Я просмотрел много разных страниц на этом сайте и в других местах, но не смог найти никакого решения этой проблемы, на которую потратил весь день.
Я хочу настроить сервер OpenVPN на машине VPS CentOS 6.5. Я успешно сделал это и могу установить туннель к серверу, пропинговать IP-адрес удаленного шлюза и т. Д. Однако я не могу подключиться к Интернету через VPN. После долгого устранения неполадок конфигурации OpenVPN, я считаю, что проблема исходит от самого VPS, поскольку сам интерфейс tun0 не может подключиться к Интернету (поэтому он не может очень хорошо его маршрутизировать!).
Если я попытаюсь выйти в Интернет через интерфейс tun0 (OpenVPN), это не сработает:
[root@vps3580 ~]# ping -I tun0 8.8.8.8
PING 8.8.8.8 (8.8.8.8) from 10.44.3.1 tun0: 56(84) bytes of data.
--- 8.8.8.8 ping statistics ---
6 packets transmitted, 0 received, 100% packet loss, time 5301ms
Если я пингую из интерфейса по умолчанию (venet0: 0), он работает нормально:
[root@vps3580 ~]# ping -I venet0:0 8.8.8.8
Warning: cannot bind to specified iface, falling back: No such device
PING 8.8.8.8 (8.8.8.8) from 37.187.42.146 venet0:0: 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=49 time=10.0 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=49 time=10.0 ms
--- 8.8.8.8 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1793ms
rtt min/avg/max/mdev = 10.038/10.056/10.074/0.018 ms
Это то, что у меня ifconfig выглядит так (я изменил публичный IP для этого поста):
[root@vps3580 ~]# ifconfig
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:5013190 errors:0 dropped:0 overruns:0 frame:0
TX packets:5013190 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:677461812 (646.0 MiB) TX bytes:677461812 (646.0 MiB)
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:10.44.3.1 P-t-P:10.44.3.2 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:2004 errors:0 dropped:0 overruns:0 frame:0
TX packets:1287 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:223030 (217.8 KiB) TX bytes:329848 (322.1 KiB)
venet0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:127.0.0.1 P-t-P:127.0.0.1 Bcast:0.0.0.0 Mask:255.255.255.255
inet6 addr: 2001:41d0:52:100::e84/56 Scope:Global
UP BROADCAST POINTOPOINT RUNNING NOARP MTU:1500 Metric:1
RX packets:1027193 errors:0 dropped:0 overruns:0 frame:0
TX packets:878383 errors:0 dropped:318 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:508829024 (485.2 MiB) TX bytes:133008265 (126.8 MiB)
venet0:0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:73.83.42.22 P-t-P:73.83.42.22 Bcast:37.187.43.255 Mask:255.255.252.0
UP BROADCAST POINTOPOINT RUNNING NOARP MTU:1500 Metric:1
И мои маршруты:
[root@vps3580~]# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
10.44.3.2 * 255.255.255.255 UH 0 0 0 tun0
10.44.3.0 10.44.3.2 255.255.255.248 UG 0 0 0 tun0
73.83.42.22 * 255.255.252.0 U 0 0 0 venet0
link-local * 255.255.0.0 U 0 0 0 *
link-local * 255.255.0.0 U 1002 0 0 venet0
198.18.0.0 * 255.254.0.0 U 0 0 0 *
172.16.0.0 * 255.240.0.0 U 0 0 0 *
default * 255.0.0.0 U 0 0 0 *
default * 0.0.0.0 U 0 0 0 venet0
Я подозреваю, что с одним из маршрутов что-то не так, но не могу понять, что именно. Когда я traceroute Я получаю это:
[root@vps3580~]# traceroute -i tun0 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets
1 * * *
2 * * *
3 * * *
4 * * *
5 * * *
6 * * *
7 * * *
8 * * *
9 * * *
10 * * *
[...]
30 * *
Я не знаком с интерфейсами "tun", я часами боролся с этим и очень надеялся, что кто-нибудь поможет мне решить эту проблему!
Изменить: правила брандмауэра:
[root@vps3580~]# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i venet0 -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT
-A INPUT -i venet0 -p tcp -m tcp --dport 443 -m state --state NEW -j ACCEPT
-A INPUT -i venet0 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT
-A INPUT -i venet0 -p udp -m udp --dport 1194 -m state --state NEW -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.44.3.0/29 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
Я нашел ответ. На самом деле это была проблема брандмауэра. OpenVZ не поддерживает MASQUERADE, вам необходимо использовать SNAT.
Это не сработает:
iptables -t nat -A POSTROUTING -s 10.44.3.0/29 -o venet0 -j MASQUERADE
Но это сработает:
iptables -t nat -A POSTROUTING -o venet0 -j SNAT --to-source <server public IP>
Вы проверяли конфигурацию межсетевого экрана? iptables -S
В iptables, если для политик INPUT или OUTPUT по умолчанию задано значение DROP, вам нужно будет открыть порты и разрешить доступ к устройствам с помощью правил iptables.
В вики CentOS есть полное руководство по iptables.
2014-04-16 Изменить: вы хотите направить весь трафик через tun0?
route add -net 10.44.3.2 netmask 255.255.255.255 gw 73.83.42.22
route add default gw dev tun0
На CentOS 7 работает
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE