主页 / server / 问题 / 1005942
Accepted
Roberto Manfreda
Asked: 2020-03-07 15:24:24 +0800 CST

networkmanager-strongswan vpn - 通过 VPN 路由特定 IP

  • 772

我正在尝试在 Linux Mint 19.2 上设置 VPN。

我正在使用network-manager-strongswan所以我在下面添加了这个名为VPN的文件/etc/NetworkManager/system-connections/ 

[connection]
id=VPN
uuid=be1d4fd1-bbaa-4aa9-9fdc-e293bf16fe67
type=vpn
autoconnect=false
permissions=
timestamp=1582680217

[vpn]
address=vpn********.it
certificate=
encap=yes
ipcomp=no
method=eap
password-flags=0
proposal=no
user=user
virtual=yes
service-type=org.freedesktop.NetworkManager.strongswan

[vpn-secrets]
password=password

[ipv4]
dns-search=
ignore-auto-dns=true
ignore-auto-routes=true
method=auto

[ipv6]
addr-gen-mode=stable-privacy
dns-search=
ip6-privacy=0
method=ignore

连接很好，我可以在专用网络上使用 ssh 访问。最大的问题是连接后我无法上网，连接到 vpn 锁定所有其他地址。
我在配置中添加了ignore-auto-routes标志，为什么我的连接被锁定？

ip输出* 

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:3c:de:1b brd ff:ff:ff:ff:ff:ff
    inet yy.16.209.132/24 brd yy.16.209.255 scope global dynamic noprefixroute ens33
       valid_lft 1656sec preferred_lft 1656sec
    inet yy.26.199.18/32 scope global ens33
       valid_lft forever preferred_lft forever
    inet6 fe80::216e:bcc0:3b4f:44b2/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

路由 -n输出

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         yy.16.209.2    0.0.0.0         UG    20100  0        0 ens33
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 ens33
yy.16.209.0    0.0.0.0         255.255.255.0   U     100    0        0 ens33
yy.26.199.18   0.0.0.0         255.255.255.255 UH    50     0        0 ens33
yy.26.199.18   0.0.0.0         255.255.255.255 UH    100    0        0 ens33

ip xfrm 策略输出NO VPN 

src yy.16.209.0/24 dst yy.16.209.0/24 
    dir fwd priority 175423 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir in priority 175423 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir out priority 175423 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir fwd priority 183615 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir in priority 183615 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir out priority 183615 
src fe80::/64 dst fe80::/64 
    dir fwd priority 134463 
src fe80::/64 dst fe80::/64 
    dir in priority 134463 
src fe80::/64 dst fe80::/64 
    dir out priority 134463 
src yy.26.199.18/32 dst 0.0.0.0/0 
    dir out priority 383615 
    tmpl src yy.16.209.132 dst xx.xx.124.58
        proto esp spi 0xc57cfb3f reqid 7 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir fwd priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 7 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir in priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 7 mode tunnel
src ::1/128 dst ::1/128 
    dir fwd priority 68927 
src ::1/128 dst ::1/128 
    dir in priority 68927 
src ::1/128 dst ::1/128 
    dir out priority 68927 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0

ip xfrm 策略输出UNDER VPN 

src yy.26.199.18/32 dst 0.0.0.0/0 
    dir out priority 383615 
    tmpl src yy.16.209.132 dst xx.xx.124.58
        proto esp spi 0xc787ea42 reqid 2 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir fwd priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 2 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir in priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 2 mode tunnel
src fe80::/64 dst fe80::/64 
    dir fwd priority 134463 
src fe80::/64 dst fe80::/64 
    dir in priority 134463 
src fe80::/64 dst fe80::/64 
    dir out priority 134463 
src ::1/128 dst ::1/128 
    dir fwd priority 68927 
src ::1/128 dst ::1/128 
    dir in priority 68927 
src ::1/128 dst ::1/128 
    dir out priority 68927 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir fwd priority 175423 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir in priority 175423 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir out priority 175423 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir fwd priority 183615 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir in priority 183615 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir out priority 183615 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0

