除了一些 IP 的规则，当 vpn 断开连接时，不允许通过 openwrt + openvpn 上网

Question

/编辑：好的，我找到了一个非常适合我需要的解决方案。

我已设法改进下面的第一个工作思路。特别是，现在我可以在外部列表中管理要直接路由/转发到 A 的 IP 列表。我已将以下内容添加到 /etc/firewall.user

# If connection was established before, accept it (so we dont have to deal with inbound connections)
iptables -A forwarding_rule -m state --state ESTABLISHED,RELATED -j ACCEPT
# Read ips from file
FORWARDIPS=$(egrep -v -E "^#|^$" /etc/forward_ip)

# create new iptables and route table entries for each ip in the file
# allow forward if packet matches destination and route it through "table admin", for which we set a default gateway below 
for ipblock in $FORWARDIPS
do
   iptables -A forwarding_rule -d $ipblock -j ACCEPT -p all
   ip rule add to $ipblock table admin
done
~

root@OpenWrt:~# cat /etc/forward_ip 
54.164.36.0/24
8.31.8.0/22

我需要在启动时从另一个文件调用以下命令（我将其放入/etc/rc.local）：

# Route everything in table admin by default through ISP-Router
ip route add default via 192.168.0.1 dev eth0 table admin

还要编辑 /etc/iproute2/rt_tables 并添加以下行：

10     admin

/编辑，这是我的第一个解决方案：

我找到了一个解决方案。但是，它还可以大大改进。这个想法遵循我在 /edit 1 中的直觉。我为我的 wan 区域启用伪装，并为特定目标 ip 启用我的 lan 和 wan 区域之间的条件转发。但是，我无法为配置规则添加多个“option dest_ip”。因此，最好将我在 uci 防火墙配置中所做的操作作为 iptables 规则，然后将其添加到 /etc/firewall.user

我编辑了 /etc/config/firewall 并更改了配置区域并添加了配置规则

config zone
        option input 'ACCEPT'
        option output 'ACCEPT'
        option name 'wan'
        option network 'wan'
        option forward 'REJECT'
        option masq '1'
        option mtu_fix '1'

config rule
        option target 'ACCEPT'
        option src 'lan'
        option dest 'wan'
        option name 'Lan to Wan'
        option proto 'all'
        option dest_ip '54.164.36.190'
        option enabled '0'

经过多次尝试后，我放弃了 /edit 2 中的想法，因为存在许多无法预见的障碍。例如，如果没有从 B 到 A 的默认网关，我根本无法建立 vpn 连接。尽管如此，我认为如果您比我更了解路由，就可以做到这一点。

Answer 1