[emitar]

Mireczki podpowiecie mi jak ustawić routing, aby urządzenia 10.0.2.200 korzystało z interfejsu vtun6?
ip r

0.0.0.0/16 dev vtun6 proto kernel scope link
default via 192.168.0.1 dev eth0 proto zebra
10.0.2.0/24 dev eth1 proto kernel scope link src 10.0.2.2
10.50.0.0/16 dev vtun6 proto kernel scope link src 10.50.0.20
192.168.0.0/16 dev eth0 proto kernel scope link src 192.168.4.178
192.168.2.0/24 dev eth2 proto kernel scope link

iptables -S

-A FORWARD -s 10.0.2.200/32 -i eth1 -o vtun6 -j ACCEPT
-A FORWARD -s 10.0.2.200/32 -i eth1 -o eth0 -j REJECT --reject-with icmp-port-unreachable

#siecikomputerowe #linux #ubiquiti

[d1sconn3cted]

@emitar: musiał byś dodać statyczną drogę 10.0.2.200 z maską /32 przez ten interfejs bo inaczej eth1 dostanie ten ruch.

[emitar]

@d1sconn3cted: zielony jestem w te klocki. masz na myśli.

ip route add 10.0.2.200/32 dev vtun6

Jeśli tak, to co musiałbym jeszcze ustawić, aby adres ten (10.0.2.200) był osiągalny dla innych z sieci 10.0.2.0/24?

[d1sconn3cted]

Jeśli tak, to co musiałbym jeszcze ustawić, aby adres ten (10.0.2.200) był osiągalny dla innych z sieci 10.0.2.0/24?

@emitar: nie będzie bo hosty będą myślały że ten adres jest dostępny lokalnie więc wyślą arpa. Jedyną możliwością było by dodanie statycznego przypisania na hostach że 10.0.2.200 jest dostępny na bramie domyślnej i stamtąd brama powinna wrzucić to na vtun6 natomiast to jest straszne kombinowanie. Nie prościej dać jakiś inny zakres IP dla

[emitar]

@d1sconn3cted: To może zacznę od początku.

W sieci lokalnej 10.0.2.0/24 mam 'X' urządzeń. Na routerze (10.0.2.2) mam między innymi uruchomionego klienta VPN (openvpn) na interfejsie vtun6. Chciałbym, żeby jedno z tych urządzeń (10.0.2.200) miało internet tylko i wyłącznie przez tego vpn'a. Jeżeli vpn leży internet ma nie działać. Wszystkie inne pozostałe urządzenia korzystają sobie 'normalnie' z internetu (tak jak jest to do tej pory).

[d1sconn3cted]

@emitar: jeżeli wrzucisz urządzenie .200 do tunelu to inne urządzenia z sieci .2.0/24 nie będą go widzieć bo ten host jest jakby podłączony bzpośrednio do sieci VPNa. Żeby urządzenia go widziały musiał byś stworzyć wirualny interfejs np. taki jak dla VMki, który by dzielił fizyczny interfejs .200 na 2 z innymi IPkami gdzie jeden jest tunelowany do vpna a drugi dostępny lokalnie (właśnie z takiego setupu nawet piszę ;))

[emitar]

@d1sconn3cted: dzięki za poświęcony czas, muszę poczytać co i jak w takim razie :]

[k.....l]

@emitar: @d1sconn3cted: dajcie wiecej info o takim schemacie

[daedalus1337]

@emitar: Rozwiązanie Twojego problemu jest banalnie proste, ale wymaga podania mi pewnych informacji, ponieważ podany przez Ciebie zrzut Twojej tablicy routingu na bank jest niechlujnie wklejony i brakuje kilku istotnych wpisów.

Na swoim routerze zestaw sesję VPN z serwerem OpenVPN i dopiero potem wykonaj następujące polecenia. Następnie prześlij mi ich wynik:

1) Konfiguracja interfejsów na routerze:

$ sudo ip addr sh

2) Zawartość tablicy routingu:

$ sudo ip ro sh

3)

[emitar]

@daedalus1337:
Ad. 1

ip addr sh
1: lo:  mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1
 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
 inet 127.0.0.1/8 scope host lo
 valid_lft forever preferred_lft forever
 inet6 ::1/128 scope host
 valid_lft forever preferred_lft forever
2: eth0:  mtu 1500 qdisc noqueue state UP group default qlen 1000
 link/ether b8:88:e3:ad:44:db brd ff:ff:ff:ff:ff:ff
 inet 192.168.4.178/16 brd 192.168.255.255 scope global eth0
 valid_lft forever preferred_lft forever
 inet6 fe80::ba88:e3ff:fead:44db/64 scope link
 valid_lft

[daedalus1337]

@emitar: Dobra te informacje mi wystarczą. Najważniejsza jest dla mnie konfiguracja interfejsów i przede wszystkim zawartość Twojej tablicy routingu. Jest sporo opisywania, co i jak zrobić, dlatego rozwiązanie podeślę Ci jutro wieczorem. Trzeba dodać nową tablicę routingu, następnie dodać odpowiednie reguły rutujące ruch do tej nowej tablicy routingu dla wybranego przez ciebie hosta w sieci (czyli: 10.0.2.200), tak aby wychodził "na świat" przez tunel VPN. Następnie trzeba przekonfigurować reguły zapory

[emitar]

@daedalus1337 z góry dziękuję. Router to ubiquiti

[daedalus1337]

@emitar: No problem. Postaram się pomóc. W razie większych komplikacji przeniesiemy rozmowę na priv.

[daedalus1337]

@emitar: W związku z tym, że dzisiaj serwery wykopu działają mocno niestabilnie, to jutro około g. 20 odezwę się do Ciebie na priv w sprawie obiecanej Ci przeze mnie pomocy z konfiguracją routingu via VPN.