主页 / server / 问题 / 1087752
Accepted
Milke
Asked: 2021-12-20 16:04:26 +0800 CST

带 iptables 的直通 VPN 隧道

  • 772

我的电子邮件 VPS 已经到了极限，但它的专用 IP 得到了很好的培养，我就是不能放弃它。我正在尝试设置一个测试环境，在该环境中，我在 VPS 上建立了一个 VPN 服务器，只是为了将传入和传出流量传递回 VM，目标是使用 VPS 上的外部 IP 进行所有 Internet 通信，同时将该流量通过隧道返回到一个虚拟机。我的麻烦在于 iptables。我无法弄清楚这一点，我确定这只是我在这种程度上缺乏使用 iptables 的知识。我的 VPS 和 VM 都在运行 Debian 10。

我尝试了一些不同的规则变体，这些变体是从这里的各种帖子中找到的。

变化（我在使用这些规则时更改了适配器名称和端口）

iptables -A FORWARD -m conntrack --ctstate NEW -s $PRIVATE_SUBNET -m policy --pol none --dir in -j ACCEPT
iptables -t nat -A POSTROUTING -s $PRIVATE_SUBNET -m policy --pol none --dir out -j MASQUERADE
iptables -A INPUT -p udp --dport $SERVER_PORT -j ACCEPT
iptables -A FORWARD -i eth0 -o wg0 -p tcp --syn --dport 80 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i eth0 -o wg0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i wg0 -o eth0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -o wg0 -p tcp --syn --dport 443 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i eth0 -o wg0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i wg0 -o eth0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination $WIREGUARD_CLIENT_ADDRESS
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j DNAT --to-destination $WIREGUARD_CLIENT_ADDRESS

我也尝试过编写自己的规则，但即使在观看了一些很棒的教程视频之后，这些视频涵盖的内容不仅仅是过滤表。我似乎对交通如何流动没有正确的心理画面。

另外因为我想从 VPN 服务器接收新流量，我知道我必须对“客户端”VM 上的 iptables 进行更改，这很可能也是我的问题所在。我希望有人能阐明一些我可能缺少的基本概念来解决这个难题。

vpn iptables tunneling passthrough

1 个回答

  1. Best Answer

    如果我没记错的话，进来的数据包的“流程”是：

    标题重写图

    我已经在一些 EC2 实例上对此进行了测试：一个公共实例和一个私有实例。两者都使用简单的网页运行 apache，一个说“网关”，一个说“节点”。

    在添加 IP 表规则之前，我可以卷曲一个简单的网页，它正确地显示它来自我的“网关”实例。然后我在网关上执行以下操作：

    echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/10-forwarding.conf
sudo sysctl -w net.ipv4.ip_forward=1

sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 10.0.100.154
sudo iptables -A FORWARD -i eth0 -p tcp --dport 80 -j ACCEPT
sudo iptables -t nat -A POSTROUTING -p tcp --dport 80 -j SNAT --to 10.0.0.160

    这使我可以卷曲公共 IP，将其 NAT 到目标内部 VM 并正确转发/NAT 以进行响应。我已经设置了没有任何外部路由的私有子网，所以除非它路由到内部范围，否则它不会去任何地方。它按预期工作！

    如果您有多个接口，那么您应该能够通过添加一些规则来FORWARD更好地锁定规则，并使用.-i eth0 -o wg0POSTROUTING-o wg0

    所以我认为你的规则应该是：

    # dnat to target VPN VM
iptables -t nat -A PREROUTING -i eth0 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination $WIREGUARD_CLIENT_ADDRESS

# forward between interfaces for new conns
iptables -A FORWARD -i eth0 -o wg0 -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW -j ACCEPT
# allow forwarding related traffic - no need for both sets of -i/-o as we can just allow related
iptables -A FORWARD -m state ESTABLISHED,RELATED -j ACCEPT

# postrouting for VPN
iptables -t nat -A POSTROUTING -o wg0 -p tcp -m multiport --dports 80,443 -j MASQUERADE
    • 0

相关问题