<![CDATA[Linux Forum — OpenVPN, все запросы со второй/третьей и т.п. сети видны с ip-адресом]]> 2014-10-30T20:07:17Z PunBB https://linuxforum.ru/viewtopic.php?id=36578 <![CDATA[Re: OpenVPN, все запросы со второй/третьей и т.п. сети видны с ip-адресом]]> Kettler пишет:
-A POSTROUTING -o eth0 -j MASQUERADE 
-A POSTROUTING -j MASQUERADE

Это что?

Честно говоря, в iptables еще не разбираюсь хорошо.
Данные правила остались еще от моего предшественника.

]]> https://linuxforum.ru/profile.php?id=35983 2014-10-30T20:07:17Z https://linuxforum.ru/viewtopic.php?pid=429302#p429302 <![CDATA[Re: OpenVPN, все запросы со второй/третьей и т.п. сети видны с ip-адресом]]> А так рисуйте что схему что да как у вас. И правила на шлюзах.

]]> https://linuxforum.ru/profile.php?id=11719 2014-10-30T19:52:37Z https://linuxforum.ru/viewtopic.php?pid=429299#p429299 <![CDATA[Re: OpenVPN, все запросы со второй/третьей и т.п. сети видны с ip-адресом]]> 
-A POSTROUTING -o eth0 -j MASQUERADE 
-A POSTROUTING -j MASQUERADE

Это что?

]]> https://linuxforum.ru/profile.php?id=11719 2014-10-30T19:50:41Z https://linuxforum.ru/viewtopic.php?pid=429298#p429298 <![CDATA[OpenVPN, все запросы со второй/третьей и т.п. сети видны с ip-адресом]]> Добрый день.
Вопрос следующий.
Есть шлюз с настроенным openvpn сервером, за которым находится локальная сеть 192.168.1.0/24 и несколько шлюзов, подключенных к серверу через интернет посредством openvpn, за каждым из которых есть своя локальная сеть 192.168.2.0/24, 192.168.3.0/24.

Сеть между офисами в общем работает нормально за исключением следующего: все запросы приходящие из-за vpn'a в squid'e отображаются с ip адресом самого главного шлюза (192.168.1.110).

В iptables не удается использовать в правилах ip-адреса других подсетей, но все работает, если использовать ip-адреса собственной сети vpn'ов, то есть если указать правила для ip-адресов вида 172.16.16.*

Подскажите, пожалуйста, с чем это может быть связано? и как сделать так, чтобы в iptables можно было использовать конкретные ip адреса других подсетей, например для 192.168.2.3

вот выдержка из iptables на основном шлюзе 192.168.1.110

+ открыть спойлер

*nat
:PREROUTING ACCEPT [680866:86210275]
:POSTROUTING ACCEPT [31:1594]
:OUTPUT ACCEPT [71361:5429579]

-A POSTROUTING -o eth1 ! -d 192.168.1.10/32 -j SNAT --to-source 192.168.1.110
-A POSTROUTING -o eth0 -j MASQUERADE

COMMIT
# Completed on Mon Jul 11 09:48:32 2005
# Generated by iptables-save v1.2.11 on Mon Jul 11 09:48:32 2005
*filter
:INPUT DROP [243616:38937985]
:FORWARD ACCEPT [5193826:2028192329]
:OUTPUT DROP [2838:266088]
#
#-A INPUT -p icmp -j ACCEPT
#-A OUTPUT -p icmp -j ACCEPT

-A INPUT -i lo -p TCP -j ACCEPT
-A OUTPUT -o lo -p TCP -j ACCEPT

-A INPUT -p TCP -j ACCEPT
-A OUTPUT -p TCP -j ACCEPT

#
-A INPUT -s 192.168.1.0/255.255.255.0 -j ACCEPT
-A INPUT -s 192.168.2.0/255.255.255.0 -j ACCEPT
-A INPUT -s 192.168.3.0/255.255.255.0 -j ACCEPT
-A INPUT -s 192.168.4.0/255.255.255.0 -j ACCEPT
-A INPUT -s 192.168.5.0/255.255.255.0 -j ACCEPT

-A OUTPUT -d 192.168.1.0/255.255.255.0 -j ACCEPT
-A OUTPUT -d 192.168.2.0/255.255.255.0 -j ACCEPT
-A OUTPUT -d 192.168.3.0/255.255.255.0 -j ACCEPT
-A OUTPUT -d 192.168.4.0/255.255.255.0 -j ACCEPT
-A OUTPUT -d 192.168.5.0/255.255.255.0 -j ACCEPT

-A INPUT -p udp -m udp --sport 53 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT

-A INPUT -s ВНЕШНИЙ_IP_ШЛЮЗА1 -j ACCEPT
-A OUTPUT -d ВНЕШНИЙ_IP_ШЛЮЗА1 -j ACCEPT
-A INPUT -s ВНЕШНИЙ_IP_ШЛЮЗА2 -j ACCEPT
-A OUTPUT -d ВНЕШНИЙ_IP_ШЛЮЗА2 -j ACCEPT

