该问题与此处发布的问题非常相似： 通过网关路由到另一个子网
我的问题是关于以下网络拓扑的正确路由/iptable 设置，其中包括站点 A 和站点 B 之间的站点到站点 VPN。
客户端 A想要访问客户端 B，例如 web 服务器托管在客户端 B上。为简单起见，我只想关注站点 A。让我们假设client-B有vpn-server-B作为它的网关。
如果client-A使用vpn-server-A作为其网关，则 client -A可以访问client-B上的网络服务器。但是客户端 A也想通过网关访问互联网。因此，客户端 A将网关A 设置为其默认网关。所以gateway-A应该将 192.168.1.0/24 的流量转发到vpn-server-A。我使用防火墙生成器来配置防火墙和路由规则。我在防火墙生成器中设置了以下内容。
客户端 A可以 ping 成功客户端 B，但无法建立 http(s) 连接。查看gateway-A的日志文件：
Apr 3 21:22:35 gateway-A kernel: [ 5456.799769] RULE 1 -- ACCEPT IN=eth0 OUT=eth0 MAC=00:11:22:33:44:55:00:55:44:33:22:11:08:00 SRC=192.168.0.100 DST=192.168.1.100 LEN=52 TOS=0x02 PREC=0x00 TTL=127 ID=28583 DF PROTO=TCP SPT=53133 DPT=443 WINDOW=8192 RES=0x00 CWR ECE SYN URGP=0
Apr 3 21:22:35 gateway-A kernel: [ 5456.814869] RULE 3 -- DENY IN=eth0 OUT=eth0 MAC=00:11:22:33:44:55:00:55:44:33:22:11:08:00 SRC=192.168.0.100 DST=192.168.1.100 LEN=40 TOS=0x00 PREC=0x00 TTL=127 ID=28584 DF PROTO=TCP SPT=53133 DPT=443 WINDOW=260 RES=0x00 ACK URGP=0
问题似乎是gateway-A没有正确地将流量重定向到vpn-server-A。作为上面链接的帖子中的最后一条评论，应该检查防火墙。可能需要额外的 NAT，但我不明白为什么。在gateway-A访问 192.168.1.0/24 的传入请求应该只是重定向到vpn-server-A。
您看到的防火墙条目是：
这向我表明，防火墙上的连接跟踪没有像您预期的那样工作。它表明要么存在路由问题（下面有更多信息），要么存在防火墙配置问题。我没有关于您正在使用的防火墙或 VPN 的信息/经验，因此很难提供更多详细信息。
路由问题：
在提供的图表中，从客户端 A 到客户端 B 的流量似乎直接通过互连网络（未加密）路由（因为客户端 A 的网关是网关 A），从客户端 B 到客户端 A 的流量通过 VPN 路由（因为客户端 B 的网关是 vpn-server-B)。
由于 VPN 服务器 A 与客户端 A 位于同一网络上，因此通过 VPN 路由的任何数据包都将直接传递到客户端 A，而不是通过网关 A。
这意味着网关 A永远不会看到来自客户端 B 的 TCP SYN-ACK。因此，就网关 A 而言，A 和 B 之间的连接永远不会建立，并且该连接上从客户端 A 到客户端 B 的进一步流量被阻止。
Ping 流量很好，因为它在未加密的情况下出去，然后以加密方式返回，但随后发送的数据包与第一个相同，因此与 TCP 连接相比，它们被视为相同，即使建立起来也需要大量的双向通信。
我建议将 VPN 服务器放在与客户端不同的网络上（例如 192.168.100.0/24 和 192.168.101.0/24），并在网关服务器（网关 A 和网关 B）中创建显式路由，以路由远程流量通过 VPN 网络。这样您就不必专门配置客户端。