Forum Debian Users Gang

immcio · 2017-04-12 17:02:50

Witam.
Potrzebuje pomocy zwiazanej z konfiguracja iptables na maszynie, ktora robi za router w mojej sieci.
Glowna potrzeba: dostep przez internet do rejestratora kamer z monitoringu.
Przeczytalem tysiac tutoriali itp. Niestety nie radze sobie z Iptables.
Mam VPS, ze stalym IP i z odpalonym serwerem OpenVPN, ktory przyjmuje polaczenia i przez ten tunel puszcza ruch.
W chwili obecnej system dziala tak, ze jak odpale na routerze OpenVPN to ruch od routera w internet idzie przez tunel, ale ruch z urzadzen za routerem dociera tylko do routera i dalej go puszcza.

Zalaczam schemat sieci. Jesli potrzeba jakies logi, lub pliki conf to mowcie.
I naprawde niech sie ktos nade mna zlituje bo osiwieje przedwczesnie... :)[img]http://eksprespak.pl/img.jpg[/img]

stepien86 · 2017-04-12 19:26:25

Pokaż wynik polecenia: # ip route show ( z routera na debianie)
i jeszcze zapodaj konfiga tego iptablesa na routerze co tam wyklikałeś, może forward wystarczy dodać tylko.

Ostatnio edytowany przez stepien86 (2017-04-12 19:29:34)

immcio · 2017-04-13 11:00:46

Ok prosze bardzo.
Przed odpaleniem OpenVPN

Kod:

default via 192.168.0.1 dev eth1 
192.168.0.0/24 dev eth1  proto kernel  scope link  src 192.168.0.10 
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.1

Po uruchomieniu

Kod:

0.0.0.0/1 via 192.168.3.1 dev tun0 
default via 192.168.0.1 dev eth1 
51.254.208.185 via 192.168.0.1 dev eth1 
128.0.0.0/1 via 192.168.3.1 dev tun0 
192.168.0.0/24 dev eth1  proto kernel  scope link  src 192.168.0.10 
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.1 
192.168.3.0/24 dev tun0  proto kernel  scope link  src 192.168.3.2

Iptables:

Kod:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  192.168.3.0/24       192.168.1.0/24       ctstate NEW

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

immcio · 2017-04-15 20:18:28

Ponawiam prosbe do zgromadzonych tutaj :P

Jacekalex · 2017-04-15 21:04:00

Do OpenVPN musisz puścić routing default, a tylko OpenVPN (jako usera systemowego) albo ruch do VPSa (routing do hosta) puścić przez eth1.

Masz problem nie z netfiterem/iptables tylko z routingiem.

Przy okazji, OpenVPN moim zdaniem troszkę lepiej chodzi przez interfejsy TAP niż TUN, ale wtedy musi działać na protokole TCP, nie UDP.

Jeśli chcesz na TUP/TAP wyciągnąć większe prędkości, niż 10Mbit, to potrzebujesz tej łatki na kernele (na obu końcach tunelu):

Kod:

diff --git a/drivers/net/tun.c b/drivers/net/tun.c
index 8c8dc16..64f4dcc 100644
--- a/drivers/net/tun.c
+++ b/drivers/net/tun.c
@@ -950,6 +950,9 @@  static void tun_net_init(struct net_device *dev)
         dev->addr_len = 0;
         dev->mtu = 1500;
 
+        /* Set default speed 1000M */
+        tun->flags |= TUN_CTRL_SPD_1000;
+
         /* Zero header length */
         dev->type = ARPHRD_NONE;
         dev->flags = IFF_POINTOPOINT | IFF_NOARP | IFF_MULTICAST;
@@ -2257,9 +2260,18 @@  static struct miscdevice tun_miscdev = {
 
