Я надеюсь, что упускаю что-то очевидное, но мне действительно нужен второй набор глаз.

Таким образом, проблема в том, что я вижу трафик, поступающий в мой маршрутизатор dd-wrt из tun0, но трафик не выходит на vlan2. Как это исправить ?

Коробка DD-WRT с VPN для офиса в офис. (DD-WRT выступает здесь как VPN-клиент). У офисов нет проблем с тем, чтобы разговаривать друг с другом, а также у пользователей, стоящих за коробкой DD-WRT, нет доступа к более широкому Интернету.

Мне нужно получить доступ к модему перед коробкой DD-WRT через VPN (то есть, используя http), но я не могу заставить это работать. Используя tcpdump в окне DD-WRT, я вижу пакеты для модема (который находится на 192.168.5.1), поступающие через интерфейс tun0, но они не покидают интерфейс vlan2 (или любой другой). Конечно, VLAN2 - это интерфейс WAN.

/proc/sys/net/ipv4_ip_forward = 1

(действительно, ipv4_ip_forward также равен 1 на всех интерфейсах. Аналогично, rp_filter равен 0 для всех интерфейсов)

Iptables на поле dd-wrt выглядит следующим образом:

    # Generated by iptables-save v1.3.7 on Wed Jul 11 11:58:08 2018
*raw
:PREROUTING ACCEPT [47865311:28994994909]
:OUTPUT ACCEPT [9163855:1799452886]
COMMIT
# Completed on Wed Jul 11 11:58:08 2018
# Generated by iptables-save v1.3.7 on Wed Jul 11 11:58:08 2018
*nat
:PREROUTING ACCEPT [1057208:133049889]
:INPUT ACCEPT [345811:25454876]
:OUTPUT ACCEPT [89626:6090987]
:POSTROUTING ACCEPT [155806:10976951]
-A PREROUTING -d 192.168.5.150 -p icmp -j DNAT --to-destination 10.113.3.254 
-A PREROUTING -d 192.168.5.150 -j TRIGGER --trigger-proto --trigger-match 0-0 --trigger-relate 0-0 
-A POSTROUTING -s 10.113.3.0/255.255.255.0 -o vlan2 -j SNAT --to-source 192.168.5.150 
-A POSTROUTING -m mark  --mark0x80000000/0x80000000 -j MASQUERADE 
COMMIT
# Completed on Wed Jul 11 11:58:08 2018
# Generated by iptables-save v1.3.7 on Wed Jul 11 11:58:08 2018
*mangle
:PREROUTING ACCEPT [47865077:28994974549]
:INPUT ACCEPT [10833466:7689826180]
:FORWARD ACCEPT [36687562:21242777711]
:OUTPUT ACCEPT [9163804:1799448597]
:POSTROUTING ACCEPT [45776394:23034636218]
-A PREROUTING -d 192.168.5.150 -i ! vlan2 -j MARK  --set-xmark 0x80000000/0x80000000
-A PREROUTING -j CONNMARK --save-mark 
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
COMMIT
# Completed on Wed Jul 11 11:58:08 2018
# Generated by iptables-save v1.3.7 on Wed Jul 11 11:58:08 2018
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [9163399:1799420708]
:advgrp_1 - [0:0]
:advgrp_10 - [0:0]
:advgrp_2 - [0:0]
:advgrp_3 - [0:0]
:advgrp_4 - [0:0]
:advgrp_5 - [0:0]
:advgrp_6 - [0:0]
:advgrp_7 - [0:0]
:advgrp_8 - [0:0]
:advgrp_9 - [0:0]
:grp_1 - [0:0]
:grp_10 - [0:0]
:grp_2 - [0:0]
:grp_3 - [0:0]
:grp_4 - [0:0]
:grp_5 - [0:0]
:grp_6 - [0:0]
:grp_7 - [0:0]
:grp_8 - [0:0]
:grp_9 - [0:0]
:lan2wan - [0:0]
:logaccept - [0:0]
:logdrop - [0:0]
:logreject - [0:0]
:trigger_out - [0:0]
-A INPUT -d 192.168.5.1 -j ACCEPT 
-A INPUT -s 10.109.0.0/255.255.0.0 -p tcp -m tcp --dport 443 -j ACCEPT 
-A INPUT -s 10.104.0.0/255.255.0.0 -p tcp -m tcp --dport 443 -j ACCEPT 
-A INPUT -s 10.109.0.0/255.255.0.0 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -s 10.104.0.0/255.255.0.0 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -s 10.112.0.0/255.255.255.0 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -s 114.23.127.210 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -s 10.109.4.0/255.255.254.0 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -s 10.105.4.0/255.255.254.0 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -s 192.168.200.253 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -s 10.108.98.1 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -s 192.168.200.7 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -s 192.168.224.1 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -p icmp -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -i vlan2 -p udp -m udp --sport 67 --dport 68 -j ACCEPT 
-A INPUT -i vlan2 -p udp -m udp --dport 520 -j DROP 
-A INPUT -i br0 -p udp -m udp --dport 520 -j DROP 
-A INPUT -p udp -m udp --dport 520 -j ACCEPT 
-A INPUT -i vlan2 -p icmp -j ACCEPT 
-A INPUT -p igmp -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 113 -j ACCEPT 
-A INPUT -i lo -m state --state NEW -j ACCEPT 
-A INPUT -i br0 -m state --state NEW -j ACCEPT 
-A INPUT -j DROP 
-A FORWARD -d 192.168.5.1 -j ACCEPT 
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -s 10.113.3.0/255.255.255.0 -o vlan2 -p gre -j ACCEPT 
-A FORWARD -s 10.113.3.0/255.255.255.0 -o vlan2 -p tcp -m tcp --dport 1723 -j ACCEPT 
-A FORWARD -j lan2wan 
-A FORWARD -i br0 -o br0 -j ACCEPT 
-A FORWARD -d 224.0.0.0/240.0.0.0 -i vlan2 -p udp -j ACCEPT 
-A FORWARD -i vlan2 -o br0 -j TRIGGER --trigger-proto --trigger-match 0-0 --trigger-relate 0-0 
-A FORWARD -i br0 -j trigger_out 
-A FORWARD -i br0 -m state --state NEW -j ACCEPT 
-A FORWARD -j DROP 
-A OUTPUT -d 192.168.5.1 -j ACCEPT 
-A OUTPUT -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
-A logaccept -j ACCEPT 
-A logdrop -j DROP 
-A logreject -p tcp -j REJECT --reject-with tcp-reset 
COMMIT
# Completed on Wed Jul 11 11:58:08 2018

