Openvpn：不同组的子网-目标主机不可达

Question 1

我设法通过将服务器设置为 /16 而不是 /24 并将客户端到客户端设置为 false 来实现这一点，因为流量在到达 OpenVPN 服务器的 IP 层之前将被转发，iptables 将无法限制流量（参见此帖）

server.conf

...
server 10.9.0.0 255.255.0.0 # Subnet mask /16 instead of /24
;route 10.9.1.0 255.255.255.0 # These were not needed when the subnet mask is /16
;route 10.9.2.0 255.255.255.0 # These were not needed when the subnet mask is /16
;client-to-client
...

对于 ccd 目录中的客户端配置，我们还需要更新子网掩码。从 255.255.255.0 到 255.255.0.0

ifconfig-push 10.9.2.2 255.255.0.0

现在你只需要添加适当的 iptable 规则。根据你的设置，可能需要更多配置。我遵循这因为我对 iptables 还不太熟悉，所以先看一个示例。下面是一些可能有用的示例。

# Make sure established packets are allowed
iptables -A FORWARD -i tun0 -o tun0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# Allow traffic from one subnet to the other
iptables -A FORWARD -i tun0 -s 10.9.0.0/24 -d 10.9.2.0/24 -j ACCEPT
# Drop all traffic
iptables -A FORWARD -i tun0 -s 10.8.0.0/16 -d 10.8.0.0/16 -j DROP

Answer

我设法通过将服务器设置为 /16 而不是 /24 并将客户端到客户端设置为 false 来实现这一点，因为流量在到达 OpenVPN 服务器的 IP 层之前将被转发，iptables 将无法限制流量（参见此帖）

server.conf

...
server 10.9.0.0 255.255.0.0 # Subnet mask /16 instead of /24
;route 10.9.1.0 255.255.255.0 # These were not needed when the subnet mask is /16
;route 10.9.2.0 255.255.255.0 # These were not needed when the subnet mask is /16
;client-to-client
...

对于 ccd 目录中的客户端配置，我们还需要更新子网掩码。从 255.255.255.0 到 255.255.0.0

ifconfig-push 10.9.2.2 255.255.0.0

现在你只需要添加适当的 iptable 规则。根据你的设置，可能需要更多配置。我遵循这因为我对 iptables 还不太熟悉，所以先看一个示例。下面是一些可能有用的示例。

# Make sure established packets are allowed
iptables -A FORWARD -i tun0 -o tun0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# Allow traffic from one subnet to the other
iptables -A FORWARD -i tun0 -s 10.9.0.0/24 -d 10.9.2.0/24 -j ACCEPT
# Drop all traffic
iptables -A FORWARD -i tun0 -s 10.8.0.0/16 -d 10.8.0.0/16 -j DROP

Question 2

我注意到您的server.conf文件中有dev tun，但您的 iptables 规则中却是tun0。请将其更改tun0为server.conf。

使用最低限度的 itpables 规则可能是一个好主意。您可以备份它们，重置它们，然后逐一添加它们。

您需要备份当前规则，以便以后重新应用它们

iptables-save > /path/to/backup.txt

您可以稍后使用以下方法恢复

iptables-restore < /path/to/backup.txt

我运行以下命令来刷新所有 iptables 规则：

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

注意：我在另一篇文章中找到了刷新命令[https://superuser.com/questions/634469/need-iptables-rule-to-accept-all-incoming-traffic]

现在逐一添加规则。

Answer

我注意到您的server.conf文件中有dev tun，但您的 iptables 规则中却是tun0。请将其更改tun0为server.conf。

使用最低限度的 itpables 规则可能是一个好主意。您可以备份它们，重置它们，然后逐一添加它们。

您需要备份当前规则，以便以后重新应用它们

iptables-save > /path/to/backup.txt

您可以稍后使用以下方法恢复

iptables-restore < /path/to/backup.txt

我运行以下命令来刷新所有 iptables 规则：

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

注意：我在另一篇文章中找到了刷新命令[https://superuser.com/questions/634469/need-iptables-rule-to-accept-all-incoming-traffic]

现在逐一添加规则。

Question 3

使用iptables ... -i tun+这样的规则对 tun0、tun1 等都有效。

net.ipv4.ip_forward = 1应该设置sysctl 。

这对我有用：

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -d 1.2.3.4/32 -i tun+ -o eth0 -p tcp -m tcp --dport 22 -j ACCEPT

# also allow output
iptables -A OUTPUT -p tcp -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p udp -m state --state NEW -j ACCEPT

随后添加日志目标：

iptables -A FORWARD -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[IPTABLES] Block forward: "
iptables -A FORWARD -j DROP

dmesg这样您就可以看到和journalctl -f或中的错误tail -f /var/log/...

Answer