比较输出我可以看到在连接 VPN 时添加了这一部分：

src yy.26.199.18/32 dst 0.0.0.0/0 
    dir out priority 383615 
    tmpl src yy.16.209.132 dst xx.xx.124.58
        proto esp spi 0xc787ea42 reqid 2 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir fwd priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 2 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir in priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 2 mode tunnel

我尝试了很多东西，但没有运气。

  • 试图将Metricyy.26.199.18 的值增加到 1050 和 1100。
  • route del default&&ip route add default via yy.26.199.18 dev ens33
  • 试图删除路由条目 yy.26.199.18 但没有任何变化

还有很多其他愚蠢的东西。

所以我想在通过 VPN 路由特定地址时将我的连接用于“普通互联网”。
有可能的？

vpn networkmanager ip-routing strongswan linuxmint

1 个回答

  1. Best Answer

    在目前的状态下charon-nm，没有“设置”来定义隧道另一端的远程网络。默认情况下，VPN 客户端建议完整的地址空间，并依赖 VPN 响应器将流量选择器缩小到更具体的远程子网或子网。您可以在Charon-nm 代码中看到这一点。Strongswan wiki中也提到了 NetworkManager 插件。

    如您所见，隧道没有子网配置。我们让服务器管理员选择子网；客户端总是为远程网络建议 0.0.0.0/0 并且服务器将其缩小到配置的子网。

    因此，如果响应者没有缩小范围，那么所有离开主机的单播流量都将被引导到隧道中。

    但是，只要 VPN 响应者分配一个虚拟 IP，就有一种路由方式。它通过 charon-nm 连接到外部界面。这是virtual=yes设置要求的。根据给定的数据，它是外部接口上的第二个地址。

    Strongswan 默认使用路由表 id 220 和优先级为 220 的路由策略规则调用该表。这张表实际上将发往 VPN 的数据包的来源设置为您这边的虚拟 IP，然后它们会被 xfrm 策略规则捕获。因此，您可以使用较低优先级（如之前执行）的规则绕过这些规则，并避免与 xfrm 策略匹配。

    例如，如果您只希望 192.168.0.1/16 的流量进入隧道：

    ip rule add from all to 192.168.0.1/16 table 220 priority 218
ip rule add table main priority 219

    第一条规则捕获您的“想要的”流量并将其发送到 Strongswan 表，第二条规则将 Strongswan 表跳过到主表（如果您未指定表，则在此处添加路由）。

    或者使用单个否定规则：

    ip rule add not from all to 192.168.0.1/16 table main priority 128

    /etc/NetworkManager/dispatcher.d/您可以使用内部./pre-up.d/的网络挂钩自动添加和删除此类规则./pre-down.d/，只需将可执行脚本以“root”拥有的模式 0755 放在那里。$2将分别包含vpn-pre-up或vpn-pre-down。$1将包含外部接口的名称。$CONNECTION_FILENAME将是路径/etc/NetworkManager/system-connections/yourfilename。

    例如：

    #!/bin/bash
if [[ "$2" == "vpn-pre-up" ]]
then
  ip rule ...
fi

    查看到某个地址的路由是否不是来自表 220

    ip route get address/32

    如果表 220 不通过 VPN，您应该不会看到表 220，否则您会看到。此外，VPN 路由将虚拟 IP 显示为 src，“主”表将正常的外部 IP 显示为 src。

    在表 220 中显示规则：

    ip route show table 220

    当反复更改 VPN 或路由表中的设置时，刷新缓存的路由会很有用：

    ip route flush cache

    也许也很高兴知道，启动 VPN 也会切断已经运行的 IP 层通信，该通信以“纯文本”运行，应该通过 VPN。但是，如果在您绕过路由之前打开了具有完整地址空间流量选择的 VPN 连接，这也意味着您将失去当时所有正在运行的 TCP 连接。即使 NetworkManager 调度程序调用它的钩子 pre-up，当调用 pre-up 脚本时，表 220 中的 ip xfrm 规则和路由已经启动，所以这是您需要考虑的事情，并且可能将表 220 的路由绕过设置为开机时间。

    • 5

相关问题