Настройка IPTables для исключения веб-хоста из VPN-туннеля

Question

У меня Raspberry Pi работает как сервер для моего веб-хостинга. Raspberry pi подключен к услуге VPN 24/7.

Из-за этого я не могу подключиться к своему веб-хосту, используя мой публичный IP-адрес, выданный моим провайдером.

Если я отключу VPN на своем Raspberry Pi, у меня не возникнет проблем с подключением к моему веб-серверу.

Я использую порт 8080 для моего Apache.

Как я могу перенаправить свой трафик, чтобы я мог получить доступ к порту 8080 с помощью своего интернет-провайдера, дающего IP? Мой Raspberry Pi находится на статическом IP 192.168.1.11 локально.

Например, если мой публичный интернет-провайдер 123.456.789.001, как я могу получить доступ к своему Raspberry Pi по номеру 123.456.789.001:8080?

Как я запускаю свой VPN:

sudo /etc/init.d/openvpn start   

VPN Config

client
dev tun2
proto udp
remote 176.126.237.214 25000
remote euro214.vpnbook.com 25000
resolv-retry infinite
nobind
persist-key
persist-tun
auth-user-pass auth.txt
comp-lzo
verb 3
cipher AES-128-CBC
fast-io
pull
route-delay 2
redirect-gateway

Ifconfig

tun2      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
          inet addr:10.10.0.56  P-t-P:10.10.0.78  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:19415 errors:0 dropped:0 overruns:0 frame:0
          TX packets:4242 errors:0 dropped:94 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:26759154 (25.5 MiB)  TX bytes:289187 (282.4 KiB)

Спасибо

Answer 1

То, что вам нужно, называется переадресацией портов - вам нужно будет войти в свой маршрутизатор (или устройство, которому назначен ваш публичный IP-адрес, если это другое устройство) и создать правило, которое перенаправляет трафик через порт 8080 на ваш Raspberry IP-адрес Пи. Поскольку вы не дали никаких других подробностей, я не могу дать вам точных инструкций.

Ваша конфигурация VPN также использует параметр redirect-gateway , который изменит шлюз по умолчанию Raspberry Pi (см. Документацию). С этой опцией пакеты достигнут вашего Pi, но не смогут быть переданы обратно маршрутизатору. Вам нужно будет удалить это, чтобы Raspberry Pi был доступен для локальной сети.

Answer 2

У вас включен redirect-gateway , который сообщает VPN-клиенту о необходимости маршрутизации всего трафика через OpenVPN. Если вы хотите, чтобы через OpenVPN проходил только определенный набор трафика, настройте эти маршруты индивидуально. Например, вы могли бы добавить следующее, чтобы протолкнуть весь трафик, связанный для 10.12.34.0/24 через VPN.

(with no redirect-gateway)
route 10.12.34.0 255.255.255.0

И наоборот, вы можете указать OpenVPN исключить подмножество трафика. Если вы не хотите, чтобы трафик до 123.45.67.0/24 проходил через VPN, вы можете включить эту строку:

(with redirect-gateway)
route 123.45.67.0 255.255.255.0 net_gateway

Answer 3

Привет, кажется, решил мою проблему, добавив несколько IPTables, который заключается в следующем.

ip rule add from 192.168.1.11 table 128 
ip route add table 128 to 192.168.1.0/24 dev eth0 
ip route add table 128 default via 192.168.1.1

Я полагаю, что этот параметр заставляет весь входящий трафик (все порты) быть исключенным из VPN-туннеля, в то же время гарантируя, что мой исходящий проходит через VPN. Теперь я могу подключиться к своему серверу, используя мой общедоступный IP-адрес, и все еще могу просматривать сеть с помощью VPN-подключения.

У меня есть вопрос, хотя, если я торрент, означает ли это, что мой провайдер может видеть торрент-трафик, поступающий на мой IP, потому что входящий трафик больше не шифруется?

Это сделано для разъяснения, а не для нарушения законов.