OpenVPN Ubuntu Iptables проброс портов в локальную сеть клиента?

Question

[Ruslan564]

Есть VPN сервер, к нему подключен клиент Ubuntu tun0(10.8.0.10), у клиента есть интерфейс enp2s0(192.168.0.60) через который можно получить доступ к остальным сетевым устройствам в локальной сети клиента 192.168.0.Х.
Вопрос, какие параметры необходимо прописать у клиента в Iptables что бы через VPN попадать на устройства клиента?

Попробовал вот так, но не получилось.
iptables -t nat -A PREROUTING -p tcp -d 10.8.0.10 --dport 80 -j DNAT --to-destination 192.168.0.X:80
iptables -t nat -A POSTROUTING -p tcp --dst 192.168.0.X --dport 80 -j SNAT --to-source 10.8.0.10:80
iptables -t nat -A OUTPUT --dst 10.8.0.10 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.X:80
iptables -I FORWARD 1 -i tun0 -o enp2s0 -d 192.168.0.X -p tcp -m tcp --dport 80 -j ACCEPT
net.ipv4.ip_forward = 1 включил.

Comments

[hint000]

а клиент является шлюзом для своей локальной сети? если нет, то на каждом устройстве в локальной сети придется добавлять правило маршрутизации через клиента в сторону VPN-сервера, либо добавлять такое правило на шлюзе.

[Ruslan564]

hint000, Нет клиент не является шлюзом, он подключен к роутеру как и остальные устройства. Мне необходимо всего лишь пробросить порты, что бы клиент работал как роутер. Допустим обращаюсь к клиенту через порт 8070, а он меня перенаправляет на локальный ip 192.168.0.70:80

[hint000]

Ruslan564, ага, просто я не сразу понял ваш замысел. В целом вроде рабочий вариант, хотя iptables -t nat -A OUTPUT мне кажется лишней строчкой. Надо запускать на клиенте что-то вроде
sudo tcpdump -i any tcp port 80 or port 8070
после этого со стороны VPN-сервера делать попытку доступа, и смотреть, что покажет tcpdump - на каком интерфейсе какие адреса пролетят. Сразу станет понятно, где закралась ошибка. (Например, если вообще ничего не покажет, значит проблему искать со стороны VPN-сервера).

Answer 1

[Дмитрий]

На сервере прописать маршрут к сети клиента
В конфиг OpenVPN сервера добавляете
route 192.168.0.0 255.255.255.0
или
В CCD конфиг (если используете CCD ) клиента добавьте iroute
iroute 192.168.0.0 255.255.255.0

Comments

[Ruslan564]

Попробовал добавить в конфиг route 192.168.0.0 255.255.255.0, не помогло, но после удаления этой записи клиенты перестали пинговаться.