web-dev-qa-db-ja.com

2つのOpenVPNサーバーをチェーンする方法は？

OpenVPNを使用して2つのVPNをトンネリングしたいと思います。したがって、クライアントは最初のVPNに接続し、2番目のVPNにリダイレクトされます。 （これらはすべてVPSであり、少し後で重要になるため、物理的にアクセスすることはできません。）

だから、ここに写真があります：

Client              VPN1                    VPN2
10.8.0.2[tun0]------10.8.0.1[tun0]
[1.1.1.1][eth0]     10.8.100.2[tun1]----------10.8.100.1[tun0]
                    45.55.45.55[eth0]         186.186.186.186[eth0]------internet

サーバー構成はかなり標準的な構成です。

port 1194
auth-user-pass-verify /etc/openvpn/script/login.py via-env
username-as-common-name
script-security 3
proto udp
dev tun
duplicate-cn
sndbuf 0
rcvbuf 0
vca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0 (or 10.8.100.0 in the VPN2)
ifconfig-pool-persist ipp.txt
Push "redirect-gateway def1 bypass-dhcp"
keepalive 10 120
cipher AES-128-CBC
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

クライアント構成もかなり標準的です。

client
dev tun
auth-user-pass login.txt
proto udp
sndbuf 0
rcvbuf 0
remote 45.55.45.55 1194 (or 186.186.186.186 for VPN2)
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-128-CBC
comp-lzo
key-direction 1
verb 3

したがって、VPNチェーンを実現するために、私はVPN1に簡単に接続しています。

openvpn --config toOpenVPN1.ovpn

このようにVPN1からVPN2に接続すると、すべてのトラフィックがVPN2にリダイレクトされ、VPN1のパブリックIPがVPN2に設定されるため、VPN1サーバーからロックアウトされます。そのため、-route-nopullオプションを使用して、2番目のVPNからのプッシュルートを拒否します。

openvpn --config toOpenVPN2.ovpn --route-nopull

だから、これはうまく接続します。ローカルホストからVPN1にトラフィックがあり、パブリックIPはVPN1です。また、tunXインターフェイスにIPを割り当てました。ただし、ローカルホスト（クライアント）からVPN2へのトラフィックはまだありません。これを機能させるには、ルートを作成する必要があります。そして、それは私が失敗しているということでした。

クライアントはトラフィックが別の場所にリダイレクトされているかどうかを気にする必要がないため、クライアント側（クライアント）で構成やiptablesルールを実行する必要はないと想定しています。同じことがVPN2サーバーにも当てはまり、VPN1または他のピアからのものであるかどうかを知る必要はありません。したがって、セットアップする必要があるのはVPN1構成だけです。

まず、次のようにiptablesルールを設定します。これにより、トラフィックが通過できるようになります。

iptables -A INPUT -i tun1 -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i tun1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o tun1 -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -p udp -m multiport --dports 6880:7000 -j DROP
iptables -A FORWARD -i tun1 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 10.8.0.0/24 -d 10.8.100.0/24 -i tun0 -o tun1 -m conntrack --ctstate NEW -j ACCEPT 
iptables -A FORWARD -s 10.8.100.0/24 -d 10.8.0.0/24 -i tun1 -o tun0 -m conntrack --ctstate NEW -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o tun1 -j MASQUERADE

ここで、1つのピアのルートを作成して他のピアを参照する必要があります。

route add 0.0.0.0/0 dev tun0
route add 0.0.0.0/0 dev tun1
### route from the the first tunnel, through the client's IP
route add -net 10.8.0.0/24 gw 10.8.0.2 dev tun0
### same for the 2nd
route add -net 10.8.100.0/24 gw 10.8.100.1 dev tun1
### route all the traffic to the 2nd VPN
### end server's IP and internet's gateway
route add 186.186.186.186 gw 45.55.45.1
route add default gw 10.8.100.1 dev tun1 <<<<<<<<<<<<<<<<<< got locked out of VPN1 server

そのため、間違ったルートを作成しているか、iptablesルールが正しく設定されていませんが、1つのクライアントから2番目のVPNにトラフィックを送ることができません。そして、何度も試した後、私は常にVPN1からロックアウトされ続けます。

VPN1の正しいルートセットはどのようになりますか？

networkingvpnroutingiptablesopenvpn
3
anonimou

だから、私はそれを理解します。そのためには、カスタムルーティングテーブルとiptablesルールを使用して、転送するすべてのパッケージにマークを付ける必要があります。

たとえば、TCPで1つのポートを転送するには、次のようなものを使用できます。

iptables -t mangle -I PREROUTING -p tcp -m multiport --dport 9999 -j MARK --set-mark 0x9999

次に、そのマークされたパケットのルーティングテーブルを/etc/iproute2/rt_tablesに作成します。たとえば9999 tableToForwardとします。

最後に、マークされたすべてのパケットをtun1インターフェイスを介してそのテーブルに転送する2つのルールを追加します。

ip route add 0.0.0.0/0 dev tun1 table tableToForward
ip rule add from all fwmark 1 table tableToForward
1
anonimou

openvpn --config toOpenVPN2.ovpn --route-nopull

うまくいきました

2つのVpnサーバー。一方は上記のコマンドで再びopenvpnを介して相互に接続されています。

--route-nopullインターネットアクセスなしではインターネットアクセスは機能しません。

0
laplace