Ubuntu 16.04 lxd コンテナを作成し、その中に Stunnel、Tinyproxy、OpenVPN クライアントをセットアップしました。
目標は、Stunnel を介して Tinyproxy に接続し、Tinyproxy が送信接続に OpenVPN のインターフェースを使用するように強制することです。
Stunnel -> Tinyproxy は正常に動作し、ブラウザのページは期待どおりに読み込まれますが、OpenVPN サービスを開始するとすぐに、クライアント側の Stunnel がタイムアウトで失敗し、ブラウザは応答を待機し続けます。
Tinyproxy 1.8.3 (Ubuntu 16.04 の最新バージョン) は、送信接続を特定のインターフェースにバインドするオプションをサポートしていないため、OpenVPN にtun0インターフェース経由でデフォルト ルートを追加させる必要がありました。
OpenVPN クライアントは期待どおりに動作します。コンテナからのすべてのパケットは VPN を通過します。コンテナのあるホストはパブリック IP を持つリモート ホストです。コンテナには DNAT が設定されています。
私はルーティングの内部にあまり詳しくなく、SNAT/DNAT と iptables によるフィルタリングしか設定できませんでした。そのため、問題の根本原因を理解できません。
環境の最も重要なパラメータは次のとおりです。
ifconfig
$ ifconfig -a
eth0 Link encap:Ethernet HWaddr 00:16:3e:5f:46:ba
inet addr:10.227.60.197 Bcast:10.227.60.255 Mask:255.255.255.0
inet6 addr: fe80::216:3eff:fe5f:46ba/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:16291 errors:0 dropped:0 overruns:0 frame:0
TX packets:15632 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:5044056 (5.0 MB) TX bytes:4171187 (4.1 MB)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:2446 errors:0 dropped:0 overruns:0 frame:0
TX packets:2446 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1
RX bytes:2483699 (2.4 MB) TX bytes:2483699 (2.4 MB)
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:10.8.0.3 P-t-P:10.8.0.3 Mask:255.255.255.0
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:3 errors:0 dropped:0 overruns:0 frame:0
TX packets:3 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:500
RX bytes:252 (252.0 B) TX bytes:252 (252.0 B)
ルート
$ route -v -e
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
default 10.8.0.1 128.0.0.0 UG 0 0 0 tun0
default 10.227.60.1 0.0.0.0 UG 0 0 0 eth0
10.8.0.0 * 255.255.255.0 U 0 0 0 tun0
10.227.60.0 * 255.255.255.0 U 0 0 0 eth0
128.0.0.0 10.8.0.1 128.0.0.0 UG 0 0 0 tun0
<vpn server IP> 10.227.60.1 255.255.255.255 UGH 0 0 0 eth0
スタンネル
...
accept = 10.227.60.197:8081
connect = 127.0.0.1:8080
...
プロキシ設定
...
Port 8080
Listen 127.0.0.1
...
vpnclient.conf
dev tun
proto udp
remote <vpn server ip> 1195
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
key-direction 1
verb 3
#route-nopull
...
iptables空です。
答え1
問題はルーティング テーブルの構成にありました。
OpenVPN によって追加されたルートを削除するときに次のことに気付きました:
Destination Gateway Genmask Flags MSS Window irtt Iface
default 10.8.0.1 128.0.0.0 UG 0 0 0 tun0
ping 8.8.8.8 -I tun0を実行し、同時に でパケットを監視しようとするとtcpdump -nn icmp、応答 icmp 要求は実際にはヒットしますが、それ以上先に進みません。調査の結果、サーバーに 2 つのインターフェイスがあるため、eth0と の別のルーティング テーブルも必要であることがわかりました。tun0
最終的に、送信インターフェイスを指定できるように tinyproxy を最新バージョンに更新し、上記で削除したようなデフォルト ルートをプッシュするために OpenVPN を無効にしました。
次に、テーブルを追加しました/etc/iproute2/rt_tables:
...
12 vpn
このテーブルにルートとルールを追加しました:
ip route add 10.8.0.0/24 dev tun0 src 10.8.0.3 table vpn
ip route add default via 10.8.0.1 dev tun0 table vpn
ip rule add from 10.8.0.3/32 table vpn
ip rule add to 10.8.0.3/32 table vpn
その後、すべてが期待通りに機能し始めました。