Me gustaría poder establecer un túnel VPN desde Internet hasta mi servidor OpenVPN en la dirección 192.168.1.45. La configuración de mi red doméstica es un poco compleja ya que estoy usando una Raspberry pi como puerta de enlace para enrutar todo el tráfico en mi red doméstica a través de otra VPN (llamada VPN 1 en la figura y representada por la línea gruesa).
Enlace al esquema de configuración de la red.(Aparentemente todavía no puedo insertar imágenes)
Mi configuración funciona bien excepto que no puedo establecer conexiones a través de VPN 2 en esta configuración.
Más detalles de configuración: todas las puertas de enlace tienen IP fijas. La puerta de enlace VPN1 utiliza la puerta de enlace LAN y reenvía el tráfico entrante en el puerto 8787 al puerto 1194 (las reglas se establecen mediante la GUI de mi ISP GW). Estas son las reglas de iptables en VPN 1 Gateway:
Chain PREROUTING (policy ACCEPT 15038 packets, 1421K bytes)
num pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 10 packets, 1246 bytes)
num pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 344 packets, 25041 bytes)
num pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 183 packets, 13486 bytes)
num pkts bytes target prot opt in out source destination
3 9959 1007K MASQUERADE all -- any tun0 anywhere anywhere
Chain INPUT (policy DROP 3111 packets, 248K bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT all -- lo any anywhere anywhere
2 8 688 ACCEPT icmp -- eth0 any anywhere anywhere
3 3507 233K ACCEPT tcp -- eth0 any 192.168.1.0/24 anywhere tcp dpt:ssh
4 0 0 ACCEPT tcp -- eth0 any 10.8.0.0/24 anywhere tcp dpt:ssh
5 193K 202M ACCEPT all -- any any anywhere anywhere state RELATED,ESTABLISHED
6 0 0 ACCEPT udp -- eth0 any anywhere anywhere udp dpt:openvpn
Chain FORWARD (policy DROP 16 packets, 1408 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT tcp -- eth0 eth0 anywhere anywhere tcp spt:ssh
2 0 0 ACCEPT tcp -- eth0 eth0 anywhere anywhere tcp dpt:ssh
5 97203 12M ACCEPT all -- eth0 tun0 anywhere anywhere
6 190K 190M ACCEPT all -- tun0 eth0 anywhere anywhere state RELATED,ESTABLISHED
Chain OUTPUT (policy ACCEPT 104K packets, 18M bytes)
num pkts bytes target prot opt in out source destination
Intenté agregar reglas como:
sudo iptables -t nat -A PREROUTING -p tcp --dport 1194 -j DNAT --to-destination 192.168.1.45:1194
sudo iptables -t nat -I POSTROUTING -p tcp -d 192.168.1.45 --dport 1194 -j SNAT --to-source 192.168.1.43
sudo iptables -t nat -A PREROUTING -p tcp --sport 1194 -j DNAT --to-destination 192.168.1.1:1194
sudo iptables -t nat -I POSTROUTING -p tcp -d 192.168.1.1 --sport 1194 -j SNAT --to-source 192.168.1.45
sudo iptables -I FORWARD -i eth0 -o eth0 -p tcp --dport 1194 -j ACCEPT
sudo iptables -I FORWARD -i eth0 -o eth0 -p tcp --sport 1194 -j ACCEPT
pero no funcionó. Ahora estoy atascado y no pude encontrar una solución en línea... Desafortunadamente, también soy bastante novato en este dominio, he estado haciendo esto por diversión y solo he aprendido mediante prueba y error. Cualquier ayuda es muy apreciada :)
Respuesta1
¡Éxito! Finalmente logré enrutar los paquetes como pretendía. La solución fue que iptables por sí solo no era suficiente, también necesitaba modificar el enrutamiento de mis paquetes VPN y agregar una nueva regla usando el ipcomando.
Así es como lo logré si alguien quiere hacer algo similar:
# do port forwarding to the VPN 2 server and allow forward traffic
iptables -t nat -A PREROUTING -p tcp --dport 1194 -j DNAT --to-destination 192.168.1.45:1194
iptables -I FORWARD -i eth0 -o eth0 -p tcp --dport 1194 -j ACCEPT
iptables -I FORWARD -i eth0 -o eth0 -p tcp --sport 1194 -j ACCEPT
# mark all packets that have to be routed through the 192.168.1.1 gateway
iptables -t mangle -A PREROUTING -p tcp --sport 1194 -j MARK --set-mark 1
# define desired specific route for marked packets
echo 201 openvpn1194.out | tee --append /etc/iproute2/rt_tables
ip rule add fwmark 1 table openvpn1194.out
ip route add default via 192.168.1.1 dev eth0 table openvpn1194.out
Tenga en cuenta que esos cambios no persistirán después de reiniciar y deberá hacerlos permanentes si le convienen.