主页 / server / 问题 / 693136
Accepted
TCB13
Asked: 2015-05-20 12:41:53 +0800 CST

OpenVPN：流量重定向不起作用

  • 772

tl;dr（在使用@krisFR 进行数小时调试后）：至少在 Debian 8 下，不要为 OpenVPN 使用虚拟接口（eth0:1），而是应用iproute2此处描述的新 debian 方法（手动方法）：https://wiki。 debian.org/NetworkConfiguration#iproute2_method。它将很好地路由流量。

我试图在所有客户端流量都应该通过隧道发送的机器上设置 OpenVPN，所以这是我的服务器配置的一部分：

local x.x.x.243
port 443
proto udp
dev tun
server 172.31.1.0 255.255.255.0 
push "redirect-gateway def1 bypass-dhcp"

我的客户端配置：

pull
resolv-retry infinite
mute-replay-warnings 
redirect-gateway def1
script-security 1

客户端能够连接到 VPN，并且可以 ping VPN 主机172.31.1.1，但是如果我尝试通过域或 IP ping google.com，我会收到一条Request timeout for icmp_seq 0消息...

这可能是什么原因造成的？旁注，我已经卸载了任何防火墙，并且我目前正在将 IPTables 设置为：

iptables -A INPUT -i eth0:1 -m state --state NEW -p udp --dport 443 -j ACCEPT
iptables -A INPUT -i tun+ -j ACCEPT
iptables -A FORWARD -i tun+ -j ACCEPT
iptables -A FORWARD -i tun+ -o eth0:1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth0:1 -o tun+ -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -s 172.31.1.0/24 -o eth0:1 -j MASQUERADE
iptables -A OUTPUT -o tun+ -j ACCEPT

谢谢你。

因此，我尝试在客户端213.30.5.46（Google 的 IP 之一）上 ping 通，但没有成功，但是我得到了以下结果：

侦听传出 VPN IP (eth0:1)：tcpdump -i eth0 -t host x.x.x.243

IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 113
IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 145
IP vpn.exampledomain.com.https > [CLIENT_IP x..].51060: UDP, length 81
IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 145
IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 145
IP [CLIENT_IP x..].51060 > vpn.exampledomain.com.https: UDP, length 145

同时，在 tun0 上听，我得到了这个：tcpdump -i tun0

23:40:39.864798 IP 172.31.1.10 > cache.google.com: ICMP echo request, id 17942, seq 0, length 64
23:40:40.925951 IP 172.31.1.10 > cache.google.com: ICMP echo request, id 17942, seq 256, length 64
23:40:41.886679 IP 172.31.1.10 > cache.google.com: ICMP echo request, id 17942, seq 512, length 64
23:40:42.906125 IP 172.31.1.10 > cache.google.com: ICMP echo request, id 17942, seq 768, length 64

这是输出iptables -L -n -v：

Chain INPUT (policy ACCEPT 34772 packets, 2265K bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     udp  --  eth0:1 *       0.0.0.0/0            0.0.0.0/0            state NEW udp dpt:443
   13  1092 ACCEPT     all  --  tun+   *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 1437 96985 ACCEPT     all  --  tun+   *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  tun+   eth0:1  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     all  --  eth0:1 tun+    0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED

Chain OUTPUT (policy ACCEPT 32574 packets, 7919K bytes)
 pkts bytes target     prot opt in     out     source               destination         
   13  1092 ACCEPT     all  --  *      tun+    0.0.0.0/0            0.0.0.0/0

注意： /proc/sys/net/ipv4/ip_forward设置为1.

tcpdump -i eth0:1 -t host 213.30.5.46ping目标时定位：

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0:1, link-type EN10MB (Ethernet), capture size 262144 bytes
IP 172.31.1.10 > cache.google.com: ICMP echo request, id 16920, seq 0, length 64
IP 172.31.1.10 > cache.google.com: ICMP echo request, id 16920, seq 256, length 64
IP 172.31.1.10 > cache.google.com: ICMP echo request, id 16920, seq 512, length 64
IP 172.31.1.10 > cache.google.com: ICMP echo request, id 16920, seq 768, length 64

客户端没有显示，ping 最终超时。

OpenVPN 使用的 IP地址local x.x.x.243设置\etc\network\interfaces如下：eth0:1eth0

 auto eth0:1
  iface eth0:1 inet static
   address x.x.x.243
   gateway x.x.x.129
   netmask 255.255.255.128
   dns-nameservers x.x.x.4 x.x.x.104
openvpn

1 个回答

  1. Best Answer

    正如你所说，我们花了几个小时一起调试这个......

    关于我们所做的所有测试和我们检索到的所有跟踪，最终看来我们遇到了一些关于 Virtual Interface 的奇怪行为eth0:1。

    例如： http: //lartc.org/howto/lartc.iproute2.html

    大多数 Linux 发行版和大多数 UNIX 发行版目前都使用古老的 arp、ifconfig 和 route 命令。虽然这些工具可以工作，但它们在 Linux 2.2 及更高版本下会出现一些意外行为。例如，如今 GRE 隧道是路由不可或缺的一部分，但需要完全不同的工具。

    使用 iproute2，隧道是工具集不可或缺的一部分。

    我们决定切换到iproute2（至少试一试）修改/etc/network/interfaces文件以更改为eth0接口分配多个 IP 的方式。

    之后一切都很好并且工作正常！

    iproute2例子 ：

    auto eth0
allow-hotplug eth0
iface eth0 inet static
    address 192.168.1.42
    netmask 255.255.255.0
    gateway 192.168.1.1

iface eth0 inet static
    address 192.168.1.43
    netmask 255.255.255.0

    关于这里的更多信息iproute2：

    • 2

相关问题