☰

使用 iptables 的直通 VPN 隧道

tag-icon • tag-icon iptables vpn tunneling passthrough
使用 iptables 的直通 VPN 隧道

我的电子邮件 VPS 已达到极限，但它的专用 IP 得到了很好的维护，我舍不得放弃它。我正在尝试设置一个测试环境，在 VPS 上建立一个 VPN 服务器，只是为了将传入和传出的流量传回 VM，目的是使用 VPS 上的外部 IP 进行所有互联网通信，同时将这些流量隧道传回 VM。我的问题在于 iptables。我无法弄清楚这一点，我确信这只是我对使用 iptables 的了解不足。我的 VPS 和 VM 都运行 Debian 10。

我尝试了从这里的各种帖子中找到的几种不同的规则。

变化（我在使用这些规则时更改了适配器名称和端口）

iptables -A FORWARD -m conntrack --ctstate NEW -s $PRIVATE_SUBNET -m policy --pol none --dir in -j ACCEPT
iptables -t nat -A POSTROUTING -s $PRIVATE_SUBNET -m policy --pol none --dir out -j MASQUERADE
iptables -A INPUT -p udp --dport $SERVER_PORT -j ACCEPT
iptables -A FORWARD -i eth0 -o wg0 -p tcp --syn --dport 80 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i eth0 -o wg0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i wg0 -o eth0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -o wg0 -p tcp --syn --dport 443 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i eth0 -o wg0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i wg0 -o eth0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination $WIREGUARD_CLIENT_ADDRESS
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j DNAT --to-destination $WIREGUARD_CLIENT_ADDRESS

我也尝试过编写自己的规则，但即使看了一些很棒的教程视频，涵盖的内容不仅仅是过滤表。我似乎仍然无法正确理解流量的流动方式。

此外，因为我想从 VPN 服务器接收新流量，所以我知道我必须对“客户端”虚拟机上的 iptables 进行更改，而这也可能是我的问题所在。我希望有人能阐明我可能缺少的一些基本概念，以解决这个难题。

答案1

如果我没记错的话，传入数据包的“流程”将是：

标头重写图

我已经在一些 EC2 实例上测试了这一点：一个是公共实例，一个是私有实例。两个实例都运行 apache，带有一个简单的网页，一个显示“网关”，另一个显示“节点”。

在添加 IP 表规则之前，我可以 curl 一个简单的网页，它正确显示它来自我的“网关”实例。然后我在网关上执行以下操作：

echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/10-forwarding.conf
sudo sysctl -w net.ipv4.ip_forward=1

sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 10.0.100.154
sudo iptables -A FORWARD -i eth0 -p tcp --dport 80 -j ACCEPT
sudo iptables -t nat -A POSTROUTING -p tcp --dport 80 -j SNAT --to 10.0.0.160

这样我就可以 curl 公共 IP，然后将其 NAT 到目标内部 VM，并正确转发/NAT 以进行响应。我已设置了私有子网，没有任何外部路由，因此除非它路由到内部范围，否则它不会去任何地方。它按预期工作！

如果您有多个接口，那么您应该能够通过向某些规则中FORWARD添加来更好地锁定规则，并使用规则。-i eth0 -o wg0POSTROUTING-o wg0

所以我认为你的规则应该是：

# dnat to target VPN VM
iptables -t nat -A PREROUTING -i eth0 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination $WIREGUARD_CLIENT_ADDRESS

# forward between interfaces for new conns
iptables -A FORWARD -i eth0 -o wg0 -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW -j ACCEPT
# allow forwarding related traffic - no need for both sets of -i/-o as we can just allow related
iptables -A FORWARD -m state ESTABLISHED,RELATED -j ACCEPT

# postrouting for VPN
iptables -t nat -A POSTROUTING -o wg0 -p tcp -m multiport --dports 80,443 -j MASQUERADE

相关内容