Не раздается интернет через openvpn

11.04.2013 09:44 #314621

Ситуация такова: имеется Scientific Linux 6.4 с установленным openvpn как сервер. Так же имеется выход в интернет через pptp интерфейс ppp0.
ip a выглядит так :

text

2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    inet 172.20.46.2/24 brd 172.20.46.255 scope global eth0
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 1000
    inet 10.0.64.16/26 brd 10.0.64.63 scope global eth1
8: tap0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1400 qdisc pfifo_fast state UNKNOWN qlen 100
    inet 10.10.10.1/24 brd 10.10.10.255 scope global tap0
12: ppp0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1400 qdisc pfifo_fast state UNKNOWN qlen 3
    inet 176.110.237.87 peer 213.108.144.29/32 scope global ppp0

eth0 внутренняя сеть, eth1 смотрит в сторону провайдера, tap0 это openvpn который по сути тоже висит на интерфейсе eth1, ppp0 непосредственно выход в инет.

Так же есть еще один удаленный SL 6.3 который подключен к сети провайдера, и соединяется с SL 6.4 по openvpn как клиент, вот его ip a

text


2: eth0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    inet 172.20.45.2/25 brd 172.20.45.127 scope global eth0
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    inet 10.11.65.219/26 brd 10.11.65.255 scope global eth1
6: tap0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1400 qdisc pfifo_fast state UNKNOWN qlen 100
    inet 10.10.10.6/24 brd 10.10.10.255 scope global tap0

eth0 внутренняя сеть, eth1 смотрит в сторону провайдера, tap0 openvpn client.
Сам шлюз имеет доступ как в инет так и во внутреннию сеть 172.20.46.0/24 SL6.4 но почему то не дает доступ все кто из под сети 172.20.45.2/25.
Вот его iptables

text


*mangle
:PREROUTING ACCEPT [3067:336667]
:INPUT ACCEPT [2818:321947]
:FORWARD ACCEPT [249:14720]
:OUTPUT ACCEPT [2364:309799]
:POSTROUTING ACCEPT [2613:324519]
COMMIT
# Completed on Thu Apr 11 12:26:11 2013
# Generated by iptables-save v1.4.7 on Thu Apr 11 12:26:11 2013
*nat
:PREROUTING ACCEPT [170:16531]
:POSTROUTING ACCEPT [103:7317]
:OUTPUT ACCEPT [33:3165]
-A POSTROUTING -s 172.20.45.0/26 -o tun0 -j MASQUERADE 
COMMIT
# Completed on Thu Apr 11 12:26:11 2013
# Generated by iptables-save v1.4.7 on Thu Apr 11 12:26:11 2013
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth0 -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 3389 -j ACCEPT 
-A INPUT -i eth1 -j ACCEPT 
-A INPUT -i tap0 -j ACCEPT 
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -i eth0 -o tun0 -j ACCEPT 
-A FORWARD -i tun0 -o eth0 -j REJECT --reject-with icmp-port-unreachable 
-A OUTPUT -o lo -j ACCEPT 
-A OUTPUT -o eth0 -j ACCEPT 
-A OUTPUT -p tcp -m tcp --sport 22 -j ACCEPT 
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -o eth1 -j ACCEPT 
-A OUTPUT -o tap0 -j ACCEPT 
COMMIT

Подскажите пожалуйста в чем проблема то?

11.04.2013 11:56 #314637

А зачем тебе REJECT?

text

-A FORWARD -i tun0 -o eth0 -j REJECT --reject-with icmp-port-unreachable

11.04.2013 12:02 · отредактировано #314638

убрал, но проверить сейчас прям не могу. Чуть позже отпишусь
еще заменил -A POSTROUTING -s 172.20.45.0/26 -o tun0 -j MASQUERADE на
-A POSTROUTING -s 172.20.45.0/26 -o tap0 -j SNAT --to-source 10.10.10.1

11.04.2013 13:12 #314642

semperN написал:
убрал, но проверить сейчас прям не могу. Чуть позже отпишусь
еще заменил -A POSTROUTING -s 172.20.45.0/26 -o tap0 -j MASQUERADE на
-A POSTROUTING -s 172.20.45.0/26 -o tap0 -j SNAT --to-source 10.10.10.1

проблема решилась тем что на sl 6.3 в iptables вписал
iptables -t nat -A POSTROUTING -s 172.20.45.0/24 -o tap0 -j MASQUERADE
Не понятно почему с маской 26 не работает nat