将桥接流量路由至 VPN 隧道（AWS 客户端 VPN 终端节点）

Question

那么，让我们尝试解决您的问题。为了更好地理解，我绘制了网络拓扑图。为了阐明发生了什么，我在 ubuntu 主机内以图形方式拆分了 l2 和 l3 处理 - 这将有助于进一步推理。

检查以下步骤：

检查 wifi 客户端上的路由（此处及后续内容 -10.24.11.X替换为此设备的实际 IP 地址）。您的方案需要以下两种可能性之一：default route via 10.24.11.15或更好（我认为）10.2.0.0/16 via 10.24.11.15。
ip route get 10.2.1.145 from 10.24.11.X iif br0使用和命令检查 ubuntu 主机上的转发ip route get 10.24.11.X from 10.2.1.145 iif tun0。它应该返回类似10.2.1.145 from 10.24.11.X via 10.20.1.225 dev tun0(有效路由) 的内容。如果它返回类似的内容RTNETLINK answers: No route to host，则表示您尚未启用 ip 转发（全局或每个接口）。使用命令启用它。还要使用命令检查和接口sysctl上的转发（应该有字符串）。tun0br0ip netconf show dev ...forwarding on
ping 10.2.1.145在 wifi 客户端上运行命令，在 ubuntu 主机上运行tcpdump -ni br0 'icmp and ip host 10.24.11.X'和。您应该会看到一些从 wifi 客户端到主机的数据包。如果没有看到，请使用命令检查防火墙（并将输出粘贴到问题中以获取有关您的情况的帮助）。如果您看到，但在 tcpdump 中看不到，那么您需要检查远程站点。tcpdump -ni tun0 'icmp'icmp echo request10.2.1.145iptables-saveicmp echo requesticmp echo reply
您的方案还需要在远程端（在上openvpn server）进行一些路由设置。 openvpn 服务器本身应该有路由，并且通过10.24.11.0/24 via 10.20.1.226上的路由应到同一子网。建立连接的另一种方式是使用 ubuntu 主机上的 NAT（但稍后会介绍）。some remote hostopenvpn server
在 openvpn 服务器上运行ip route get 10.2.1.145 from 10.24.11.X iif tunX和ip route get 10.24.11.X from 10.2.1.145 iif ethZ命令（其中tunX和ethZ是 open vpn 服务器的对应接口）。两个命令都应显示有效路由，否则使用ip netconf show命令检查转发的启用情况（并使用启用它sysctl）。
tcpdump -ni tunX 'icmp and ip host 10.2.1.145'在 openvpn 服务器上运行该命令。您应该会看到icmp echo requests来自远程 wifi 客户端的传入和来自主机的传出icmp echo reply。10.2.1.145如果您没有看到icmp echo reply，请在上运行 tcpdump（或 wireshark）some remote host并检查其上的防火墙设置。
如果您没有对另一方的管理权限，并且无法在其上设置路由，则应在 ubuntu 主机上使用 NAT。您应该在防火墙规则集中添加下一条规则（为了安全起见iptables-save，最好使用iptables-apply命令）：

iptables -t nat -A POSTROUTING \
         -o tun0 \
    -j MASQUERADE

最后一步是检查防火墙。您的设置需要允许通过 ubuntu 主机转发数据包。简化规则：

iptables -A FORWARD -i br0 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o br0 -j ACCEPT

然后检查命令输出中的防火墙规则计数器iptables-save -c。方括号中的数字是格式为的规则的匹配计数器[packets:bytes]。重新启动ping并检查它。至少应该命中 NAT 规则。规则的顺序非常重要！
如果上述步骤无法帮助您解决问题，请将其他信息添加到问题中，我将提供一些其他步骤来解决问题。

Answer 1

那么，让我们尝试解决您的问题。为了更好地理解，我绘制了网络拓扑图。为了阐明发生了什么，我在 ubuntu 主机内以图形方式拆分了 l2 和 l3 处理 - 这将有助于进一步推理。

检查以下步骤：

检查 wifi 客户端上的路由（此处及后续内容 -10.24.11.X替换为此设备的实际 IP 地址）。您的方案需要以下两种可能性之一：default route via 10.24.11.15或更好（我认为）10.2.0.0/16 via 10.24.11.15。
ip route get 10.2.1.145 from 10.24.11.X iif br0使用和命令检查 ubuntu 主机上的转发ip route get 10.24.11.X from 10.2.1.145 iif tun0。它应该返回类似10.2.1.145 from 10.24.11.X via 10.20.1.225 dev tun0(有效路由) 的内容。如果它返回类似的内容RTNETLINK answers: No route to host，则表示您尚未启用 ip 转发（全局或每个接口）。使用命令启用它。还要使用命令检查和接口sysctl上的转发（应该有字符串）。tun0br0ip netconf show dev ...forwarding on
ping 10.2.1.145在 wifi 客户端上运行命令，在 ubuntu 主机上运行tcpdump -ni br0 'icmp and ip host 10.24.11.X'和。您应该会看到一些从 wifi 客户端到主机的数据包。如果没有看到，请使用命令检查防火墙（并将输出粘贴到问题中以获取有关您的情况的帮助）。如果您看到，但在 tcpdump 中看不到，那么您需要检查远程站点。tcpdump -ni tun0 'icmp'icmp echo request10.2.1.145iptables-saveicmp echo requesticmp echo reply
您的方案还需要在远程端（在上openvpn server）进行一些路由设置。 openvpn 服务器本身应该有路由，并且通过10.24.11.0/24 via 10.20.1.226上的路由应到同一子网。建立连接的另一种方式是使用 ubuntu 主机上的 NAT（但稍后会介绍）。some remote hostopenvpn server
在 openvpn 服务器上运行ip route get 10.2.1.145 from 10.24.11.X iif tunX和ip route get 10.24.11.X from 10.2.1.145 iif ethZ命令（其中tunX和ethZ是 open vpn 服务器的对应接口）。两个命令都应显示有效路由，否则使用ip netconf show命令检查转发的启用情况（并使用启用它sysctl）。
tcpdump -ni tunX 'icmp and ip host 10.2.1.145'在 openvpn 服务器上运行该命令。您应该会看到icmp echo requests来自远程 wifi 客户端的传入和来自主机的传出icmp echo reply。10.2.1.145如果您没有看到icmp echo reply，请在上运行 tcpdump（或 wireshark）some remote host并检查其上的防火墙设置。
如果您没有对另一方的管理权限，并且无法在其上设置路由，则应在 ubuntu 主机上使用 NAT。您应该在防火墙规则集中添加下一条规则（为了安全起见iptables-save，最好使用iptables-apply命令）：

iptables -t nat -A POSTROUTING \
         -o tun0 \
    -j MASQUERADE

最后一步是检查防火墙。您的设置需要允许通过 ubuntu 主机转发数据包。简化规则：

iptables -A FORWARD -i br0 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o br0 -j ACCEPT

然后检查命令输出中的防火墙规则计数器iptables-save -c。方括号中的数字是格式为的规则的匹配计数器[packets:bytes]。重新启动ping并检查它。至少应该命中 NAT 规则。规则的顺序非常重要！
如果上述步骤无法帮助您解决问题，请将其他信息添加到问题中，我将提供一些其他步骤来解决问题。

将桥接流量路由至 VPN 隧道（AWS 客户端 VPN 终端节点）

答案1

相关内容