Openvpn openwrt проброс портов?

Question

[portpolaris]

Приветствую.
Такой вопрос:
есть 2 роутера на openwrt, между ними настроен openvpn
конфиг сервера:

config openvpn 'severst'
	option port '1195'
	option proto 'udp'
	option dev 'tun'
	option keepalive '10 60'
	option verb '3'
	option server '172.16.10.0 255.255.255.0'
	option client_config_dir '/etc/openvpn/ccd/'
	option client_to_client '1'
	option ifconfig '172.16.10.1 255.255.255.0'
	option enabled '1'
	option log_append '/var/log/openvpn.log'
	option status '/var/run/openvpn.status 5'
	option persist_tun '1'
	option persist_key '1'
	list push 'route 192.168.1.0 255.255.255.0'
	option tls_server '1'
	option dh '/etc/luci-uploads/cbid.openvpn.severga.dh'
	option ca '/etc/luci-uploads/cbid.openvpn.severga.ca'
	option cert '/etc/luci-uploads/cbid.openvpn.severga.cert'
	option key '/etc/luci-uploads/cbid.openvpn.severga.key'
	option comp_lzo 'no'
	list route '192.168.2.0 255.255.255.0'

/etc/rc.local:
# Put your custom commands here that should be executed once
# the system init finished. By default this file does nothing.
iptables -I FORWARD -i br-lan -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br-lan -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 80 -j ACCEPT
exit 0

конфиг клиента:

config openvpn 'custom_config'
	option config '/etc/openvpn/my-vpn.conf'
	option log_append '/var/log/openvpn.log'
	option status '/var/run/openvpn.status 5'
	option persist_tun '1'
	option persist_key '1'
	option nobind '1'
	option client '1'
	option proto 'udp'
	option dev 'tun'
	option pull '1'
	option resolv_retry 'infinite'
	option ns_cert_type 'server'
	option ca '/etc/luci-uploads/cbid.openvpn.custom_config.ca'
	option cert '/etc/luci-uploads/my-client.crt'
	option key '/etc/luci-uploads/my-client.key'
	option enabled '1'
	option comp_lzo 'no'
	list remote 'x.x.x.x 1195'

/etc/rc.local:
# Put your custom commands here that should be executed once
# the system init finished. By default this file does nothing.
iptables -I FORWARD -i br-lan -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br-lan -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 80 -j ACCEPT
exit 0

Устройства из первой сети 192.168.1.1 видят устройства из 192.168.2.1 и наоборот
требуется пробросить порт 564 из wan первой сети на адрес второй сети 192.168.2.245

сейчас сделано:

сервер:
config redirect
	option dest_port '564'
	option src 'wan'
	option src_dport '564'
	option target 'DNAT'
	option dest_ip '172.16.10.6'
	option proto 'tcp'

клиент:
config redirect
	option enabled '1'
	option target 'DNAT'
	option dest 'lan'
	option proto 'tcp'
	option src_dport '564'
	option dest_ip '192.168.2.245'
	option name '564'
	option dest_port '8090'
	option src 'vpn'

config zone
	option input 'ACCEPT'
	option output 'ACCEPT'
	option name 'vpn'
	option forward 'ACCEPT'
	option network 'vpn0'

Что делаю не так?чего не хватает? проброс не работает

Comments

[Дмитрий]

Фаирвол перезапускали после добавления правил?

[portpolaris]

Дмитрий, да

Answer 1

[Dmitry]

Зачем вам двойной dst-nat? Одного правила на "сервере" достаточно. У вас же сети друг друга видят, маршруты есть

Comments

[portpolaris]

Пробовал и так

сервер:
config redirect
  option dest_port '564'
  option src 'wan'
  option src_dport '564'
  option target 'DNAT'
  option dest_ip '192.168.2.245'
  option proto 'tcp'

тоже не работает

[Dmitry]

portpolaris, у вас на сервере порт-же другой, судя по конфигу.

config redirect
option target 'DNAT'
option src 'wan'
option dest 'lan'
option proto 'tcp'
option src_dport '564'
option dest_ip '192.168.2.245'
option dest_port '8090'
option name 'test'

Через luci (веб-морду) проще будет конфигурировать

[portpolaris]

Dmitry,
Да тут ошибка,с телефона отвечал и копировал,там правильно прописано,делаю через luci,а настройки скопированы с конфигурационных файлов

[Dmitry]

portpolaris, Ну конечно же! src-адрес-то не меняются и обратные пакеты улетают в шлюз по умолчанию второго роутера, а не возвращаются в туннель. Нужно маскарадить трафик на первом роутере который идет через редирект, либо делать туннельный интерфейс шлюзом по умолчанию для второго роутера.

[portpolaris]

Нужно маскарадить трафик на первом роутере который идет через редирект

Подскажите как прописать правильно

[portpolaris]

portpolaris,
сделал,не работает

[portpolaris]

сделал,в zone vpn в advanced добавил covered devices

[Dmitry]

portpolaris,
config redirect
option target 'DNAT'
option src 'wan'
option dest 'vpn'
option proto 'tcp'
option src_dport '564'
option dest_ip '192.168.2.245'
option dest_port '8090'
option name 'test-dnat'

config redirect
option target 'SNAT'
option src 'wan'
option dest 'vpn'
option src_dip '172.16.10.1'
option name 'test-snat'
option proto 'tcp'
option dest_ip '192.168.2.245'

[portpolaris]

Спасибо,выше написал, что уже сделал,заработало