OpenVPN-туннель и маршрутизация

Question

[lafayette]

Имеется настроенный vpn-туннель между windows-клиентом (10.9.8.2) и удаленным сервером на debian (10.9.8.1).
Настроено вот по этому мануалу: wiki.debian.org/HowTo/openvpn
Как правильно настроить маршрутизацию/что-либо ещё, чтобы доступ в интернет с клиента был через туннель, а не через собственное подключение к интернет?

Пробовал «route add 0.0.0.0 MASK 0.0.0.0 10.9.8.1» — не помогло. Возможно, нужно что-то настроить на сервере?

Answer 1

[apangin]

Да, настроить на сервере NAT, допустим, с помощью iptables.

Comments

[lafayette]

Не помогло.
Прописал iptables -t nat -A POSTROUTING -s 10.9.8.0/24 -o eth0 -j MASQUERADE и включил ipv4-форвардинг.

[apangin]

А это тоже прописывали?
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

[lafayette]

Прописал. Нет эффекта.
У меня есть подозрение, что дело в том, что клиент подключен через роутер. А задать метрику маршрута ниже той, что ведет на роутер нельзя.

[apangin]

Не-не-не. А как сейчас выглядит таблица маршрутизации на клиенте?

[lafayette]

Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0      192.168.0.1     192.168.0.10     10
          0.0.0.0          0.0.0.0         10.9.8.1         10.9.8.2     40
         10.9.8.0  255.255.255.252         On-link          10.9.8.2    286
         10.9.8.2  255.255.255.255         On-link          10.9.8.2    286
         10.9.8.3  255.255.255.255         On-link          10.9.8.2    286

192.168.0.1 — роутер, 192.168.0.10 — локальный клиента.

[Sergey]

Система Win7, так?
в свойствах сетевой карты (физической) удаляйте дефолт, все заработает.

[lafayette]

Так ведь vpn-сервер в инете, туннель через инет идет (который отдает роутер). Мне нужно поверх существующего инет-подключения клиента создать vpn, на который уже должен идти весь траффик.

[lafayette]

ОСь Win7

[Sergey]

всё правильно. Удаляете нахрен дефолт из настроек сети, прописываете его же, но через route add, с НУЖНОЙ метрикой, большей, чем у туннельного дефолта (или не прописываете дефолт совсем, а просто отдельный маршрут, только на адрес vpn-сервера)

[apangin]

Так вот же, шлюз 192.168.0.1 с меньшей метрикой, а должно быть наоборот.
Попробуйте route change 0.0.0.0 mask 0.0.0.0 10.9.8.1 metric 1

[lafayette]

Убрал автоматическое назначение метрики физическому интерфейсу.
Прописал маршруты так:

          0.0.0.0          0.0.0.0      192.168.0.1     192.168.0.10    100
          0.0.0.0          0.0.0.0         10.9.8.1         10.9.8.2     80

Инет на клиенте отрубило (до роутера связь есть).

[apangin]

Ай, так он убьет второй маршрут. Ну, значит, сначала route change, затем route add для добавления шлюза 192.168.0.1 с большей метрикой.

[Sergey]

еще бы, не нужно руками прописывать маршрут в туннель с меньшей метрикой, он сам пропишется ПОСЛЕ установки соединения (redirect-gateway). Ну или таки если хотите руками, то делайте хостовый маршрут через роутер на адрес ВПН-сервера.

[lafayette]

Все заработало: добавил route-gateway 192.168.0.1 и route add 0.0.0.0 mask 0.0.0.0 10.9.8.1
Спасибо всем, кто помогал =)

Answer 2

[Sergey]

push «redirect-gateway»

Comments

[lafayette]

прописан

[Sergey]

чудес не бывает. Если нат на сервере есть и маршрут на клиенте — тоже, то все будет работать. Какой трейс от клиента в инет?

[lafayette]

Да я понимаю, что чудес не бывает — вот и пытаюсь найти, где я ошибся…
Трейс такой же, как без туннеля.

[zavant]

Клиент получает маршрут по-умолчанию? Можно еще в конфиге клиента прописать redirect-gateway def1
зы: прингуете по ip? А то может с днс проблема?

[lafayette]

У клиента первичный маршрут — тот, что ведет до роутера (смотрите пост выше с маршрутами клиента).
Пингую по IP.

Answer 3

[odmin4eg]

Вот моя статья на эту тему, может покажется полезной
www.odmin4eg.ru/2010/ubuntu-openvpn-server-nastrojka-soedinenie-filialov-set/