Маршруты для двух соединений openvpn (разные хосты) в одном клиенте
Я пытаюсь создать несколько туннелей в одном клиенте, и после успешного подключения к серверу openvpn я применил некоторые маршруты для туннелей, созданных безуспешно. Мой первый туннель работает, а второй - нет. Я делаю это так:
Маршруты до того, как ничего не делать
default 192.168.1.1 0.0.0.0 UG 0 0 0 enp3s0
link-local * 255.255.0.0 U 1000 0 0 enp3s0
192.168.1.0 * 255.255.255.0 U 0 0 0 enp3s0
Первый туннель
France.ovpn
client
dev tun
proto udp
remote france.privateinternetaccess.com
lport 1190
resolv-retry infinite
persist-key
persist-tun
cipher aes-128-cbc
auth sha1
tls-client
remote-cert-tls server
auth-user-pass /etc/openvpn/piaauth.txt
comp-lzo
verb 1
reneg-sec 0
crl-verify /etc/openvpn/crl.rsa.2048.pem
ca /etc/openvpn/ca.rsa.2048.crt
disable-occ
lport 1189
rport 1198
|
sudo /usr/sbin/openvpn --config /etc/openvpn/France.ovpn --dev tun0 --route-noexec
sudo route add -net 10.88.10.1 gw 10.88.10.5 netmask 255.255.255.255 dev tun0
sudo route add -net 10.88.10.5 gw * netmask 255.255.255.255 dev tun0
sudo route add -net 128.0.0.0 gw 10.88.10.5 netmask 128.0.0.0 dev tun0
sudo route add -net 172.98.67.121 gw 192.168.1.1 netmask 255.255.255.255 enp3s0
Маршруты после первого туннеля
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
default 192.168.1.1 0.0.0.0 UG 0 0 0 enp3s0
10.88.10.1 10.88.10.5 255.255.255.255 UGH 0 0 0 tun0
10.88.10.5 * 255.255.255.255 UH 0 0 0 tun0
128.0.0.0 10.88.10.5 128.0.0.0 UG 0 0 0 tun0
link-local * 255.255.0.0 U 1000 0 0 enp3s0
172.98.67.121 192.168.1.1 255.255.255.255 UGH 0 0 0 enp3s0
192.168.1.0 * 255.255.255.0 U 0 0 0 enp3s0
Все работает отлично
Теперь я пробую вот так:
Norway.ovpn
client
dev tun
proto udp
remote no.privateinternetaccess.com
resolv-retry infinite
persist-key
persist-tun
cipher aes-128-cbc
auth sha1
tls-client
remote-cert-tls server
auth-user-pass /etc/openvpn/piaauth.txt
comp-lzo
verb 1
reneg-sec 0
crl-verify /etc/openvpn/crl.rsa.2048.pem
ca /etc/openvpn/ca.rsa.2048.crt
disable-occ
lport 1187
rport 1198
sudo /usr/sbin/openvpn --config /etc/openvpn/Norway.ovpn --route-noexec
sudo route add -net 10.39.10.1 gw 10.39.10.5 netmask 255.255.255.255 dev tun1
sudo route add -net 10.39.10.5 gw * netmask 255.255.255.255 dev tun1
sudo route add -net 108.61.123.81 gw 192.168.1.1 netmask 255.255.255.255 enp3s0
Маршруты сейчас:
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
default 192.168.1.1 0.0.0.0 UG 0 0 0 enp3s0
10.39.10.1 10.39.10.5 255.255.255.255 UGH 0 0 0 tun1
10.39.10.5 * 255.255.255.255 UH 0 0 0 tun1
10.8.10.1 10.8.10.5 255.255.255.255 UGH 0 0 0 tun0
10.8.10.5 * 255.255.255.255 UH 0 0 0 tun0
108.61.123.81.c 192.168.1.1 255.255.255.255 UGH 0 0 0 enp3s0
128.0.0.0 10.8.10.5 128.0.0.0 UG 0 0 0 tun0
link-local * 255.255.0.0 U 1000 0 0 enp3s0
172.98.67.121 192.168.1.1 255.255.255.255 UGH 0 0 0 enp3s0
192.168.1.0 * 255.255.255.0 U 0 0 0 enp3s0
И я думаю, что проблема возникает после попытки добавить последний маршрут:
sudo route add -net 128.0.0.0 gw 10.39.10.5 netmask 128.0.0.0 dev tun1
, потому что я ранее использовал 128.0.0.0 с tun0. Я попытался изменить его на что-то другое, например, 252.0.0.0 или 224.0.0.0, но это не сработало. И если я попробую с 128.0.0.0, tun1 работает, а tun0 - нет. Что мне делать, чтобы оба туннеля работали одновременно?
