Маршрутизация на OpenWRT, VPN SSTP?

Question

[pddd313]

Добрый день! При настройке маршрутизации через интерфейс SSTP столкнулся с проблемой, что приходит ответ: Заданный порт недоступен от домашнего роутера

Роутер 172.16.1.1 (Мой)
Протокол рабочего впн SSTP (gw 10.78.0.1, адреса сетей 10.0.0.0 и 192.168.0.0)
Прописал маршруты:
route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.78.0.1
route add -net 192.168.0.0 netmask 255.255.0.0 gw 10.78.0.1
Порты должны быть открыты автоматический с помощью UPnP
При пинге устройств приходит ответ:
172.16.1.1 Заданный порт не доступен

Answer 1

[Петровский]

а при traceroute, а с роутера

Comments

[pddd313]

Трассировка дальше роутера не уходит

[Петровский]

а второй вопрос

[pddd313]

Петровский, с роутера пингуется GW и машины сети, с ПК нет.

[Петровский]

показывайте настройки файрволла и таблицу маршрутизации

[pddd313]

Петровский,

[pddd313]

Петровский,

[Петровский]

Не описано перенаправление vpn-lan, upnp не понимаю зачем

[pddd313]

config defaults
option input 'REJECT'
option output 'ACCEPT'
option forward 'REJECT'
option synflood_protect '1'

config zone
option name 'lan'
option input 'ACCEPT'
option output 'ACCEPT'
option forward 'ACCEPT'
list network 'lan'

config zone
option name 'wan'
option input 'REJECT'
option output 'ACCEPT'
option forward 'REJECT'
option masq '1'
option mtu_fix '1'
list network 'WAN1'

config forwarding
option src 'lan'
option dest 'wan'

config rule
option name 'Allow-DHCP-Renew'
option src 'wan'
option proto 'udp'
option dest_port '68'
option target 'ACCEPT'
option family 'ipv4'

config rule
option name 'Allow-Ping'
option src 'wan'
option proto 'icmp'
option icmp_type 'echo-request'
option family 'ipv4'
option target 'ACCEPT'

config rule
option name 'Allow-IGMP'
option src 'wan'
option proto 'igmp'
option family 'ipv4'
option target 'ACCEPT'

config rule
option name 'Allow-DHCPv6'
option src 'wan'
option proto 'udp'
option dest_port '546'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-MLD'
option src 'wan'
option proto 'icmp'
option src_ip 'fe80::/10'
list icmp_type '130/0'
list icmp_type '131/0'
list icmp_type '132/0'
list icmp_type '143/0'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-ICMPv6-Input'
option src 'wan'
option proto 'icmp'
list icmp_type 'echo-request'
list icmp_type 'echo-reply'
list icmp_type 'destination-unreachable'
list icmp_type 'packet-too-big'
list icmp_type 'time-exceeded'
list icmp_type 'bad-header'
list icmp_type 'unknown-header-type'
list icmp_type 'router-solicitation'
list icmp_type 'neighbour-solicitation'
list icmp_type 'router-advertisement'
list icmp_type 'neighbour-advertisement'
option limit '1000/sec'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-ICMPv6-Forward'
option src 'wan'
option dest '*'
option proto 'icmp'
list icmp_type 'echo-request'
list icmp_type 'echo-reply'
list icmp_type 'destination-unreachable'
list icmp_type 'packet-too-big'
list icmp_type 'time-exceeded'
list icmp_type 'bad-header'
list icmp_type 'unknown-header-type'
option limit '1000/sec'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-IPSec-ESP'
option src 'wan'
option dest 'lan'
option proto 'esp'
option target 'ACCEPT'

config rule
option name 'Allow-ISAKMP'
option src 'wan'
option dest 'lan'
option dest_port '500'
option proto 'udp'
option target 'ACCEPT'

config zone
option name 'vpn'
option input 'ACCEPT'
option output 'ACCEPT'
option forward 'ACCEPT'
list network 'Work'

config forwarding
option src 'vpn'
option dest 'wan'

config forwarding
option dest 'vpn'

config forwarding
option src 'lan'

[Петровский]

А вот это не уверен, что вам нужно

config forwarding
option src 'vpn'
option dest 'wan'

[pddd313]

