为什么 ip_forwarding=1 VPN 失败？

Question 1

问题是什么

因此，您需要的是网络地址传输（NAT）发挥作用。我不假装是iptables专家，但我可以根据你的这一部分看到iptables-save：

*nat
:PREROUTING ACCEPT [1710:298954]
:INPUT ACCEPT [1480:280336]
:OUTPUT ACCEPT [28:4162]
:POSTROUTING ACCEPT [86:6162]
-A PREROUTING -i wlan0 -p tcp -m mark --mark 0x3e7 -m tcp --dport 80 -j DNAT --to-destination 13.37.42.1:80
-A PREROUTING -i wlan0 -p tcp -m mark --mark 0x3e7 -m tcp --dport 443 -m conntrack --ctstate NEW -j DNAT --to-destination 13.37.42.1:80
-A POSTROUTING -o eth0 -j MASQUERADE #####this line
-A POSTROUTING -o wlan0 -j MASQUERADE

...这部分：

*filter
:INPUT ACCEPT [6041:840617]
:FORWARD ACCEPT [380:110945]
:OUTPUT ACCEPT [753:102159]
-A FORWARD -i wlan0 -j ACCEPT  #####this line
COMMIT

...你似乎正在转发进来的东西wlan0，这是允许MASQUERADE的eth0。但是，您的路由表将引导所有常规流量通过您的tun0接口，因为的两行之一GENMASK 128.0.0.0将始终在的default目的地之前匹配。这意味着您将传入数据包转发至，但一般流量通过该接口。您想要将数据包转发到.eth0GENMASK 0.0.0.0wlan0eth0tun0wlan0tun0

可能的解决方案

您也许可以通过运行以下命令来解决此问题，而无需更改任何现有的iptables （同样，我不是iptables专家，您的iptables比我的复杂得多）：

sudo iptables --table nat --append POSTROUTING --out-interface tun0 -j MASQUERADE

我如何进行 NAT

我写了这个简短的脚本来在我的计算机上设置 NAT，因为我永远记不住这些命令。因此，在您的其他人不在的情况下iptables，您可以直接运行nat tun0 wlan0以将互联网连接传递tun0到wlan0。

#!/bin/bash
# I named this script "nat"
if [ $# -lt 2 ]
        then
        echo usage: nat \<internet connection iface\> \<recieving iface\>
        exit 0
fi

internetiface=$1;
receivingiface=$2;

sudo iptables --table nat --append POSTROUTING --out-interface $internetiface -j MASQUERADE
sudo iptables --append FORWARD --in-interface $receivingiface -j ACCEPT


echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

Answer

问题是什么

因此，您需要的是网络地址传输（NAT）发挥作用。我不假装是iptables专家，但我可以根据你的这一部分看到iptables-save：

*nat
:PREROUTING ACCEPT [1710:298954]
:INPUT ACCEPT [1480:280336]
:OUTPUT ACCEPT [28:4162]
:POSTROUTING ACCEPT [86:6162]
-A PREROUTING -i wlan0 -p tcp -m mark --mark 0x3e7 -m tcp --dport 80 -j DNAT --to-destination 13.37.42.1:80
-A PREROUTING -i wlan0 -p tcp -m mark --mark 0x3e7 -m tcp --dport 443 -m conntrack --ctstate NEW -j DNAT --to-destination 13.37.42.1:80
-A POSTROUTING -o eth0 -j MASQUERADE #####this line
-A POSTROUTING -o wlan0 -j MASQUERADE

...这部分：

*filter
:INPUT ACCEPT [6041:840617]
:FORWARD ACCEPT [380:110945]
:OUTPUT ACCEPT [753:102159]
-A FORWARD -i wlan0 -j ACCEPT  #####this line
COMMIT

...你似乎正在转发进来的东西wlan0，这是允许MASQUERADE的eth0。但是，您的路由表将引导所有常规流量通过您的tun0接口，因为的两行之一GENMASK 128.0.0.0将始终在的default目的地之前匹配。这意味着您将传入数据包转发至，但一般流量通过该接口。您想要将数据包转发到.eth0GENMASK 0.0.0.0wlan0eth0tun0wlan0tun0

可能的解决方案

您也许可以通过运行以下命令来解决此问题，而无需更改任何现有的iptables （同样，我不是iptables专家，您的iptables比我的复杂得多）：

sudo iptables --table nat --append POSTROUTING --out-interface tun0 -j MASQUERADE

我如何进行 NAT

我写了这个简短的脚本来在我的计算机上设置 NAT，因为我永远记不住这些命令。因此，在您的其他人不在的情况下iptables，您可以直接运行nat tun0 wlan0以将互联网连接传递tun0到wlan0。

#!/bin/bash
# I named this script "nat"
if [ $# -lt 2 ]
        then
        echo usage: nat \<internet connection iface\> \<recieving iface\>
        exit 0
fi

internetiface=$1;
receivingiface=$2;

sudo iptables --table nat --append POSTROUTING --out-interface $internetiface -j MASQUERADE
sudo iptables --append FORWARD --in-interface $receivingiface -j ACCEPT


echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

Question 2

您的 VPN 和防火墙规则配置没有任何问题。您缺少的是这样一个事实：您只有一个网关 192.168.0.1，并且只能通过 eth0 访问它，当然不能通过 wlan0 访问它，只需检查您的路由表即可。

这种行为是普通的：在所有操作系统中只能有一个接口链接到网关，因为内核必须明确知道如何路由数据包。

在所有操作系统中...除了 Linux 之外，您可以添加第二个（以及第三个、第四个...）路由表，前提是您还添加了告诉内核何时明确使用每个路由表的规则。这就是您需要做的：设置一个第二路由表，然后添加一条规则，规定来自 tun0 子网的所有数据包必须通过第二个路由表进行路由。

这称为策略路由。您可以按如下方式进行操作：为新表选择一个名称，然后

     echo 200 <NAME1> >> /etc/iproute2/rt_tables
     ip route add <NET1> dev <DEV1> src <SRC1> table <NAME1>

（这里DEV1是wlan0，NET1和SRC1是wlan0已有的网络和IP地址），

     ip route add default via <IP1> table <NAME1>

（IP1是你的局域网的网关），最后

     ip rule add from <IP1> table <NAME1>

这里IP1是接口tun0的子网。

这就是全部。

Answer