@izoabr 上一条自动发出去了，参考这里 https://blog.51cto.com/h2ofly/1544860，如果单独看涉及到的 iptables 规则的话，是否可以直接用？好像只有一条 POST 和一条 POST 加 FORWARD。

@izoabr 参考这里

电脑已准备好，可以干了

@izoabr 大佬要是有时间，我再下去拿个笔记本去，毕竟大佬的时间难得，哈哈

@weyou 嗯刚刚分别在两个路由器上面试了下，新建防火墙区域，然后到防火墙那个页面编辑把 tun 的区域打开，最右侧 Masquerading 选项勾选，保存应用，然后相互 ping 对方内网其他机器，还是不行 。
由于是手机操作的，不方便上传图片，明天再操作截图下。
谢谢~

@weyou
@pubby 感谢二位提供的思路，被老婆拎回房睡觉了。。。

@weyou 不是页面创建的，直接编辑 /etc/config 下的文件创建的。

@hawhaw 感觉越来越高明的样子，不是学网络的，看不懂哈。。。如果大佬有时间能否多讲解一二呢。

@weyou openwrt 的防火墙要配置什么呢？

@weyou 路由已经加了，但是 ping 不通 A、B 路由后面的机器：

A 节点:
```
root@OpenWrt:/etc/tinc/cloud/hosts# ip route show
default via 53.3.94.1 dev pppoe-wan proto static
10.200.30.0/24 dev tun0 scope link
53.3.94.1 dev pppoe-wan proto kernel scope link src 53.3.94.180
192.168.1.0/24 dev br-lan proto kernel scope link src 192.168.1.1
172.16.14.0/24 dev tun0 proto kernel scope link src 172.16.14.1
root@OpenWrt:/etc/tinc/cloud/hosts#
```

B 节点:
```
root@OpenWrt:~# ip route show
default via 10.200.30.250 dev br-lan src 10.200.30.55
10.200.30.0/24 dev br-lan scope link src 10.200.30.55
192.168.1.0/24 dev tun0 scope link
172.16.15.0/24 dev tun0 scope link src 172.16.15.2
root@OpenWrt:~#
```

@izoabr ztmjffzrix 这个上 zerotier 建的虚拟设备，我编辑的时候编辑错了，忽略几块，参考 #43 #31 A、B 两节点已经可以通讯了。

@izoabr
@weyou 根据 #31 的方法 A、B 两个节点已经通了，感谢！
但是这只解决了一半的问题，因为 A、B 两个是路由器，A、B 虽然可以互通，但是 A、B 两个路由后端的机器还是没有通。我是想在 A、B 两个节点增加一下 iptables MASQUERADE：
```
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
```
不过还是 ping 不通 A、B 后面的其他主机，如下，
在 A 节点 ping B 路由器后面的主机（ IP 为 10.200.30.67 ）：
```
root@OpenWrt:~# ping 10.200.30.67
PING 10.200.30.67 (10.200.30.67): 56 data bytes
^C
--- 10.200.30.67 ping statistics ---
9 packets transmitted, 0 packets received, 100% packet loss
root@OpenWrt:~#
```
此时在 B 路由器上 tcpdump -i tun0 已经收到包了，但是还是不通：
```
root@OpenWrt:~# tcpdump -i tun0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on tun0, link-type RAW (Raw IP), capture size 262144 bytes
14:53:53.548755 IP6 fe80::31ad:504:165b:1666.546 > ff02::1:2.547: dhcp6 solicit
14:53:53.648347 IP 172.16.14.1 > 10.200.30.67: ICMP echo request, id 53116, seq 5, length 64
14:53:53.648366 IP 172.16.14.2 > 172.16.14.1: ICMP 10.200.30.67 protocol 1 port 11387 unreachable, length 92
14:53:54.648702 IP 172.16.14.1 > 10.200.30.67: ICMP echo request, id 53116, seq 6, length 64
14:53:54.648722 IP 172.16.14.2 > 172.16.14.1: ICMP 10.200.30.67 protocol 1 port 57910 unreachable, length 92
14:53:55.648533 IP 172.16.14.1 > 10.200.30.67: ICMP echo request, id 53116, seq 7, length 64
14:53:55.648553 IP 172.16.14.2 > 172.16.14.1: ICMP 10.200.30.67 protocol 1 port 46322 unreachable, length 92
^C
7 packets captured
7 packets received by filter
0 packets dropped by kernel
root@OpenWrt:~#
```

@sujin190 #11 并没有通啊

@izoabr
@weyou 问下经过 tun0 设备到对端局域网的路由应该是指定对端的 vpn ip 还是本节点的 vpn ip ？
如下是 A 节点，VPN 分配的 IP 地址是 172.16.14.1：
```
root@OpenWrt:~# ip addr show | grep '172.16.14.'
inet 172.16.14.1/24 scope global tun0
root@OpenWrt:~#
```

那么配置的路由应该是下面的哪一个呢？（我都试过了两个都不行。。）
```
root@OpenWrt:~# # via 本节点 IP
root@OpenWrt:~# ip route add 192.168.1.0/24 via 172.16.14.1
root@OpenWrt:~# # via 对方 IP
root@OpenWrt:~# ip route add 192.168.1.0/24 via 172.16.14.2
root@OpenWrt:~#
```

@izoabr 应该不会过滤 icmp 吧，我单纯的 ping vpn 网段和内网的网段的话都是可以响应的

@weyou tinc 网络都已经好了。hosts 文件里路由？是指 tinc 的路由吗？我没有在 hosts 文件里面设置路由，就是 tinc-up 后台 tinc-down 文件里面设置了 ip，路由的话是我命令行手工添加的。

@pubby 是的，两台都是 openwrt。既然 vpn 接口不需要加 nat 的话，那么理论上来说 #13 楼的应该有效了，但似乎不行。而且不需要 nat 的话，那么最简单的方案就是：关闭 iptables、指定经过 tun0 设备的到对方网段的 route、开启 ip forward。

这三步就应该 OK 了啊。。。

@weyou 两个网络是在不同的局域网的，分属不同的公网也不需要 nat 吗？

@weyou 我加的是这个，出口设备 tun0：
```
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
```
即使换成 br-lan 也不行

@hawhaw @izoabr 是不是除了路由的部分还需要配置 iptables 的 MASQUERADE ？