☰

OpenVPN：流量重定向不起作用

tag-icon • tag-icon openvpn route tunneling traffic
OpenVPN：流量重定向不起作用

总结（经过与@krisFR 数小时的调试）：至少在 Debian 8 下，切勿对 OpenVPN 使用虚拟接口（eth0：1），而是应用iproute2此处描述的新 Debian 方法（手动方法）：https://wiki.debian.org/NetworkConfiguration#iproute2_method.它将很好地引导交通。

我试图在一台机器上设置 OpenVPN，所有客户端流量都应通过隧道发送，因此这是我的服务器配置的一部分：

local x.x.x.243
port 443
proto udp
dev tun
server 172.31.1.0 255.255.255.0 
push "redirect-gateway def1 bypass-dhcp"

我的客户端配置：

pull
resolv-retry infinite
mute-replay-warnings 
redirect-gateway def1
script-security 1

客户端能够连接到 VPN，并且可以 ping 通 VPN 主机172.31.1.1，但是如果我尝试通过域或 IP ping google.com，我会收到一条Request timeout for icmp_seq 0消息...

是什么原因造成的？附注：我已卸载所有防火墙，目前正在将 IPTables 设置为：

iptables -A INPUT -i eth0:1 -m state --state NEW -p udp --dport 443 -j ACCEPT
iptables -A INPUT -i tun+ -j ACCEPT
iptables -A FORWARD -i tun+ -j ACCEPT
iptables -A FORWARD -i tun+ -o eth0:1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth0:1 -o tun+ -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -s 172.31.1.0/24 -o eth0:1 -j MASQUERADE
iptables -A OUTPUT -o tun+ -j ACCEPT

谢谢。

因此我尝试在客户端213.30.5.46（Google 的一个 IP）上 ping 通，但没有成功，不过我得到了以下结果：

监听传出的 VPN IP (eth0:1)：tcpdump -i eth0 -t host x.x.x.243

IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 113
IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 145
IP vpn.exampledomain.com.https > [CLIENT_IP x..].51060: UDP, length 81
IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 145
IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 145
IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 145

同时，在 tun0 上监听时，我得到了以下信息：tcpdump -i tun0

23:40:39.864798 IP 172.31.1.10 > cache.google.com: ICMP echo request, id 17942, seq 0, length 64
23:40:40.925951 IP 172.31.1.10 > cache.google.com: ICMP echo request, id 17942, seq 256, length 64
23:40:41.886679 IP 172.31.1.10 > cache.google.com: ICMP echo request, id 17942, seq 512, length 64
23:40:42.906125 IP 172.31.1.10 > cache.google.com: ICMP echo request, id 17942, seq 768, length 64

以下是输出iptables -L -n -v：

Chain INPUT (policy ACCEPT 34772 packets, 2265K bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     udp  --  eth0:1 *       0.0.0.0/0            0.0.0.0/0            state NEW udp dpt:443
   13  1092 ACCEPT     all  --  tun+   *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 1437 96985 ACCEPT     all  --  tun+   *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  tun+   eth0:1  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     all  --  eth0:1 tun+    0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED

Chain OUTPUT (policy ACCEPT 32574 packets, 7919K bytes)
 pkts bytes target     prot opt in     out     source               destination         
   13  1092 ACCEPT     all  --  *      tun+    0.0.0.0/0            0.0.0.0/0

笔记： /proc/sys/net/ipv4/ip_forward被设定为1。

在 ping目标tcpdump -i eth0:1 -t host 213.30.5.46时发现目标：

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0:1, link-type EN10MB (Ethernet), capture size 262144 bytes
IP 172.31.1.10 > cache.google.com: ICMP echo request, id 16920, seq 0, length 64
IP 172.31.1.10 > cache.google.com: ICMP echo request, id 16920, seq 256, length 64
IP 172.31.1.10 > cache.google.com: ICMP echo request, id 16920, seq 512, length 64
IP 172.31.1.10 > cache.google.com: ICMP echo request, id 16920, seq 768, length 64

客户端上没有显示任何内容，ping 最终超时。

OpenVPN 使用的IP 地址local x.x.x.243设置\etc\network\interfaces如下eth0:1：eth0

 auto eth0:1
  iface eth0:1 inet static
   address x.x.x.243
   gateway x.x.x.129
   netmask 255.255.255.128
   dns-nameservers x.x.x.4 x.x.x.104

答案1

正如您所说，我们一起花了几个小时来调试这个问题……

鉴于我们所做的所有测试和检索到的所有跟踪，最终发现我们遇到了与虚拟接口有关的一些奇怪的行为eth0:1。

例如：http://lartc.org/howto/lartc.iproute2.html

目前，大多数 Linux 发行版和大多数 UNIX 都使用古老的 arp、ifconfig 和 route 命令。虽然这些工具可以工作，但它们在 Linux 2.2 及更高版本下会出现一些意外行为。例如，GRE 隧道如今已成为路由不可或缺的一部分，但需要完全不同的工具。

对于 iproute2 来说，隧道是工具集的一个组成部分。

我们决定改用iproute2（至少尝试一下）修改/etc/network/interfaces文件来改变为接口分配多个 IP 的方式eth0。

之后一切都顺利进行！

iproute2例子 ：

auto eth0
allow-hotplug eth0
iface eth0 inet static
    address 192.168.1.42
    netmask 255.255.255.0
    gateway 192.168.1.1

iface eth0 inet static
    address 192.168.1.43
    netmask 255.255.255.0

有关此处的更多信息iproute2：

相关内容