主页 / server / 问题 / 972511
Accepted
kellyredbook
Asked: 2019-06-23 11:42:29 +0800 CST

为什么这个 MASQUERADE 规则是必要的？

  • 772

我目前有一个 VPN 站点到站点设置，其中将 Centos7 服务器设置为远程站点隧道的 VPN 客户端。隧道建立得很好，我试图通过隧道访问远程站点的资源，但到目前为止，除了 VPN 客户端本身之外，我无法 ping 任何东西，后面什么都没有。

远程站点 VPN 客户端（centos7 服务器）可以 ping 和访问资源，但 VPN 客户端防火墙后面的客户端不能。

设置：

主站点：路由器/防火墙：192.168.150.1（运行 openvpn/sophos 防火墙）

客户端：Centos7 服务器 192.168.200.1（eth0 地址）/192.168.201.1（tun0 地址）

主站点（例如 192.168.150.2）的客户端可以 ping 192.168.200.1 和 192.168.201.2。但不是 192.168.200.50（客户端站点上的资源）。

在客户端站点上，我在 firewalld 中有以下直接规则：

ipv4 filter FORWARD 0 -i tun0 -o eth0 -p icmp -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
ipv4 filter FORWARD 0 -i eth0 -o tun0 -p icmp -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

内核中已启用 ipv4 转发。每个接口都在 firewalld 中自己的区域中。

添加此规则可解决问题，并建立连接。但为什么？我不想要任何经过 NAT 处理的东西。

ipv4 nat POSTROUTING 0 -o eth0 -j MASQUERADE
vpn

1 个回答

  1. Best Answer

    从完整的描述中，我可以猜到在“主站点”上一切顺利，并且所有需要的路由内容都已正确设置。我会在 IP 为 192.168.200.50 的主机上看到的“问题”（否则只有一个 MASQUERADE 规则是不够的）。

    这种行为意味着，一旦您尝试从主站点与 192.168.200.50 通信，它就会通过 VPN 隧道正确路由到 192.168.201.1 而不是 192.168.200.50（您可以尝试捕获 192.168.200.50 上的流量，最有可能您将看到传入的数据）。问题在于回复。192.168.200.50 节点不知道如何与 192.168.201.0/x 和 192.168.150.0/y 通信。结果是响应被路由到默认网关并且没有到达目的地......

    使用 NAT 规则，流量似乎起源于 192.168.200.1，因此 192.168.200.50 将其正确地引导回“去 NATed”的“VPN GW”并通过隧道正确发回。

    尝试在 192.168.200.50 上添加这些规则（假设两个掩码 /24）：

    ip route add 192.168.201.0/24 via 192.168.200.1
ip route add 192.168.150.0/24 via 192.168.200.1

    然后在 192.168.200.1 上重试没有 MASQUERADE 规则的通信，我认为它会像假设的那样工作。祝你好运 ！

    -- 编辑 / 2019 年 6 月 22 日星期六 21:09 UTC --

    或者，您可以尝试在默认 GW 上为 192.168.200.0/24 添加静态路由（因为 VPN 使用 .1，GW 可能是 .254 :)）。然后它也可以工作，因为 192.168.200.50 会通过默认 GW 正常发送回来，但它会发送回“VPN GW”......

    • 1

相关问题