Как пускать весь трафик на сервере Ubuntu через VPN?

Question

[jenya7771]

Доброго времени суток, прошу помощи советом, как мне реализовать схему как я нарисовал ниже?

Нужно основной сервер закрыть шлюзом.

Если входящие запросы я могу перенаправлять на основной сервер в nginx из шлюза так же через nginx, то вот с настройкой VPN у меня проблема...

На шлюз я установил и настроил OpenVpn по данной статье

Затем я пытаюсь подключить в качестве клиента основной сервер данной командой:
openvpn --config client1.ovpn

Через Tunnelblick все работает корректно.

После у меня вот такие сообщения, пауза без возможности ввести какую либо команду в терминале и я выхожу из терминала.

Fri Nov 13 14:19:43 2020 OpenVPN 2.4.4 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] built on May 14 2019
Fri Nov 13 14:19:43 2020 library versions: OpenSSL 1.1.1  11 Sep 2018, LZO 2.08
Fri Nov 13 14:19:43 2020 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Fri Nov 13 14:19:43 2020 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Fri Nov 13 14:19:43 2020 TCP/UDP: Preserving recently used remote address: [AF_INET]{ip_gateway_vpn}:7653
Fri Nov 13 14:19:43 2020 Socket Buffers: R=[212992->212992] S=[212992->212992]
Fri Nov 13 14:19:43 2020 UDP link local: (not bound)
Fri Nov 13 14:19:43 2020 UDP link remote: [AF_INET]{ip_gateway_vpn}:7653
Fri Nov 13 14:19:43 2020 NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
Fri Nov 13 14:19:43 2020 TLS: Initial packet from [AF_INET]{ip_gateway_vpn}:7653, sid=2c36f517 9738c2a0
Fri Nov 13 14:19:43 2020 VERIFY OK: depth=1, CN=Easy-RSA CA
Fri Nov 13 14:19:43 2020 VERIFY KU OK
Fri Nov 13 14:19:43 2020 Validating certificate extended key usage
Fri Nov 13 14:19:43 2020 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Fri Nov 13 14:19:43 2020 VERIFY EKU OK
Fri Nov 13 14:19:43 2020 VERIFY OK: depth=0, CN=server
Fri Nov 13 14:19:43 2020 Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, 2048 bit RSA
Fri Nov 13 14:19:43 2020 [server] Peer Connection Initiated with [AF_INET]{ip_gateway_vpn}:7653
Fri Nov 13 14:19:44 2020 SENT CONTROL [server]: 'PUSH_REQUEST' (status=1)
Fri Nov 13 14:19:44 2020 PUSH: Received control message: 'PUSH_REPLY,redirect-gateway def1 bypass-dhcp,dhcp-option DNS 208.67.222.222,dhcp-option DNS 208.67.220.220,route 10.8.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.6 10.8.0.5,peer-id 0,cipher AES-256-GCM'
Fri Nov 13 14:19:44 2020 OPTIONS IMPORT: timers and/or timeouts modified
Fri Nov 13 14:19:44 2020 OPTIONS IMPORT: --ifconfig/up options modified
Fri Nov 13 14:19:44 2020 OPTIONS IMPORT: route options modified
client_loop: send disconnect: Broken pipe

Заново подключиться могу к серверу только после перезагрузки сервера через ЛК у хостера.

Как решить такую проблему или есть варианты более правильной реализации?

Answer 1

[Sand]

Fri Nov 13 14:19:44 2020 OPTIONS IMPORT: route options modified
client_loop: send disconnect: Broken pipe

Похоже меняется маршрут default, поэтому разрывается соединение.
Пропишите на сервере маршрут до вашего компа статикой, чтоб не разрывалось ssh соединение после запуска openvpn и посмотрите таблицу маршрутизации

Comments

[jenya7771]

Проблема еще в том, что и nginx перестает работать, который получает запрос со шлюза, просто долго идет загрузка и таймаут

[Sand]

jenya7771, если на сервере меняется таблица маршрутизации после установки впн соединения, то шлюзу надо обращаться к серверу по впн адресу. Удалось ли сохранить командное подключение к серверу после запуска впн?

[jenya7771]

Sand, Пока что нет, до начала попыток реализации такой защиты сервера, я знал только основы (базово настроить сервер, настроить файрвол, авторизация по ключам, установить нужное ПО, настроить автоматические бэкапы и тд.), а сейчас это все следущий уровень для меня, вот и сижу изучаю, что такое таблица маршрутизации, как ее настроить и тд.)

[jenya7771]

Sand, Может знаете статью про настройку маршрутизации под VPN?

[Sand]

jenya7771, google, ignoring redirect-gateway openvpn, на оф сайте опенвпна есть статейка как это сделать на серверной или клиентской стороне

[jenya7771]

Sand, Делал различные попытки

openvpn --pull-filter ignore "route ${ip_PS}" --config /etc/openvpn/client1.ovpn

ip_PS - ставил ip моего компьютера

Так не работало, не мог подключаться к серверу по SSH

openvpn --pull-filter ignore redirect-gateway --config /etc/openvpn/client1.ovpn

Вот так смог подключиться, но VPN не работал, весь трафик шел мимо его)

[Sand]

jenya7771, так и не нужно весь трафик через него гонять, посмотрите какие интерфейсы с адресами добавляются при установленном впн-соединении на сервере и на шлюзе. Эти адреса и прописывайте в конфигах nginx. После установки впн соединения, шлюзу будет доступен сервер по адресу впн интерфейса.

[jenya7771]

Sand, Я с помощью этого хотел сначала восстановить доступ к серверу по SSH, еще это не смог сделать)

Шлюз у меня выступает так же в качестве VPN сервера, получается Nginx будет перенаправлять запрос на этот же ip, будет работать так?

[jenya7771]

Sand, Нашел решение как подключаться по SSH в этом вопросе
Выполнил просто эти 3 команды и все заработало:

ip rule add from $(ip route get 1 | grep -Po '(?<=src )(\S+)') table 128
ip route add table 128 to $(ip route get 1 | grep -Po '(?<=src )(\S+)')/32 dev $(ip -4 route ls | grep default | grep -Po '(?<=dev )(\S+)')
ip route add table 128 default via $(ip -4 route ls | grep default | grep -Po '(?<=via )(\S+)')

Перенаправление запросов Nginx так же заработало. Как я понял, весь входящий трафик на сервер не будет проходить через VPN.

Только не понял еще что они делают, не пустят ли другой трафик кроме SSH подключения мимо VPN.