Петровский, config defaults
option input 'REJECT'
option output 'ACCEPT'
option forward 'REJECT'
option synflood_protect '1'

config zone
option name 'lan'
option input 'ACCEPT'
option output 'ACCEPT'
option forward 'ACCEPT'
list network 'lan'

config zone
option name 'wan'
option input 'REJECT'
option output 'ACCEPT'
option forward 'REJECT'
option masq '1'
option mtu_fix '1'
list network 'WAN1'

config forwarding
option src 'lan'
option dest 'wan'

config rule
option name 'Allow-DHCP-Renew'
option src 'wan'
option proto 'udp'
option dest_port '68'
option target 'ACCEPT'
option family 'ipv4'

config rule
option name 'Allow-Ping'
option src 'wan'
option proto 'icmp'
option icmp_type 'echo-request'
option family 'ipv4'
option target 'ACCEPT'

config rule
option name 'Allow-IGMP'
option src 'wan'
option proto 'igmp'
option family 'ipv4'
option target 'ACCEPT'

config rule
option name 'Allow-DHCPv6'
option src 'wan'
option proto 'udp'
option dest_port '546'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-MLD'
option src 'wan'
option proto 'icmp'
option src_ip 'fe80::/10'
list icmp_type '130/0'
list icmp_type '131/0'
list icmp_type '132/0'
list icmp_type '143/0'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-ICMPv6-Input'
option src 'wan'
option proto 'icmp'
list icmp_type 'echo-request'
list icmp_type 'echo-reply'
list icmp_type 'destination-unreachable'
list icmp_type 'packet-too-big'
list icmp_type 'time-exceeded'
list icmp_type 'bad-header'
list icmp_type 'unknown-header-type'
list icmp_type 'router-solicitation'
list icmp_type 'neighbour-solicitation'
list icmp_type 'router-advertisement'
list icmp_type 'neighbour-advertisement'
option limit '1000/sec'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-ICMPv6-Forward'
option src 'wan'
option dest '*'
option proto 'icmp'
list icmp_type 'echo-request'
list icmp_type 'echo-reply'
list icmp_type 'destination-unreachable'
list icmp_type 'packet-too-big'
list icmp_type 'time-exceeded'
list icmp_type 'bad-header'
list icmp_type 'unknown-header-type'
option limit '1000/sec'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-IPSec-ESP'
option src 'wan'
option dest 'lan'
option proto 'esp'
option target 'ACCEPT'

config rule
option name 'Allow-ISAKMP'
option src 'wan'
option dest 'lan'
option dest_port '500'
option proto 'udp'
option target 'ACCEPT'

config zone
option name 'vpn'
option input 'ACCEPT'
option output 'ACCEPT'
option forward 'ACCEPT'
list network 'Work'

config forwarding
option dest 'vpn'

config forwarding
option src 'lan'

config forwarding
option src 'vpn'
option dest 'lan'

[pddd313]

Петровский,
config forwarding
option src 'vpn'
option dest 'lan'

Поправил на это пинг не идет

[Петровский]

/etc/init.d/firewall restart

[pddd313]

Петровский,
Не помогло

[pddd313]

Петровский,

[Петровский]

tcpdump icmp

[pddd313]

root@OpenWrt:~# tcpdump icmp
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on eth0, link-type NULL (BSD loopback), snapshot length 262144 bytes

[Петровский]

Ну и пинги пускайте

[pddd313]

Ничего не происходит

[Петровский]

tcpdump -i br-lan icmp или поправьте как правильно

[pddd313]

Петровский,

[pddd313]

Петровский, root@OpenWrt:~# tcpdump -i sstp-Work icmp
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on sstp-Work, link-type LINUX_SLL (Linux cooked v1), snapshot length 262144 bytes

И так же ничего не происходит

[Петровский]

-i wan?
и прям с роутера сделайте ping 10/78/0/1

[pddd313]

Петровский, root@OpenWrt:~# tcpdump -i lan4 icmp
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on lan4, link-type EN10MB (Ethernet), snapshot length 262144 bytes
13:16:54.294109 IP 10.12.13.200 > quasar.yandex.net: ICMP echo request, id 1477, seq 1952 5, length 8
13:16:54.326617 IP quasar.yandex.net > 10.12.13.200: ICMP echo reply, id 1477, seq 19525, length 8
13:16:57.029373 IP 10.12.13.200 > 188.114.98.235: ICMP 10.12.13.200 udp port 58449 unreac hable, length 58
13:16:57.204218 IP 10.12.13.200 > 188.114.99.235: ICMP 10.12.13.200 udp port 51947 unreac hable, length 58
13:17:04.289456 IP 10.12.13.200 > quasar.yandex.net: ICMP echo request, id 1477, seq 1952 6, length 8
13:17:04.322171 IP quasar.yandex.net > 10.12.13.200: ICMP echo reply, id 1477, seq 19526, length 8
13:17:07.712005 IP 10.12.13.200 > 188.114.98.235: ICMP 10.12.13.200 udp port 65112 unreachable, length 36
13:17:14.290586 IP 10.12.13.200 > quasar.yandex.net: ICMP echo request, id 1477, seq 19527, length 8
13:17:14.323317 IP quasar.yandex.net > 10.12.13.200: ICMP echo reply, id 1477, seq 19527, length 8

