☰

Roteie conexões de saída do Tinyproxy através da interface OpenVPN

tag-icon • tag-icon ubuntu openvpn stunnel lxd tinyproxy
Roteie conexões de saída do Tinyproxy através da interface OpenVPN

Eu criei um contêiner Ubuntu 16.04 lxd e configurei o cliente Stunnel, Tinyproxy e OpenVPN nele.

O objetivo é conectar-se ao Tinyproxy através do Stunnel e forçar o Tinyproxy a usar a interface do OpenVPN para conexões de saída.

Stunnel -> Tinyproxy funciona bem - as páginas no navegador estão carregando conforme o esperado, no entanto, assim que inicio o serviço OpenVPN, o Stunnel no lado do cliente falha com o tempo limite e o navegador continua aguardando uma resposta.

Como o Tinyproxy 1.8.3 (a versão mais recente do Ubuntu 16.04) não suporta uma opção para vincular conexões de saída a uma interface específica, tive que deixar o OpenVPN adicionar as rotas padrão através de sua tun0interface.

O cliente OpenVPN funciona conforme esperado - todos os pacotes do contêiner passam pela VPN. O host com o contêiner é um host remoto com IP público. DNAT está configurado para o contêiner.

Não estou muito familiarizado com roteamento interno, só consegui configurar SNAT/DNAT e filtrar com iptables. Portanto, não consigo entender a raiz do problema.

Aqui estão os parâmetros mais importantes do ambiente:

ifconfig

$ ifconfig -a
eth0      Link encap:Ethernet  HWaddr 00:16:3e:5f:46:ba
          inet addr:10.227.60.197  Bcast:10.227.60.255  Mask:255.255.255.0
          inet6 addr: fe80::216:3eff:fe5f:46ba/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:16291 errors:0 dropped:0 overruns:0 frame:0
          TX packets:15632 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:5044056 (5.0 MB)  TX bytes:4171187 (4.1 MB)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:2446 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2446 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1
          RX bytes:2483699 (2.4 MB)  TX bytes:2483699 (2.4 MB)

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
          inet addr:10.8.0.3  P-t-P:10.8.0.3  Mask:255.255.255.0
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:3 errors:0 dropped:0 overruns:0 frame:0
          TX packets:3 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:500
          RX bytes:252 (252.0 B)  TX bytes:252 (252.0 B)

rota

$ route -v -e
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
default         10.8.0.1        128.0.0.0       UG        0 0          0 tun0
default         10.227.60.1     0.0.0.0         UG        0 0          0 eth0
10.8.0.0        *               255.255.255.0   U         0 0          0 tun0
10.227.60.0     *               255.255.255.0   U         0 0          0 eth0
128.0.0.0       10.8.0.1        128.0.0.0       UG        0 0          0 tun0
<vpn server IP> 10.227.60.1     255.255.255.255 UGH       0 0          0 eth0

atordoamento.cong

...
accept = 10.227.60.197:8081
connect = 127.0.0.1:8080
...

tinyproxy.conf

...
Port 8080
Listen 127.0.0.1
...

vpnclient.conf

dev tun
proto udp
remote <vpn server ip> 1195
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
key-direction 1
verb 3
#route-nopull 
...

tabelas de ipestão vazios.

Responder1

O problema estava na configuração da tabela de roteamento.

Percebi que ao remover rotas adicionadas pelo OpenVPN:

Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
default         10.8.0.1        128.0.0.0       UG        0 0          0 tun0

e tentando executar ping 8.8.8.8 -I tun0e monitorar pacotes simultaneamente com tcpdump -nn icmp, responda às solicitações icmp realmente atingidas, eth0mas não prossiga. Após alguma investigação, descobri que também deveria haver uma tabela de roteamento separada tun0e regras para isso, já que o servidor possui 2 interfaces.

Eventualmente, atualizei o tinyproxy para a versão mais recente, para poder especificar a interface de saída, e desabilitei o OpenVPN para enviar rotas padrão como a que removi acima.

Então, adicionei tabela a /etc/iproute2/rt_tables:

...
12 vpn

rotas adicionadas a esta tabela e regras:

ip route add 10.8.0.0/24 dev tun0 src 10.8.0.3 table vpn
ip route add default via 10.8.0.1 dev tun0 table vpn

ip rule add from 10.8.0.3/32 table vpn
ip rule add to 10.8.0.3/32 table vpn

Depois disso tudo começou a funcionar conforme o esperado.

informação relacionada