Основная таблица маршрутизации
Для каждой таблицы маршрутизации возможен только 1 маршрут по умолчанию. Если вы хотите добавить маршруты в основную таблицу маршрутизации, то вам нужно решить, какой шлюз будет использоваться в качестве маршрута по умолчанию.
Когда используется redirect-gateway def1 , OpenVPN добавляет 2 (более конкретных) маршрута (каждый из которых соответствует половине диапазона IP-адресов) в основную таблицу маршрутизации, которые заменяют маршрут по умолчанию, не удаляя его:
0.0.0.0/1 via 10.8.0.1 dev tun0 # network 0.0.0.0 mask 128.0.0.0
default via 10.0.2.2 dev eth0 # network 0.0.0.0 mask 0.0.0.0
128.0.0.0/1 via 10.8.0.1 dev tun0 # network 128.0.0.0 mask 128.0.0.0
То же самое применимо для этих 2 замещающих маршрутов. Невозможно добавить другой маршрут с 0.0.0.0/1 или 128.0.0.0/1 в основную таблицу маршрутизации.
Маршрутизация на основе политик
Я подозреваю, что вы хотите настроить какое-то раздельное туннелирование. Это может быть достигнуто с помощью маршрутизации на основе политик следующим образом, предполагая, что используются устройства tun0 и tun1 .
Сначала добавьте еще две таблицы маршрутизации:
echo "100 tun0" >> /etc/iproute2/rt_tables
echo "101 tun1" >> /etc/iproute2/rt_tables
Создайте ] /etc/openvpn/route-up.sh сценарий для автоматического добавления маршрутов при подключении openvpn:
#!/bin/bash
RULE_EXIST=$(ip rule list | grep "from ${ifconfig_local}" | wc -l)
if [ $RULE_EXIST -ne 0 ]; then
ip rule del from "${ifconfig_local}" lookup "${dev}"
fi
ip rule add from "${ifconfig_local}" lookup "${dev}"
ip route add default via "${route_vpn_gateway}" dev "${dev}" table "${dev}"
Выполнить chmod + x /etc/openvpn/route-up.sh
Добавьте эти строки в файлы конфигурации клиента OpenVPN:
route-noexec
route-up /etc/openvpn/route-up.sh
script-security 2
Теперь подключитесь к обоим клиентам и проверьте таблицы маршрутизации:
root@debian:/etc/openvpn# ip route show
default via 10.0.2.2 dev eth0
10.0.2.0/24 dev eth0 scope link src 10.0.2.15
10.8.0.0/24 dev tun0 proto kernel scope link src 10.8.0.2
root@debian:/etc/openvpn# ip route show table tun0
default via 10.8.0.1 dev tun0
root@debian:/etc/openvpn# ip route show table tun1
default via 10.0.2.2 dev eth0
root@debian:/etc/openvpn# ip rule show
0: from all lookup local
32762: from 10.8.0.2 lookup tun0
32763: from 10.0.2.15 lookup tun1
32766: from all lookup main
32767: from all lookup default
Теперь вам нужно решить, что делать. Например, чтобы включить простую балансировку нагрузки, добавьте следующий маршрут:
ip route del default
ip route add default scope global nexthop via 10.8.0.1 dev tun0 weight 1 \
nexthop via 10.0.2.2 dev eth0 weight 1
После этого основная таблица маршрутизации будет выглядеть следующим образом:
root@debian:/etc/openvpn# ip route show
default
nexthop via 10.8.0.1 dev tun0 weight 1
nexthop via 10.0.2.2 dev eth0 weight 1
10.0.2.0/24 dev eth0 scope link src 10.0.2.15
10.8.0.0/24 dev tun0 proto kernel scope link src 10.8.0.2
Используя маршрутизацию на основе политик, вы можете делать интересные вещи. Дополнительные идеи см. В приведенных ниже ссылках.
Отладка сценария OpenVPN
Добавьте это в сценарий route-up.sh , чтобы облегчить отладку и посмотреть, какие переменные доступны:
log=/tmp/ovpn.log
exec >>"$log" 2>&1
chmod 666 "$log" 2>/dev/null
printenv
Затем запустите tail -f /tmp/ovpn.log при подключении.