![OpenVPN 站点到站点路由问题](https://linux22.com/image/637869/OpenVPN%20%E7%AB%99%E7%82%B9%E5%88%B0%E7%AB%99%E7%82%B9%E8%B7%AF%E7%94%B1%E9%97%AE%E9%A2%98.png)
我正在努力使用 openVPN 设置连接两个站点。以下是场景
办公室 1(服务器):
- 本地网络:192.168.178.0/24
- openvpn 服务器公网 IP:192.168.178.2 位于 br0
- openvpn 服务器内部 ip:tun0 上的 192.168.0.1
办公室 2(客户):
- 本地网络:192.168.177.0/24
- openvpn 客户端公网 IP:192.168.177.2 在 p2p1 上
openvpn 客户端内部 ip:tun0 上的 192.168.0.6
openvpn内部网络:192.168.0.0/24
客户端和服务器均位于具有动态分配的 IP 地址的 NAT 路由器之后。
基本上,两个办公室中的相关机器应该可以“看到”对方。在设置隧道并正确配置两个站点的路由表后,两个网络上的常规主机都可以 ping 通这两个网络上的所有内容。到目前为止一切正常。
但是,端点只能看到彼此,而看不到各自远端网络上的任何主机。例如,如果执行
ping 192.168.178.2
从 VPN 端点 192.168.177.2 开始,它就可以正常工作,任何其他地址都无法工作;主机不会回复。
现在,当我 ping 另一个地址(例如 192.168.178.3)时,看一下 tcpdump 的输出。
11:11:28.104640 IP 192.168.0.6 > 192.168.178.3:ICMP 回显请求,ID 2130,序列号 1,长度 64
源 IP 似乎不太正确。它属于 OpenVPN 的内部网络,我没有收到 ICMP 回复。
当我明确指示 ping 使用正确的源 IP 时,事情开始起作用:
ping 192.168.178.3 -I 192.168.177.2
现在,tcpdump 的输出也正常了:
11:20:08.266271 IP 192.168.177.2 > 192.168.178.3:ICMP 回显请求,ID 7883,序列号 17,长度 64 11:20:08.316037 IP 192.168.178.3 > 192.168.177.2:ICMP 回显答复,ID 7883,序列号 17,长度 64
查看客户端路由表中的关键条目,很明显源地址来自内部网络:
default via 192.168.177.1 dev p2p1 192.168.0.1 via 192.168.0.5 dev tun0 192.168.0.5 dev tun0 proto kernel scope link src 192.168.0.6 192.168.177.0/24 dev p2p1 proto kernel scope link src 192.168.177.2 192.168.178.0/24 via 192.168.0.5 dev tun0
是否有可能让 OpenVPN 使用适当的方式创建该条目源码??
这是我的 openVPN 配置文件。我将跳过 TLS 部分,因为隧道本身按预期工作。
办公室 1 的服务器:
local 192.168.178.2 server 192.168.0.0 255.255.255.0 proto tcp-server port 1194 dev tun mssfix user nobody group nogroup keepalive 20 120 ping-timer-rem persist-tun persist-key float comp-lzo push "comp-lzo" push "route 192.168.178.0 255.255.255.0" route 192.168.177.0 255.255.255.0 client-config-dir client-configs
有一个客户端配置,如下所示:
iroute 192.168.177.0 255.255.255.0 push "route 192.168.178.0 255.255.255.0 vpn_gateway"
办公室 2 的客户:
client dev tun0 remote <server address> proto tcp-client port 1194 connect-retry 15 comp-lzo user nobody group nogroup persist-tun persist-key
我真的很茫然......非常感谢您的帮助。
答案1
您看到的行为是设计使然。网络上的主机默认使用流量出口接口的 IP 地址作为源 IP。
其中一个 LAN 上的客户端计算机将使用例如 192.168.178.10 作为其源 IP,因为它不是多宿主的。然后网关将把数据包路由到您的 OpenVPN 盒,它将毫无问题地通过隧道。
但是,如果您从 OpenVPN 框本身开始,它将使用 OpenVPN 接口的 IP 地址,因为这是数据包的出口。
这很好。它到达了远程站点。但随后远程站点想要将数据包发送到 192.168.0.6 以进行 ping 响应。响应发送到网关,但由于网关(我假设,因为您没有在网络上发布网关的路由表)没有该网络的路由,因此它不知道如何继续。
解决这个问题最简单的方法就是在两个网络的网关上添加一条 192.168.0.0/24(您的 OpenVPN 网络)的路由。
另一种选择是,如果您的操作系统支持它(您没有指定在哪个操作系统上运行 OpenVPN),则查看是否可以使用路由的“src”参数来覆盖选择出口接口 IP 地址的默认行为。请参阅标题为如何在 openvpn 中设置自定义路由源了解更多信息。