Как работать с SSH и OpenVPN клиентом одновременно?

Question

[SachaDerr]

Добрый день,

При реализации простейший схемы соединения, у меня возникают проблемы.
я просто хотел соединить мой вирт. сервер с последующим VPN сервером.


Мой openvpn клиент конфиг таков:

client
dev tun0
proto tcp
remote 82.***.***.44
port 443
resolv-retry infinite
nobind
persist-key
persist-tun
persist-remote-ip
ca vpsserver.crt
tls-remote 82.***.***.44
auth-user-pass vpsserverpass.auth
auth-nocache
comp-lzo
verb 3
auth SHA256
cipher AES-256-CBC
keysize 256
tls-cipher DHE-RSA-AES256-SHA:DHE-DSS-AES256-SHA:AES256-SHA

Ошибок в openvpn логах не наблюдаю... Как только я запускаю OpenVPN с этим конфигом, service openvpn restart, происходит разъединение от SSH сервера.. Не понимаю из-за чего?

Answer 1

[Power]

Видимо, на сервере с vpn-клиентом меняется default gateway, после этого весь трафик заворачивается в vpn-туннель, а где-то между vpn-сервером и вами есть NAT (скорее всего, на самом vpn-сервере), который в пакетах, исходящих с вашего сервера, меняет ip-адрес источника, и ваш ssh-клиент уже не видит ответов от вашего сервера (пакеты приходят как бы от другого источника), из-за чего соединение повисает.

Comments

[SachaDerr]

Если это так, то мне наверное надо метить tcp пакеты, которые исходят от ssh сервера и перенаправлять на eth0 gateway 10.255.255.1.
Это наверное только через policy routing iptables возможно?

[Power]

Что-то типа того, да.

[SachaDerr]

@Power: А вот такое безобразие будет работать? :-)

/etc/iproute2/rt_tables
echo 1 SSHTAB >> /etc/iproute2/rt_tables
echo 2 VPNTAB >> /etc/iproute2/rt_tables

iptables -A PREROUTING -t mangle -i eth0 -p tcp --dport 22 -j MARK --set-mark 1
iptables -A PREROUTING -t mangle -i eth0 -p tcp --dprot 443 -j MARK --set-mark 2

ip route add default via 10.255.255.1 dev eth0.0 table SSHTAB
ip route add default via 172.***.***.63 dev eth0.1 table VPNTAB

ip rule add from all fwmark 1 table SSHTAB
ip rule add from all fwmark 2 table VPNTAB

плюс br0 между eth0.1 и tun0 ? вроде этого?

/etc/network/interfaces

auto lo
iface lo inet loopback

allow-hotplug eth0
iface eth0 inet manual

auto eth0.0 eth0.1
iface eth0.0 inet manual
iface eth0.1 inet manual

auto br0
iface br0 inet manual
bridge_ports eth0.1 tun0

[SachaDerr]

@saschaderr: 172.***.***.63 это gateway с VPN-Server который приходит на tun0

[SachaDerr]

@saschaderr: Или так? https://help.ubuntu.com/community/OpenVPN

[Power]

@saschaderr: Я не знаю. Пробуйте, пытайтесь.