策略路由条件下openvpn访问内网的问题.docVIP

下载本文档

203
0
约9.44千字
约 11页
2017-06-28 发布于湖南
举报
版权申诉

策略路由条件下openvpn访问内网的问题.doc

1、本文档共11页，可阅读全部内容。
2、有哪些信誉好的足球投注网站（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击这里二次下载。
4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
5、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
6、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
7、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
8、VIP文档为合作方或网友上传，每下载1次，网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档

策略路由条件下openvpn访问内网的问题

策略路由条件下，openvpn访问内网的问题由于原来的网络有2个代理出口，一个是squid 192.168.6.110，一个是微软的代理服务器192.168.6.253，同时内网又分了192.168.3.0/24，4，5，6，7，8，9，10等段，所以对特定的网段进行了策略路由：基本思路如下： 4、5、7、8、9、10段走squid 3、6段走微软的代理同时除了6段外，其他的段均是从192.168.0.1路由器路由过来的。具体如下： cat /etc/iproute2/rt_tables # # reserved values # 255 ? ? local 254 ? ? main 253 ? ? default 0 ? ? ? unspec 200 ? ? net10 ? （从3、6段来的访问0/0的，扔给192.168.6.253） 100 ? ? net9 ? ?（192.168.6.110的回包到3、4、5、7、8、9、10段，通过192.168.6.1） 80 ? ? ?net8 ? ?（3、6段访问192.168.6.110能通） cat /opt/route/route #!/bin/sh ip route add to 192.168.6.110 via 192.168.6.110 dev eth1 table net8 ip rule add from 192.168.6.0/24 pref 8000 table net8? ip rule add from 192.168.3.0/24 pref 8001 table net8 ip route add to 192.168.0.0/16 via 192.168.6.1 dev eth1 table net9 ip rule add to 192.168.3.0/24 pref 9000 table net9 ip rule add to 192.168.4.0/24 pref 9001 table net9 ip rule add to 192.168.5.0/24 pref 9002 table net9 ip rule add to 192.168.7.0/24 pref 9003 table net9 ip rule add to 192.168.8.0/24 pref 9004 table net9 ip rule add to 192.168.9.0/24 pref 9005 table net9 ip rule add to 192.168.10.0/24 pref 9006 table net9 ip route add to 0.0.0.0/0 via 192.168.6.253 dev eth1 table net10 ip rule add from 192.168.6.0/24 pref 10000 table net10? ip rule add from 192.168.3.0/24 pref 10001 table net10 今天做了此服务器的openvpn： openvpn的服务器虚拟网络： ?inet addr:10.12.0.1 ?P-t-P:10.12.0.2 ?Mask:255.255.255.255 远程我的登入的用户分配的是： ?10.12.0.6/255.255.255.252 ? 网关 10.12.0.5 由于原有的iptables的策略中有： $IPT -t nat -A POSTROUTING -s 10.12.0.0/16 -o $LOCAL_IFACE -j SNAT --to-source $LOCAL_IP 发现原有的vpn访问内网功能不行了，如：远程vpn客户端ping 192.168.6.110 不通研究了下，自己认为原因如下：由于tun0访问内网先源地址转换为$LOCAL_IP（192.168.6.110），会先符合上面的net8的策略路由，这个去的包没问题。但是回包的话。对于eth1的设备，由于POSTROUTING级别比较低，会先处理net10的策略，这样回包就会被扔走，给192.168.6.253。解决办法如下：更改：iptables里面的策略 #$IPT -t nat -A POSTROUTING -s 10.12.0.0/16 -o $LOCAL_IFACE -j SNAT --to-source $LOCAL_IP 屏蔽源地址nat的iptables的策略，通过路由方式来解决内网访问问题。新建2个路由表，net7、net6 cat /etc/iproute2/rt_tables? # # reserved values # 255 ? ? local 254