Трафик начинается 10.109.4.18 и предназначен для 192.168.5.1. 192.168.5.1 - это внутренний IP-адрес модема, и я могу пропинговать его с маршрутизатора DD-WRT.

10.109.4.18 - это IP-адрес моего компьютера, и он маршрутизируется по туннелю и виден на маршрутизаторе DD-WRT на интерфейсе tun0.

Локальная сеть для офиса - 10.113.0.0/16. (Я не думаю, что это очень актуально для проблемы).

Таблица маршрутов для коробки DD-WRT:

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.5.1     0.0.0.0         UG    0      0        0 vlan2
10.103.0.0      172.17.0.13     255.255.0.0     UG    0      0        0 tun0
10.104.0.0      172.17.0.13     255.255.0.0     UG    0      0        0 tun0
10.108.0.0      172.17.0.13     255.255.0.0     UG    100    0        0 tun0
10.109.0.0      172.17.0.13     255.255.0.0     UG    0      0        0 tun0
10.112.0.0      172.17.0.13     255.255.0.0     UG    300    0        0 tun0
10.113.3.0      0.0.0.0         255.255.255.0   U     0      0        0 br0
52.64.171.0     172.17.0.13     255.255.255.0   UG    0      0        0 tun0
52.79.94.0      172.17.0.13     255.255.255.0   UG    0      0        0 tun0
103.245.173.26  172.17.0.13     255.255.255.255 UGH   0      0        0 tun0
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
169.254.0.0     0.0.0.0         255.255.0.0     U     0      0        0 br0
172.17.0.0      172.17.0.13     255.255.255.128 UG    0      0        0 tun0
172.17.0.13     0.0.0.0         255.255.255.255 UH    0      0        0 tun0
192.168.0.0     172.17.0.13     255.255.128.0   UG    0      0        0 tun0
192.168.5.0     0.0.0.0         255.255.255.0   U     0      0        0 vlan2
192.168.100.0   172.17.0.13     255.255.255.0   UG    100    0        0 tun0
192.168.128.0   172.17.0.13     255.255.128.0   UG    100    0        0 tun0
192.168.190.0   172.17.0.13     255.255.255.0   UG    100    0        0 tun0
192.168.200.0   172.17.0.13     255.255.255.0   UG    100    0        0 tun0
192.168.201.0   172.17.0.13     255.255.255.0   UG    100    0        0 tun0
192.168.202.0   172.17.0.13     255.255.255.0   UG    100    0        0 tun0
202.49.205.0    172.17.0.13     255.255.255.0   UG    100    0        0 tun0
203.171.55.96   172.17.0.13     255.255.255.240 UG    100    0        0 tun0
210.48.103.120  172.17.0.13     255.255.255.248 UG    100    0        0 tun0
210.48.111.208  172.17.0.13     255.255.255.240 UG    0      0        0 tun0

MTR с моего компьютера показывает:

Keys:  Help   Display mode   Restart statistics   Order of fields   quit
                                       Packets               Pings
 Host                                Loss%   Snt   Last   Avg  Best  Wrst StDev
 1. gwbox.companyname.co.nz           0.0%     2    0.3   0.3   0.3   0.3   0.0
 2. 172.17.0.14                       0.0%     2   76.5  76.7  76.5  76.9   0.0
 3. ???

Маршрутизатор DD-WRT показывает:

tcpdump -n -i tun0 src or dst 192.168.5.1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on tun0, link-type RAW (Raw IP), capture size 262144 bytes
12:27:19.956766 IP 10.109.4.18 > 192.168.5.1: ICMP echo request, id 65027, seq 59776, length 44
12:27:20.043487 IP 10.109.4.18 > 192.168.5.1: ICMP echo request, id 65027, seq 60032, length 44
12:27:20.146912 IP 10.109.4.18 > 192.168.5.1: ICMP echo request, id 65027, seq 60288, length 44
12:27:20.246477 IP 10.109.4.18 > 192.168.5.1: ICMP echo request, id 65027, seq 60544, length 44
12:27:20.353698 IP 10.109.4.18 > 192.168.5.1: ICMP echo request, id 65027, seq 60800, length 44
12:27:20.447131 IP 10.109.4.18 > 192.168.5.1: ICMP echo request, id 65027, seq 61056, length 44
12:27:20.556747 IP 10.109.4.18 > 192.168.5.1: ICMP echo request, id 65027, seq 61312, length 44

Пока tcpdump -n -i vlan2 src или dst 192.168.5.1 ничего не показывает.

0