一个关于 iptables 的问题

最近在研究用 OpenVPN + iptables 实现内网穿透，比传统 Frp 内网穿透有一个好处就是可以转发访客真实 IP，但是目前遇到一个问题，如何让 OpenVPN 客户端以非全局模式连接？目前内网穿透测试过已经没有问题，但是客户端的所有流量也会经过服务器，我的想法是让客户端只用于内网穿透，而不是代理上网。

环境信息

OpenVPN 网段：10.8.0.0/24
OpenVPN 客户端 IP：10.8.0.181
OpenVPN 网关：10.8.0.1
服务器外网 IP：123.123.123.123（假设）

OpenVPN 服务器配置

port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 114.114.114.114"
push "dhcp-option DNS 223.5.5.5"
push "dhcp-option DNS 223.6.6.6"
keepalive 10 120
cipher AES-256-CBC
user openvpn
group openvpn
persist-key
persist-tun
status openvpn-status.log
log openvpn-tc.log
verb 3
crl-verify crl.pem
client-config-dir /etc/openvpn/server/clients/
script-security 2
down-pre
up /etc/openvpn/server/tc.sh
down /etc/openvpn/server/tc.sh
client-connect /etc/openvpn/server/tc.sh
client-disconnect /etc/openvpn/server/tc.sh

尝试过的操作

服务器上 iptables 配置：

iptables -t nat -A PREROUTING -d 123.123.123.123 -p tcp --dport 1:1023 -j DNAT --to-destination 10.8.0.181
iptables -t nat -A PREROUTING -d 123.123.123.123 -p udp --dport 1:1023 -j DNAT --to-destination 10.8.0.181

以上这个配置，内网穿透正常，可以转发真实 IP，但是客户端所有流量都会经过服务器。

然后经过我一晚上摸索，做了以下尝试：

注释掉 OpenVPN 服务器的这一行配置：

push "redirect-gateway def1 bypass-dhcp"

在服务器配置中增加一行：

push "route 10.0.0.0 255.0.0.0"

重新启动 OpenVPN 服务器和客户端，在客户端本地 curl 了一下 ip138，发现 IP 地址不再是服务器的 IP 了，也就说明此时是以非全局模式在运行的。

但是接着又遇到个问题，我发现内网穿透无法连接了，经过 tcpdump 抓包发现数据包已经到达了客户端主机，但是在返回的时候出不去，于是又照着网上教程在服务器上加了一个 iptables 规则：

iptables -t nat -A POSTROUTING -d 10.8.0.0/24 -j SNAT --to 10.8.0.1

加入这个规则后，内网穿透正常了，但是不能转发真实 IP，显示的访客 IP 都是来自 10.8.0.1 也就是 OpenVPN 的网关 IP。

有没有大佬知道如何解决这个问题？谢谢！

huangya

2019-09-16 09:21:03 +08:00

@KasuganoSoras 有看了下你的问题，基本弄清楚了需求。
>但是接着又遇到个问题，我发现内网穿透无法连接了，经过 tcpdump 抓包发现数据包已经到达了客户端主机，但是在返回的时候出不去，于是又照着网上教程在服务器上加了一个 iptables 规则：

前面步骤保留，在这里不要在服务器上添加 iptables 规则，建议在客户端上用策略路由。我写了一些没有验证过的命令，你可以在客户端试试看(用 root 权限执行）,有什么问题可以后续交流。
iptables -t mangle -A OUTPUT -p udp -m udp --sport 1:1023 -j MARK --set-xmark 0x1/0xffffffff
iptables -t mangle -A OUTPUT -p tcp -m tcp --sport 1:1023 -j MARK --set-xmark 0x1/0xffffffff
echo 1 openvpn-tun >>/etc/iproute2/rt_tables
ip route add default via 192.168.5.1 dev tun0 table openvpn-tun
ip rule add from all fwmark 0x1 lookup openvpn-tun