Porta encaminhada para o cliente VPN?

Encontrei um pouco de quebra-cabeça e não tive muita sorte em encontrar uma solução. No momento, estou (infelizmente) conectado à rede via Verizon 3G. Eles filtram todo o tráfego recebido, por isso é impossível abrir portas para aceitar conexões.

Atualmente, tenho uma máquina virtual Linux em linode.com, e pensei em instalar pptpde tentar fazer o iptablesencaminhamento de portas. Eu pptpdinstalei e minha máquina doméstica conecta-se com facilidade. Dito isto, aqui estão algumas informações gerais:

IP da WAN do servidor (Debian): xxxx no eth0 - IP do pptpd: aaa1 no ppp0 - IP da VPN do cliente: aaaa100

Para verificar se eu não estava enlouquecendo, tentei algumas conexões do servidor para as portas abertas no cliente, e o cliente aceita as conexões pelo IP da VPN.

O que eu quero realizar é o seguinte:

Internet -> IP da WAN: Porta -> Encaminhar para o cliente VPN IP: Porta

Por exemplo, se eu tivesse a porta 6000 aberta no meu cliente, uma pessoa poderia telnetar para xxxx: 6000 e o servidor pegaria isso e encaminharia para 192.168.3.100:6000.

Eu tentei pelo menos 20 iptablesconfigurações diferentes no Google e nenhuma funcionou ainda. Alguém tem alguma idéia, ou talvez uma abordagem totalmente diferente, da qual eu possa não estar ciente? O objetivo aqui é ouvir através de uma conexão horrivelmente protegida por firewall, de preferência o tráfego TCP e UDP.

Você precisa fazer três coisas no seu servidor VPN (o Linode) para fazer isso funcionar:

1. Você deve ativar o encaminhamento de IP:

   sysctl -w net.ipv4.ip_forward=1
   

2. Configure o NAT de destino (DNAT) para encaminhar a porta. Você provavelmente já descobriu isso porque é um material de encaminhamento de porta padrão, mas para ser completo:

   iptables -t nat -A PREROUTING -d x.x.x.x -p tcp --dport 6000 -j DNAT --to-dest y.y.y.100:6000
   

3. Configure o NAT de origem (SNAT) para que, da perspectiva do seu cliente VPN, a conexão seja proveniente do servidor VPN:

   iptables -t nat -A POSTROUTING -d y.y.y.100 -p tcp --dport 6000 -j SNAT --to-source y.y.y.1
   

O motivo pelo qual você precisa do SNAT é que, caso contrário, o seu cliente VPN enviará seus pacotes de retorno diretamente ao host que iniciou a conexão (zzzz) por meio do gateway padrão (por exemplo, Verizon 3G), e não pela VPN. Portanto, o endereço IP de origem nos pacotes de retorno será o seu endereço 3G da Verizon, e não xxxx. Isso causa todos os tipos de problemas, já que o zzzz realmente iniciou a conexão com xxxx.

Na maioria das configurações de encaminhamento de porta, o SNAT não é necessário porque o host que realiza o encaminhamento de porta também é o gateway padrão para o host de destino (por exemplo, um roteador doméstico).

Observe também que se você deseja encaminhar a porta 6000 para uma porta diferente (por exemplo, 7000), a regra SNAT deve corresponder a 7000, e não a 6000.

Eu também tive esse problema e tentei resolvê-lo por horas .. Aqui está minha solução:

• Eu tinha mais de um VPNClientcom o mesmo IPAddress. Então eu dei a cada um deles uma estáticaIPAddress

Defina um diretório em que os scripts do cliente devem ser armazenados, por exemplo, / etc / openvpn / staticclients e crie o diretório

mkdir /etc/openvpn/staticclients

Inclua este diretório como opção no seu arquivo de configuração openvpn no servidor:

client-config-dir /etc/openvpn/staticclients

Para cada cliente, você precisa criar um arquivo. O nome do arquivo deve corresponder ao common nameatributo que foi especificado no certificado do cliente. Este comando obtém o CN do certificado do computador:

Este exemplo envia o IPAddress10.1.134.110/10.1.134.109 ao cliente com o common name TESTCLIENT e também envia uma rota adicional para a sub-rede 10.1.135.0.

cat /etc/openvpn/staticclients/TESTCLIENT

ifconfig-push 10.1.134.110 10.1.134.109
push "route 10.1.135.0 255.255.255.0 10.1.134.62"

• http://www.yougetsignal.com/tools/open-ports/ e http://canyouseeme.org/ não detectaram corretamente as portas. Além disso, tive que iniciar meu aplicativo no cliente, para que os sites pudessem ver essas portas.

• Não há necessidade de SNATregras adicionais . Somente essas regras eram necessárias:

sysctl -w net.ipv4.ip_forward=1

iptables -t nat -A PREROUTING -p tcp --dport 28006 -j DNAT --to 10.1.134.110

A maioria dos servidores tem o encaminhamento de IP desabilitado na configuração padrão. Você precisa habilitá-lo se quiser redirecionar as conexões de entrada através da sua VPN.

Tente o seguinte:

sysctl -w net.ipv4.ip_forward = 1

Quero dizer, além da configuração do iptables.

O que você deseja alcançar é (provavelmente) muito possível com pptpdou OpenVPN e iptables; no entanto, você pode achar que tinc é um candidato melhor para esse caso de uso. Acabei de ler isso, que descreve como configurar o tinc exatamente para este caso de uso. É uma alternativa (potencialmente mais simples) à parte pptdpou ao OpenVPN. Então você precisaria exatamente das mesmas regras para o iptables.