有到达下一跳的必要步骤（或者可能跳到了错误的一跳）

IE：

我是从 DSL 发送的 ping 数据包。我的源是 DSL-ip。我的目的地是 abcd（我猜是 10.128.0.1）。
我查看了 ROUTE 表，并选择了最精确适合 abcd 的目的地（即，在 0.0.0.0/0（默认网关）、10.0.0.0/8（网关为 10.130.3.45）和特殊的 10.128.0.x（网关为 10.120.3.45）之间，我选择了最新的，因为它更精确地适合，即更多的“位”与我的目的地匹配）。
所以我选择那条路线，然后转到 10.130.3.45。（如果我的本地防火墙允许的话）
现在我有一个 ping 数据包，其源为“...”（可能因 SNAT 而改变），目标为“.....”（可能因 DNAT 而改变）。然后我查看路由表...

当然，您还需要转发 iptables 以允许您继续进行到下一跳（并使用建立连接的规则，从而允许回复数据包也返回。

不要允许两个方向，否则你的 LAN 将向来自 VPN 的任何传入内容开放，而不仅仅是已建立的连接！) – Olivier Dulac 刚刚编辑

Answer 1