Как пробросить порты извне через vpn туннель в локальную сеть?

Question

[Глеб Богданов]

Дано:
1. интернет-шлюз (FreeBSD8.1, файервол PF) с openvpn сервером (10.10.10.0/24)
2. локальная сеть за шлюзом (192.168.xxx.yyy)
3. удаленный VPS (FreeBSD8.3) с openvpn клиентом (10.10.10.250)

Задача:
Пробросить порты с внешнего адреса VPS через vpn туннель в локальную сеть.
Например, такая схема:
http ---> extip - VPS - 10.10.10.250 ---> 10.10.10.1 - Интернет-шлюз - 192.168.xxx.1 ---> 192.168.xxx.yyy (webserver)

Вопрос:
Какие правила PF необходимы для решения данной задачи?

Answer 1

[Сергей]

А что тут мудрить то? Все просто.
Я так понимаю, ваша VPS знает про диапазон адресов 192.168.xxx.1 ?? Они пингуются?
Ну тогда на файрволе VPS пишите правило:
rdr pass proto {tcp udp} from $EXT to $ext_ip port 80 --> 192.168.xxx.15 port 80

Соответственно EXT - это внешка
ext_ip - внешний ip адрес на VPS

И разрешите на обоих файрволах хождение пакетов.
Надеюсь смысл понятен?

PS. Вы не в PPR работаете случаем? Уж слишком ситуация знакома.. ))

Answer 2

[Глеб Богданов]

Верно, маршрутизация настроена: VPS видит локальную сеть 192.168.
Вы пишите:

И разрешите на обоих файрволах хождение пакетов

Вероятно, у меня в этом проблема. Могли бы пояснить.
В указанном месте не работаю, даже не знаю что это.
Заранее, благодарю за участие.

Comments

[Сергей]

Ну смотрите. На VPS у вас однозначно должен быть NAT. И скорее всего он есть.
Так вот, пакет, приходит на внешний IP на какой-то порт, пусть 80
Далее он должен быть обработан правилами NAT и преобразоваться в адрес вашей VPS. Допустим 10.10.10.1
Далее редирект переправляет его с внешнего IP на адрес внутренней сети, допустим 192.168.0.1 и порт 8080

Теперь, нам на файрволах нужно разрешить хождение пакетов с адреса 10.10.10.1 на 192.168.0.1

Например так:
pass from 10.10.10.1 port 80 to 192.168.0.1 port 8080

Далее. Обратные пакеты тоже должны идти. То есть или хост 192.168.0.1 или его шлюз должны знать про сетку 10.10.10.0/24

И в openvpn нужно прописать обе сети, если они еще не прописаны. Это для того, чтоб сервер знал что эти пакеты нужно завернуть в трубу.

А вообще tcpdump вам в руки и смотрите на интерфейсах куда ходят пакеты.