 static int tun_get_settings(struct net_device *dev, struct ethtool_cmd *cmd)
 {
+    struct tun_struct *tun = netdev_priv(dev);
+
+    /*Get the speed of tun*/
+    if (tun->flags & TUN_CTRL_SPD_1000) {
+        ethtool_cmd_speed_set(cmd, SPEED_1000);
+    } else if (tun->flags & TUN_CTRL_SPD_100) {
+        ethtool_cmd_speed_set(cmd, SPEED_100);
+    } else
+        ethtool_cmd_speed_set(cmd, SPEED_10);
+
     cmd->supported        = 0;
     cmd->advertising    = 0;
-    ethtool_cmd_speed_set(cmd, SPEED_10);
     cmd->duplex        = DUPLEX_FULL;
     cmd->port        = PORT_TP;
     cmd->phy_address    = 0;
@@ -2287,6 +2299,27 @@  static void tun_get_drvinfo(struct net_device *dev, struct ethtool_drvinfo *info
     }
 }
 
+static int tun_set_settings(struct net_device *dev, struct ethtool_cmd *cmd)
+{
+    struct tun_struct *tun = netdev_priv(dev);
+    u32 speed = ethtool_cmd_speed(cmd);
+
+    if (10 == speed) {
+        tun->flags &= ~TUN_CTRL_SPD_100;
+        tun->flags &= ~TUN_CTRL_SPD_1000;
+        tun->flags |= TUN_CTRL_SPD_10;
+    } else if (100 == speed) {
+        tun->flags &= ~TUN_CTRL_SPD_10;
+        tun->flags &= ~TUN_CTRL_SPD_1000;
+        tun->flags |= TUN_CTRL_SPD_100;
+    } else {
+        tun->flags &= ~TUN_CTRL_SPD_10;
+        tun->flags &= ~TUN_CTRL_SPD_100;
+        tun->flags |= TUN_CTRL_SPD_1000;
+    }
+    return 0;
+}
+
 static u32 tun_get_msglevel(struct net_device *dev)
 {
 #ifdef TUN_DEBUG
@@ -2307,6 +2340,7 @@  static void tun_set_msglevel(struct net_device *dev, u32 value)
 
 static const struct ethtool_ops tun_ethtool_ops = {
     .get_settings    = tun_get_settings,
+    .set_settings    = tun_set_settings,
     .get_drvinfo    = tun_get_drvinfo,
     .get_msglevel    = tun_get_msglevel,
     .set_msglevel    = tun_set_msglevel,
diff --git a/include/uapi/linux/if_tun.h b/include/uapi/linux/if_tun.h
index 50ae243..78a09a7 100644
--- a/include/uapi/linux/if_tun.h
+++ b/include/uapi/linux/if_tun.h
@@ -66,6 +66,11 @@ 
 #define IFF_PERSIST    0x0800
 #define IFF_NOFILTER    0x1000
 
+/*add speed control, default 1000M*/
+#define TUN_CTRL_SPD_10         0x0020
+#define TUN_CTRL_SPD_100        0x0040
+#define TUN_CTRL_SPD_1000       0x0080
+
 /* Socket options */
 #define TUN_TX_TIMESTAMP 1

Używam tej łatki od dawna, na źródła z kernel.org wchodzi czysto - wszystkie z serii 4.7.x, 4.8.x i 4.9.x.

Pozdro

Ostatnio edytowany przez Jacekalex (2017-04-15 21:30:11)

lis6502 · 2017-04-15 21:40:28

Pozwolę sobie wrzucić swoje trzy grosze jako gość który wczoraj zestawił OpenVPNa do domu

Przy okazji, OpenVPN moim zdaniem troszkę lepiej chodzi przez interfejsy TAP niż TUN,[/quote]
Mocno się nie zgodzę- ja miałem niesamowite problemy z zestawieniem łącza w L2- pomijając fakt że chcąc korzystać z zasobów zza VPNa na Androidach trzeba rootować urzadzenie.

