Как задать маршрут до хоста GRE туннеля через VPN?

Question

[Bega]

Ребята, такой вопрос поднял GRE туннель до другого удаленного хоста.
Пример конфигурации

spoiler

auto gre1
iface gre1 inet static
address 172.17.121.230
netmask 255.255.255.0
up ifconfig gre1 multicast
pre-up iptunnel add gre1 mode gre local xxx.xxx.xxx.xxx remote xxx.xxx.xxx.xxx dev ens3
post-up route add -net 172.17.121.0 netmask 255.255.255.0 gw 172.17.121.229
pointopoint 172.17.121.229
post-down iptunnel del gre1

на самом сервере до 172.17.121.229 пинг идет. Но нужно чтобы подключенных к серверу через VPN
хостах пинг до 172.17.121.229 - тоже шел. Реально ли это сделать?

Comments

[Sand]

А Вас не затруднит схему набросать?

[Bega]

Sand,
Надеюсь будет понятно. Хост подключенный на сервер А через Openvpn должен иметь возможность пинговать сервер B по IP GRE туннеля, ну и соответственно хосты за сервером B

[Sand]

Bega, Сервер B является шлюзом для хостов 192.168.100.1 и 192.168.100.22? И какие ОС на Сервер А, Сервер B?

[Bega]

Sand, Да на сервере А добавил маршруты до 192.168.100.1 и 192.168.100.22. Пинг с самого сервера А до них есть. С хостов openvpn нет, только пингуется IP GRE сервера А (172.17.121.230)

[Sand]

Bega, попробуйте на сервере B прописать маршрут:
ip ro add 10.15.0.0/24 via 172.17.121.230

[Sand]

Bega, и второй момент, с хостов openvpn есть пинг до 172.17.121.229?

[Sand]

Bega, а, Вы писали же что нет. надо сказать клиентам что маршруты в сеть 192.168.100.0 идут через впн сервер, на openvpn это вроде так делается (добавляем в конфиг сервера впн):
push "route 192.168.100.0 255.255.255.0"
ну если сеть конечно 192.168.100.0/24

[Bega]

Sand, нет, пинга до 172.17.121.229 нет

[Sand]

Bega, и, возможно:
push "route 172.17.121.229 255.255.255.255"
это для доступа к серверу B

[Bega]

Sand, добавил бестолку. на сервере А tcpdump показывает что идет эхо запрос

15:35:07.364475 IP xxx.xxx.xxx.xxx > xx.xxx.xxx.xxx: GREv0, length 64: IP xxx.xxx.xxx.xxx > 172.17.121.229: ICMP echo request, id 1, seq 201, length 40

Но ответа нет. Не знаю где копать, может что-то в iptables надо, сломал голову не знаю что нужно

[Bega]

На сервере А маршрут добавлен
192.168.100.0/24 via 172.17.121.230 dev gre1

[Sand]

Bega, хм, а что у Вас тут:
cat /proc/sys/net/ipv4/ip_forward
на сервере А?

[Bega]

Sand, ip_forward 1 это у меня есть

[Sand]

Bega,

На сервере А маршрут добавлен
192.168.100.0/24 via 172.17.121.230 dev gre1

эм, думаю надо так:
192.168.100.0/24 via 172.17.121.229 dev gre1

[Bega]

Sand, так тоже нет идет

[Sand]

Bega, тогда сдаюсь. Посмотрите tcpdump-ом при запущенных пингах на каком из серверов блокируется трафик, скорее всего сервер B, и там ковыряйте iptables.

[Bega]

Sand,пинг от сервера А есть до B идет. Видимо действительно нужно смотреть на стороне сервера Б

spoiler

xxx.xxx.xxx.14 > xxx.xxx.xxx.1: GREv0, length 88: IP 172.17.121.230 > 192.168.100.22: ICMP echo request, id 11,

[none7]

Bega, Я недавно игрался с созданием своеобразного роутера и пришёл к выводу, что прогрессивный firewall.d совершенно не конфигурируемая из за багов фигня, в особенности для временных интерфейсов. Оно пригодно только для сервера и то, далеко не каждого. Любые игры с сетями необходимо начинать с iptables -F FORWARD iptables -P FORWARD ACCEPT.

[Bega]

Sand, Вопрос решился добавлением маршрута на севрере А
ip route add 192.168.100.0/24 via 172.17.121.230
И в конфиге Openvpn
push "route 192.168.100.0 255.255.255.0"
Ну на сервере Б добавление маршрута до подсети Openvpn(10.15.0.0/24). Точно не уверен делал другой человек. Никаких правил iptables не понадобилось.
Если только openvpn не используется у клиентов как шлюз по умолчанию, если да, то

iptables -t nat -A POSTROUTING -s 10.15.0.0/24 -j SNAT --to-source 95.85.125.14