аплинк на 4 лане

[pddd313]

[Петровский]

route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.78.0.1

пересекается с маской WAN

логи текстом пишите, пожалуйста

[pddd313]

Петровский, хорошо. Как я понимаю маску нужно изменить ?

[Петровский]

не то что изменить, они не должны пересекаться. VPN слишком жирно забирает себе 10.*.*.*, вероятно, нужно что-то типа

route add -net 10.78.0.0 netmask 255.255.0.0 gw 10.78.0.1

Приведите вывод ip r

[pddd313]

Петровский, root@OpenWrt:~# ip r
default via 10.12.13.129 dev lan4 src 10.12.13.200
10.0.0.0/8 via 10.78.0.1 dev sstp-Work
10.12.13.128/25 dev lan4 scope link src 10.12.13.200
10.78.0.1 dev sstp-Work scope link src 10.78.0.67
92.252.248.144 via 10.12.13.129 dev lan4 src 10.12.13.200
172.16.1.0/24 dev br-lan scope link src 172.16.1.1
192.168.0.0/16 via 10.78.0.1 dev sstp-Work

[Петровский]

Ну 192.168.0.0/16 нормально, 16
А 10.0.0.0/8 нельзя при таком lan4

[pddd313]

Петровский, переписывать маршрут ? Тип на каждую подсеть тип 10.78.0.0, 10.62.0.0

[Петровский]

Вы только сейчас упомянули, что они вообще есть

Посчитать ipcalc-ом так, чтобы не попала 10.12.13.128/25
Хотя она и более специфична, чем /8, не уверен, что дело в этом

А для начала попробовать на 78

[pddd313]

Петровский,
10.0.24.4
10.1.2.5
10.36.2.5
10.16.2.5
10.34.2.5
10.0.92.145
10.0.92.112
10.0.92.118
10.0.92.169

Используются такие ip

[Петровский]

На 78/16 проверяете, в случае успеха можно до каждого ip/32

[pddd313]

Петровский,

Обмен пакетами с 10.78.0.1 по с 32 байтами данных:
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.

root@OpenWrt:~# ip r
default via 10.12.13.129 dev lan4 src 10.12.13.200
10.12.13.128/25 dev lan4 scope link src 10.12.13.200
10.78.0.0/16 via 10.78.0.1 dev sstp-Work
10.78.0.1 dev sstp-Work scope link src 10.78.0.60
92.252.248.144 via 10.12.13.129 dev lan4 src 10.12.13.200
172.16.1.0/24 dev br-lan scope link src 172.16.1.1
192.168.0.0/16 via 10.78.0.1 dev sstp-Work

[Петровский]

пока нет идей, прерываюсь, попробуйте tcpdump -i any icmp
и перезагрузить роутер после настроек не забыть

[pddd313]

Петровский, хорошо спасибо

[Петровский]

config zone
option name 'vpn'
option input 'ACCEPT'
option output 'ACCEPT'
option forward 'ACCEPT'
list network 'Work'

вот тут я не вижу option masq '1', видимо, дело в этом

[pddd313]

Петровский, включил маскардинг не помогает

[Петровский]

без маскарадинга не должно было работать.

reboot, потом uci show firewall, и смотрите, есть ли он

[pddd313]

Петровский, маскартинг был включен в целом, отдельно включил на зоне VPN, не помогло

[pddd313]

Петровский,

config zone
option name 'vpn'
option input 'ACCEPT'
option output 'ACCEPT'
option forward 'ACCEPT'
option masq '1'
list network 'Work'

config forwarding
option dest 'vpn'

config forwarding
option src 'lan'

config forwarding
option src 'vpn'
option dest 'lan'

[Петровский]

Интересен не конфиг, а реальная работающая конфигурация: uci show firewall
И, наверное, tcpdump -i any icmp
Больше сдаюсь