Zęby prawie sobie połamałem z VPNem, a w moim wypadku chodziło o firewalla ;)
Także [b]immcio[/b], sprawdź po zestawieniu tunelu czy jesteś w stanie pingować 192.168.3.1. Logi iptables z serwera VPN też przydałyby się, bo ja tylko dzięki logom doszedłem do wstępnych błędnych opcji konfiguracji.
Dalej: na początku cos pisałeś że po zestawieniu tunelu ruch idzie przez niego- czyli jesteś w stanie przeglądać internety jako modem lte? W sensie, na komputerze- kliencie VPN po sprawdzeniu adresu IP pod jakim jesteś widziany pokazuje Ci adres nadany przez modem LTE?

Time (s)	Query
0.00011	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00196	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.145.167.58' WHERE u.id=1
0.00091	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.145.167.58', 1732726627)
0.00073	SELECT * FROM punbb_online WHERE logged<1732726327
0.00060	SELECT topic_id FROM punbb_posts WHERE id=310005
0.00028	SELECT id FROM punbb_posts WHERE topic_id=29497 ORDER BY posted
0.00079	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=29497 AND t.moved_to IS NULL
0.00008	SELECT search_for, replace_with FROM punbb_censoring
0.00160	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=29497 ORDER BY p.id LIMIT 0,25
0.00128	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=29497
Total query time: 0.00838 s

Forum Debian Users Gang

Ogłoszenie

#1 2017-04-12 17:02:50

immcio - Użytkownik

Iptables - ruch z routera przez VPN

#2 2017-04-12 19:26:25

stepien86 - Członek DUG

Re: Iptables - ruch z routera przez VPN

#3 2017-04-13 11:00:46

immcio - Użytkownik

Re: Iptables - ruch z routera przez VPN

Kod:

Kod:

Kod:

#4 2017-04-15 20:18:28

immcio - Użytkownik

Re: Iptables - ruch z routera przez VPN

#5 2017-04-15 21:04:00

Jacekalex - Podobno człowiek...;)

Re: Iptables - ruch z routera przez VPN

Kod:

#6 2017-04-15 21:40:28

lis6502 - Łowca lamerów

Re: Iptables - ruch z routera przez VPN

#7 2017-04-15 22:10:32

Jacekalex - Podobno człowiek...;)

Re: Iptables - ruch z routera przez VPN

#8 2017-04-15 22:18:27

lis6502 - Łowca lamerów

Re: Iptables - ruch z routera przez VPN

#9 2017-04-15 22:41:12

Jacekalex - Podobno człowiek...;)

Re: Iptables - ruch z routera przez VPN

#10 2017-04-18 09:42:56

immcio - Użytkownik

Re: Iptables - ruch z routera przez VPN

Kod:

Kod:

#11 2017-04-18 18:40:09

Jacekalex - Podobno człowiek...;)

Re: Iptables - ruch z routera przez VPN

#12 2017-04-18 19:20:56

immcio - Użytkownik

Re: Iptables - ruch z routera przez VPN

#13 2017-04-18 20:21:31

Jacekalex - Podobno człowiek...;)

Re: Iptables - ruch z routera przez VPN

Kod:

Kod:

Kod:

Kod:

#14 2017-04-18 20:49:32

immcio - Użytkownik

Re: Iptables - ruch z routera przez VPN

#15 2017-04-18 21:19:02

Jacekalex - Podobno człowiek...;)

Re: Iptables - ruch z routera przez VPN

#16 2017-04-18 21:35:53

immcio - Użytkownik

Re: Iptables - ruch z routera przez VPN

#17 2017-04-18 22:26:38

Jacekalex - Podobno człowiek...;)

Re: Iptables - ruch z routera przez VPN

#18 2017-04-19 06:56:49

morfik - Cenzor wirtualnego świata

Re: Iptables - ruch z routera przez VPN

Kod:

Kod:

Kod:

Kod:

#19 2017-04-22 09:24:09

immcio - Użytkownik

Re: Iptables - ruch z routera przez VPN

Kod:

Kod:

Kod:

Kod:

#20 2017-04-23 16:15:22

morfik - Cenzor wirtualnego świata

Re: Iptables - ruch z routera przez VPN