Используйте iptables nat для перенаправления шлюза на ПК ПК

Question

У меня есть сервер Linux, который функционирует как шлюз для моей домашней сети. У него есть два устройства Ethernet:

• p3p1: WAN, публичный IP-адрес a.b.c.d
• p2p1: LAN, частный IP-адрес 10.0.3.1/24

Он также подключается через туннель OpenVPN точка-точка к удаленному серверу Linux (который я также администрирую). Это добавляет устройство

• tun2: VPN, частный IP-адрес 10.2.0.2/32

Вопрос в том, как сделать так, чтобы весь трафик от клиентов в локальной сети перенаправлялся через туннель OpenVPN?

Я могу перенаправить весь трафик (в том числе исходящий от сервера шлюза), используя параметр конфигурации VPN-клиента redirect-gateway def1 . Но это не то, что я хочу.

Будет ли способ сделать это с помощью IPTables NAT?

Спасибо!

Answer 1

Мне удалось сделать это с помощью IP-маршрутизации на основе политик, как отметил А. Фендт в комментарии:

1. Вставьте новую таблицу IP-маршрутизации:

$ echo "200 vpndef1" | sudo tee -a /etc/iproute2/rt_tables

2. Добавьте маршруты для перенаправления VPN:

$ sudo ip route add 10.0.3.0/24 via 10.0.3.1 dev p2p1 table vpndef1 $ sudo ip route add default via 10.2.0.1 dev tun2 table vpndef1

3. Вставьте новое правило, чтобы направить трафик локальной сети в новую таблицу маршрутизации:

$ sudo ip rule add from 10.0.3.0/24 lookup vpndef1

Answer 2

Вот шаги, которые вы должны сделать:

1. На первом этапе ваш локальный DHCP-сервер должен настроить клиентский шлюз по умолчанию на ваш адрес сервера 10.0.3.1
2. Затем используйте базу данных политики маршрутизации для маршрутизации трафика вашей локальной сети к шлюзу VPN по умолчанию за p2p1 и маршрутизации трафика ваших серверов на шлюз по умолчанию за p3p1
3. После этого вы должны MASQUERADE ваш трафик, который приходит из вашей локальной сети и идет в VPN:

# enable ip forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward

# configure iptables
iptables -t nat -A POSTROUTING -s 10.0.3.0/24 -d 10.2.0.2/32 -j MASQUERADE
iptables -P FORWARD DROP
iptables -A FORWARD -i p2p1 -o tun2 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED -j ACCEPT