私は192.168.1.5のDebian Jessieボックスをルーター（192.168.1.1）に接続し、OpenVPNクライアント（実際にはPiで、この設定唯一の違いは、ルータのため Pi の eth0 IP が静的であることです。つまり、Pi はルータの DHCP を使用しています。
LAN クライアントがゲートウェイとして 192.168.1.5 を使用するように設定されている場合、意図したとおりに VPN 上にあります。
私が必要としているのは、192.168.1.128/25内のLANクライアントのトラフィックをすべて192.168.1.5にリダイレクトすることです。ルーターのDHCPによってIPが設定されている場合そしてゲートウェイは192.168.1.1になります。言い換えれば、192.168.1.128/25 内のクライアントは、ゲートウェイが 192.168.1.5 であるかのように動作するはずです。
iptablesこれを実行するためにroute addルーターに必要な設定は何ですか？(ルーターはTomato 3.4-138を実行しています)? ルーターの設定は次のとおりです。
iptables -t nat -L -n
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
WANPREROUTING all -- 0.0.0.0/0 wan_ip
upnp all -- 0.0.0.0/0 wan_ip
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- 0.0.0.0/0 0.0.0.0/0
SNAT all -- 192.168.1.0/24 192.168.1.0/24 to:192.168.1.1
SNAT all -- 172.16.1.0/24 172.16.1.0/24 to:172.16.1.1
Chain WANPREROUTING (1 references)
target prot opt source destination
DNAT icmp -- 0.0.0.0/0 0.0.0.0/0 to:192.168.1.1
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:443 to:192.168.1.1:443
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:2222 to:192.168.1.5:22
DNAT all -- 0.0.0.0/0 0.0.0.0/0 to:192.168.1.4
Chain pupnp (0 references)
target prot opt source destination
Chain upnp (1 references)
target prot opt source destination
DNAT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:55355 to:192.168.1.130:55355
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:55355 to:192.168.1.130:55355
DNAT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:5353 to:192.168.1.48:5353
DNAT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:4500 to:192.168.1.48:4500
iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
DROP all -- anywhere anywhere state INVALID
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
shlimit tcp -- anywhere anywhere tcp dpt:ssh state NEW
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:https
Chain FORWARD (policy DROP)
target prot opt source destination
all -- anywhere anywhere account: network/netmask: 192.168.1.0/255.255.255.0 name: lan
all -- anywhere anywhere account: network/netmask: 172.16.1.0/255.255.255.0 name: lan1
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
DROP all -- anywhere anywhere state INVALID
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
DROP all -- anywhere anywhere
DROP all -- anywhere anywhere
wanin all -- anywhere anywhere
wanout all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
upnp all -- anywhere anywhere
ACCEPT all -- anywhere SIP-Device
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Chain shlimit (1 references)
target prot opt source destination
all -- anywhere anywhere recent: SET name: shlimit side: source
DROP all -- anywhere anywhere recent: UPDATE seconds: 60 hit_count: 4 name: shlimit side: source
Chain upnp (1 references)
target prot opt source destination
ACCEPT udp -- anywhere client-1 udp dpt:55355
ACCEPT tcp -- anywhere client-1 tcp dpt:55355
ACCEPT udp -- anywhere client-2 udp dpt:mdns
ACCEPT udp -- anywhere client-2 udp dpt:4500
Chain wanin (1 references)
target prot opt source destination
ACCEPT tcp -- anywhere *Pi* tcp dpt:ssh
Chain wanout (1 references)
target prot opt source destination
ルート
(ルーターは WAN モデムの後ろにあります)
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
modem.ip.0.1 * 255.255.255.255 UH 0 0 0 vlan2
192.168.1.0 * 255.255.255.0 U 0 0 0 br0
172.16.1.0 * 255.255.255.0 U 0 0 0 br1
modem.ip.0.0 * 255.255.224.0 U 0 0 0 vlan2
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default modem.ip.0.1 0.0.0.0 UG 0 0 0 vlan2
答え1
ルーターと RaspPi の両方を同じ LAN セグメントに接続して、RaspPi が他のクライアントが LAN に送信するパケットを書き換えることを期待することはできません。これは FAQ のようですが、ARP スプーフィングなどで試す人もいます。しかし、ネットワークはこのように動作するようには設計されていません。
クリーンな解決策は、すべてを後ろにRaspPi:
Router --- [eth0] RaspPi [eth1] --- Switch +--- Client1
+--- Client2
+--- Client3
基本的に、RaspPi を 2 番目のルーターとして動作させたいとします。つまり、2 番目の LAN インターフェイスが必要です。ルーターに DHCP サーバーを設置し、VPN がサブネットを処理できない場合は RaspPi で NAT を有効にすれば、準備は完了です。
代替案としてはVPNを有効にすることですの上ルータ自体、ルートアクセスを取得できる場合、または OpenWRT などをフラッシュできる場合。
もう 1 つの方法としては、ルーターの DHCP サーバーを非アクティブ化します。これにより、RaspPi とルーターを同じ LAN セグメントに接続でき、RaspPi に必要な LAN インターフェイスは 1 つだけになります。