Azure 站点到站点 VPN 带有基于 Linux 的路由器，用于将 VPN 端口桥接到 RRAS 服务器，同时保持其他流量的 NAT

Question

因此，经过大量的研究之后，我终于弄清楚了这一点，我能够将本机 Azure 站点到站点 VPN 功能与 OpenSwan 一起使用，该 OpenSwan 在我的家庭网络的 NAT 路由器后面的 Linux 机器（Raspberry Pi/Arch Linux）上运行。

网络拓扑结构：

192.168.0.0/24 - 家庭网络
192.168.1.0/24 - Azure 网络
192.168.0.1-家庭路由器的私有IP
192.168.0.2-Linux 机箱充当家庭网络的 VPN 服务器和网关

首先，我使用以下方式设置 Azure：

这是正常的远程网络
我的本地网络，以 VPN 地址作为我的公共 IP
在 Azure 网络上启用“站点到站点”复选框，将其链接到我的本地网络
创建了一个静止的因此使用 IKEv1

在我的家庭网络路由器上，我将以下内容转发到运行 Openswan（192.168.0.2）的 Linux 网关：

UDP500
UDP4500
协议 50 (GRE)

我的 ipsec.conf 如下所示：

version 2.0

config setup
    nat_traversal=yes
    virtual_private=%4:192.168.0.0/24
    protostack=auto
    interfaces="ipsec0=eth0"

conn azure
    authby=secret
    auto=start
    type=tunnel
    left=192.168.0.2
    leftsubnet=192.168.0.0/24
    leftnexthop=192.168.0.1
    right=<azure's VPN gateway IP>
    rightsubnet=192.168.1.0/24
    ike=3des-sha1-modp1024,aes128-sha1-modp1024
    esp=3des-sha1,aes128-sha1
    pfs=no

ipsec.秘密：

192.168.0.2 <azure vpn gateway> : PSK "Azure's PSK"

这样就可以建立并运行链接，以允许站点之间的路由（经过很多挫折之后，双向都可以）：

/etc/sysctl.conf：

net.ipv4.ip_forward = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.icmp_ignore_bogus_error_responses = 1

在启动时运行的 bash 脚本，用于确保“ipsec verify”正常运行：

#!/bin/bash

for vpn in /proc/sys/net/ipv4/conf/*; do
    echo 0 > $vpn/accept_redirects;
    echo 0 > $vpn/send_redirects;
done

sysctl -p

最后，我的 iptables 规则花费了最多时间修改：

过滤表，这允许家庭网络连接到 Azure 并允许建立连接，但 Azure VM 仍然无法连接到家庭网络服务器：

-A FORWARD -s 192.168.1.0/24 -m policy --dir in --pol ipsec -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -m policy --dir out --pol ipsec -j ACCEPT
-A INPUT -p udp -m udp --dport 500 -j ACCEPT
-A INPUT -p udp -m udp --dport 4500 -j ACCEPT
-A INPUT -m policy --dir in --pol ipsec -j ACCEPT
-A INPUT -p esp -j ACCEPT

nat 表，这允许 Azure VM 连接到我家庭网络上的任何机器：

-A PREROUTING -i eth0 -p udp -m udp --dport 4500 -j DNAT --to-destination <azure public vpn ip>:4500
-A PREROUTING -i eth0 -p udp -m udp --dport 500 -j DNAT --to-destination <azure public vpn ip>:500
-A POSTROUTING -o eth0 -j MASQUERADE

有了这些，我可以双向 ping 和通信，所有 Azure VM 都可以看到我的家庭网络，所有家庭网络机器都可以看到我的 Azure VM。

Azure 端可以自行正确路由，对于我的家庭网络，我在路由器中设置了一条静态路由，将 192.168.1.0/24 发送到 192.168.0.2，但为了在我的计算机上进行测试，我只创建了一条静态路由：

route -p ADD 192.168.1.0 MASK 255.255.255.0 192.168.0.2 METRIC 100

我希望至少有人会觉得这很有用，这个设置花了很长时间，并且没有一个好的完整指南，只有部分有效的解决方案的混合。

Answer 1