ip_forwarding=1 VPNが失敗するのはなぜですか？

Question 1

問題は何ですか？

したがって、NAT（ネットワークアドレス送信）が必要です。私は専門家であるふりをしませんがiptables、あなたの次の部分を見るとわかりますiptables-save。

*nat
:PREROUTING ACCEPT [1710:298954]
:INPUT ACCEPT [1480:280336]
:OUTPUT ACCEPT [28:4162]
:POSTROUTING ACCEPT [86:6162]
-A PREROUTING -i wlan0 -p tcp -m mark --mark 0x3e7 -m tcp --dport 80 -j DNAT --to-destination 13.37.42.1:80
-A PREROUTING -i wlan0 -p tcp -m mark --mark 0x3e7 -m tcp --dport 443 -m conntrack --ctstate NEW -j DNAT --to-destination 13.37.42.1:80
-A POSTROUTING -o eth0 -j MASQUERADE #####this line
-A POSTROUTING -o wlan0 -j MASQUERADE

...この部分：

*filter
:INPUT ACCEPT [6041:840617]
:FORWARD ACCEPT [380:110945]
:OUTPUT ACCEPT [753:102159]
-A FORWARD -i wlan0 -j ACCEPT  #####this line
COMMIT

...入ってくる内容を伝えるようですがwlan0、これはMASQUERADE許可されますeth0。ただし、ルートテーブルは、tun02 つの行のいずれかがGENMASK 128.0.0.0常にdefault宛先の前に一致するため、インターフェイスを介してすべての一般的なトラフィックを転送します。つまり、着信パケットは転送されますが、通常のトラフィックはそのインターフェイスを通過します。パケットを転送しようとしています。eth0GENMASK 0.0.0.0wlan0eth0tun0wlan0tun0

考えられる解決策

次のコマンドを実行すると、既存のコマンドを変更せずにこの問題を解決できます。iptables （言い換えれば、私はiptables専門家ではなく、あなたの命令はiptables私よりはるかに複雑です。）

sudo iptables --table nat --append POSTROUTING --out-interface tun0 -j MASQUERADE

NATはどのように行いますか？

私はコマンドを全く覚えていないので、私のコンピュータにNATを設定するためにこの短いスクリプトを書いています。だから、他の人がいないときに直接実行してインターネット接続をに転送iptablesできます。nat tun0 wlan0tun0wlan0

#!/bin/bash
# I named this script "nat"
if [ $# -lt 2 ]
        then
        echo usage: nat \<internet connection iface\> \<recieving iface\>
        exit 0
fi

internetiface=$1;
receivingiface=$2;

sudo iptables --table nat --append POSTROUTING --out-interface $internetiface -j MASQUERADE
sudo iptables --append FORWARD --in-interface $receivingiface -j ACCEPT


echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

Answer

問題は何ですか？

したがって、NAT（ネットワークアドレス送信）が必要です。私は専門家であるふりをしませんがiptables、あなたの次の部分を見るとわかりますiptables-save。

*nat
:PREROUTING ACCEPT [1710:298954]
:INPUT ACCEPT [1480:280336]
:OUTPUT ACCEPT [28:4162]
:POSTROUTING ACCEPT [86:6162]
-A PREROUTING -i wlan0 -p tcp -m mark --mark 0x3e7 -m tcp --dport 80 -j DNAT --to-destination 13.37.42.1:80
-A PREROUTING -i wlan0 -p tcp -m mark --mark 0x3e7 -m tcp --dport 443 -m conntrack --ctstate NEW -j DNAT --to-destination 13.37.42.1:80
-A POSTROUTING -o eth0 -j MASQUERADE #####this line
-A POSTROUTING -o wlan0 -j MASQUERADE

...この部分：

*filter
:INPUT ACCEPT [6041:840617]
:FORWARD ACCEPT [380:110945]
:OUTPUT ACCEPT [753:102159]
-A FORWARD -i wlan0 -j ACCEPT  #####this line
COMMIT

...入ってくる内容を伝えるようですがwlan0、これはMASQUERADE許可されますeth0。ただし、ルートテーブルは、tun02 つの行のいずれかがGENMASK 128.0.0.0常にdefault宛先の前に一致するため、インターフェイスを介してすべての一般的なトラフィックを転送します。つまり、着信パケットは転送されますが、通常のトラフィックはそのインターフェイスを通過します。パケットを転送しようとしています。eth0GENMASK 0.0.0.0wlan0eth0tun0wlan0tun0

考えられる解決策

次のコマンドを実行すると、既存のコマンドを変更せずにこの問題を解決できます。iptables （言い換えれば、私はiptables専門家ではなく、あなたの命令はiptables私よりはるかに複雑です。）

sudo iptables --table nat --append POSTROUTING --out-interface tun0 -j MASQUERADE

NATはどのように行いますか？

私はコマンドを全く覚えていないので、私のコンピュータにNATを設定するためにこの短いスクリプトを書いています。だから、他の人がいないときに直接実行してインターネット接続をに転送iptablesできます。nat tun0 wlan0tun0wlan0

#!/bin/bash
# I named this script "nat"
if [ $# -lt 2 ]
        then
        echo usage: nat \<internet connection iface\> \<recieving iface\>
        exit 0
fi

internetiface=$1;
receivingiface=$2;

sudo iptables --table nat --append POSTROUTING --out-interface $internetiface -j MASQUERADE
sudo iptables --append FORWARD --in-interface $receivingiface -j ACCEPT


echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

Question 2

VPNとファイアウォールルールの設定には問題はありません。欠けているのは、ゲートウェイ192.168.0.1が1つだけで、eth0を介してのみアクセスでき、もちろんwlan0からはアクセスできないことです。ルーティングテーブルを確認してください。

この行動はノーマル：カーネルがパケットをルーティングする方法を明示的に知る必要があるため、すべてのオペレーティングシステムにゲートウェイに接続されたインターフェイスが1つしかない場合があります。

Linuxを除くすべてのオペレーティングシステムで2番目（および3番目、4番目...）ルーティングテーブルを追加できます。ただし、各パステーブルルールを明示的に使用するタイミングをカーネルに通知するコマンドも追加できます。実行する必要がある作業は次のとおりです。第二ルーティングテーブルを追加し、tun0サブネット内のすべてのパケットを2番目のルーティングテーブルを介してルーティングする必要があるというルールを追加します。

これをポリシールーティングと呼びます。次のように実行できます。新しいテーブルの名前を選択してから

     echo 200 <NAME1> >> /etc/iproute2/rt_tables
     ip route add <NET1> dev <DEV1> src <SRC1> table <NAME1>

（ここでDEV1はwlan0で、NET1とSRC1はwlan0の既存のネットワークとIPアドレスです。）

     ip route add default via <IP1> table <NAME1>

（IP1はLANのゲートウェイです）そして最後に

     ip rule add from <IP1> table <NAME1>

ここで、IP1 はインターフェイス tun0 のサブネットです。

これだ。

Answer