策略路由条件下openvpn访问内网的问题.doc

策略路由条件下，openvpn访问内网的问题由于原来的网络有2个代理出口，一个是squid 192.168.6.110，一个是微软的代理服务器192.168.6.253，同时内网又分了192.168.3.0/24，4，5，6，7，8，9，10等段，所以对特定的网段进行了策略路由： 基本思路如下： 4、5、7、8、9、10段走squid 3、6段走微软的代理 同时除了6段外，其他的段均是从192.168.0.1路由器路由过来的。 具体如下： cat /etc/iproute2/rt_tables # # reserved values # 255 ? ? local 254 ? ? main 253 ? ? default 0 ? ? ? unspec 200 ? ? net10 ? （从3、6段来的访问0/0的，扔给192.168.6.253） 100 ? ? net9 ? ?（192.168.6.110的回包到3、4、5、7、8、9、10段，通过192.168.6.1） 80 ? ? ?net8 ? ?（3、6段访问192.168.6.110能通） cat /opt/route/route #!/bin/sh ip route add to 192.168.6.110 via 192.168.6.110 dev eth1 table net8 ip rule add from 192.168.6.0/24 pref 8000 table net8? ip rule add from 192.168.3.0/24 pref 8001 table net8 ip route add to 192.168.0.0/16 via 192.168.6.1 dev eth1 table net9 ip rule add to 192.168.3.0/24 pref 9000 table net9 ip rule add to 192.168.4.0/24 pref 9001 table net9 ip rule add to 192.168.5.0/24 pref 9002 table net9 ip rule add to 192.168.7.0/24 pref 9003 table net9 ip rule add to 192.168.8.0/24 pref 9004 table net9 ip rule add to 192.168.9.0/24 pref 9005 table net9 ip rule add to 192.168.10.0/24 pref 9006 table net9 ip route add to 0.0.0.0/0 via 192.168.6.253 dev eth1 table net10 ip rule add from 192.168.6.0/24 pref 10000 table net10? ip rule add from 192.168.3.0/24 pref 10001 table net10 今天做了此服务器的openvpn： openvpn的服务器虚拟网络： ?inet addr:10.12.0.1 ?P-t-P:10.12.0.2 ?Mask:255.255.255.255 远程我的登入的用户分配的是： ?10.12.0.6/255.255.255.252 ? 网关 10.12.0.5 由于原有的iptables的策略中有： $IPT -t nat -A POSTROUTING -s 10.12.0.0/16 -o $LOCAL_IFACE -j SNAT --to-source $LOCAL_IP 发现原有的vpn访问内网功能不行了，如：远程vpn客户端ping 192.168.6.110 不通 研究了下，自己认为原因如下： 由于tun0访问内网先源地址转换为$LOCAL_IP（192.168.6.110），会先符合上面的net8的 策略路由，这个去的包没问题。但是回包的话。对于eth1的设备，由于POSTROUTING级别比较低，会先处理net10的策略，这样回包就会被扔走，给192.168.6.253。 解决办法如下： 更改：iptables里面的策略 #$IPT -t nat -A POSTROUTING -s 10.12.0.0/16 -o $LOCAL_IFACE -j SNAT --to-source $LOCAL_IP 屏蔽源地址nat的iptables的策略，通过路由方式来解决内网访问问题。 新建2个路由表，net7、net6 cat /etc/iproute2/rt_tables? # # reserved values # 255 ? ? local 254