COMMIT
# Completed on Mon Jul 11 09:48:32 2005
# Generated by iptables-save v1.2.11 on Mon Jul 11 09:48:32 2005
*mangle
:PREROUTING ACCEPT [1091:328884]
:INPUT ACCEPT [523:54158]
:FORWARD DROP [3:168]P
:OUTPUT ACCEPT [466:47126]
:POSTROUTING ACCEPT [1012:320036]

-A FORWARD -d 192.168.1.40 -s 172.16.16.0/255.255.255.0 -p tcp -m tcp --sport 80:81 -j ACCEPT
-A FORWARD -s 192.168.1.40 -d 172.16.16.0/255.255.255.0 -p tcp -m tcp --sport 80:81 -j ACCEPT

COMMIT
# Completed on Mon Jul 11 09:48:32 2005


вот выдержка с другого шлюза (192.168.2.1)

+ открыть спойлер

*nat
:PREROUTING ACCEPT [680866:86210275]
:POSTROUTING ACCEPT [31:1594]
:OUTPUT ACCEPT [71361:5429579]

-A POSTROUTING -j MASQUERADE

COMMIT
# Completed on Mon Jul 11 09:48:32 2005
# Generated by iptables-save v1.2.11 on Mon Jul 11 09:48:32 2005
*filter
:INPUT DROP [243616:38937985]
:FORWARD ACCEPT [5193826:2028192329]
:OUTPUT DROP [2838:266088]
#
-A INPUT -p icmp -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT

-A INPUT -i lo -p TCP -j ACCEPT
-A OUTPUT -o lo -p TCP -j ACCEPT

#local
-A INPUT -s 192.168.1.0/255.255.255.0 -j ACCEPT
-A OUTPUT -d 192.168.1.0/255.255.255.0 -j ACCEPT
#server
-A INPUT -s ВНЕШНИЙ_IP_ОСНОВНОГО_ШЛЮЗА -j ACCEPT
-A OUTPUT -d ВНЕШНИЙ_IP_ОСНОВНОГО_ШЛЮЗА -j ACCEPT


#ssh
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 22 -j ACCEPT

#telnet
-A INPUT -p tcp -m tcp --dport 23 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 23 -j ACCEPT

#dns
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 53 -j ACCEPT

#http
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 80 -j ACCEPT

#https
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 443 -j ACCEPT

#openvpn
-A INPUT -p udp -m udp --sport 1194 -j ACCEPT
-A INPUT -p udp -m udp --dport 1194 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 1194 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 1194 -j ACCEPT

COMMIT
# Completed on Mon Jul 11 09:48:32 2005
# Generated by iptables-save v1.2.11 on Mon Jul 11 09:48:32 2005
*mangle
:PREROUTING ACCEPT [1091:328884]
:INPUT ACCEPT [523:54158]
:FORWARD DROP [3:168]P
:OUTPUT ACCEPT [466:47126]
:POSTROUTING ACCEPT [1012:320036]

#server
-A FORWARD -d 192.168.2.0/255.255.255.0 -s ВНЕШНИЙ_IP_ОСНОВНОГО_ШЛЮЗА -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -d ВНЕШНИЙ_IP_ОСНОВНОГО_ШЛЮЗА -j ACCEPT

#localka
-A FORWARD -s 192.168.1.0/255.255.255.0 -j ACCEPT
-A FORWARD -d 192.168.1.0/255.255.255.0 -j ACCEPT


#kaspersky
-A FORWARD -d 192.168.2.0/255.255.255.0 -s 95.167.139.6 -p tcp --sport 80 -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -d 95.167.139.6 -p tcp --dport 80 -j ACCEPT
-A FORWARD -d 192.168.2.0/255.255.255.0 -s 195.16.117.50 -p tcp --sport 80 -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -d 195.16.117.50 -p tcp --dport 80 -j ACCEPT
-A FORWARD -d 192.168.2.0/255.255.255.0 -s 93.159.230.19 -p tcp --sport 80 -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -d 93.159.230.19 -p tcp --dport 80 -j ACCEPT
-A FORWARD -d 192.168.2.0/255.255.255.0 -s 212.47.219.86 -p tcp --sport 80 -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -d 212.47.219.86 -p tcp --dport 80 -j ACCEPT
-A FORWARD -d 192.168.2.0/255.255.255.0 -s 85.12.58.15 -p tcp --sport 80 -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -d 85.12.58.15 -p tcp --dport 80 -j ACCEPT
-A FORWARD -d 192.168.2.0/255.255.255.0 -s 95.211.85.42 -p tcp --sport 80 -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -d 95.211.85.42 -p tcp --dport 80 -j ACCEPT

###dns
-A FORWARD -d 192.168.2.0/255.255.255.0 -p udp -m udp --sport 53 -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -p udp -m udp --dport 53 -j ACCEPT

COMMIT
# Completed on Mon Jul 11 09:48:32 2005

]]> https://linuxforum.ru/profile.php?id=35983 2014-10-30T17:38:04Z https://linuxforum.ru/viewtopic.php?pid=429287#p429287