VPN 客户端连接后无法 ssh 进入 EC2 实例

Question 1

假设侦听特定端口的服务使用原始目标端口作为答复源端口（或甚至任何非随机特定端口）进行回复，则可以制定如下 IP 规则：

ip rule add iif lo ipproto tcp sport 22 table 123

并在表中具有到 LAN（网关）的直接路由和默认路由：

ip route add 172.31.32.1 dev eth0 table 123 / ip route add 172.31.32.0/20 dev eth0 table 123
ip route add default via 172.31.32.1 dev eth0 table 123

或者，如果您可以并且愿意，您可以避免在主表中使用通向隧道的“事实上的默认路由”（例如，redirect-gateway ...在 openvpn 的情况下，通过删除/忽略）并手动将一个路由（例如，使用up脚本指令）添加到新表中，然后让上述 ip 规则查找主表，但使用优先级低于它的另一条规则（但高于 32766）查找新路由。这样，当 LAN 子网由于 DHCP 而发生变化时，您无需更改配置（网关对 tun 路由来说无关紧要/不是必需的）。

Answer

假设侦听特定端口的服务使用原始目标端口作为答复源端口（或甚至任何非随机特定端口）进行回复，则可以制定如下 IP 规则：

ip rule add iif lo ipproto tcp sport 22 table 123

并在表中具有到 LAN（网关）的直接路由和默认路由：

ip route add 172.31.32.1 dev eth0 table 123 / ip route add 172.31.32.0/20 dev eth0 table 123
ip route add default via 172.31.32.1 dev eth0 table 123

或者，如果您可以并且愿意，您可以避免在主表中使用通向隧道的“事实上的默认路由”（例如，redirect-gateway ...在 openvpn 的情况下，通过删除/忽略）并手动将一个路由（例如，使用up脚本指令）添加到新表中，然后让上述 ip 规则查找主表，但使用优先级低于它的另一条规则（但高于 32766）查找新路由。这样，当 LAN 子网由于 DHCP 而发生变化时，您无需更改配置（网关对 tun 路由来说无关紧要/不是必需的）。

Question 2

我无法告诉你如何配置 expressvpn 以使问题消失，但问题是

0.0.0.0/1 via 10.150.0.21 dev tun0
128.0.0.0/1 via 10.150.0.21 dev tun0

这是通过 VPN 的事实上的默认路由。

问题是：应通过 VPN 传输哪些内容？哪些源地址可以通过 VPN 传输？

例如，如果 VPN 仅用于 10.150.0.0/24，那么您就需要路由表中的这样的条目。

“最坏”的情况是所有源地址都是可能的，并且您希望按照请求传入的方式进行响应。这是一个明显的意图，但不幸的是，没有一个开关可以打开它。您需要高级路由，即您必须为两个接口创建（通过您自己的脚本或新版本的 SystemD）单独的路由表并安装策略路由（ip rule）以选择适当的路由表；在这种情况下，基于联系系统的 IP 地址（VPN 地址或公共地址）。

Answer