Ubuntu: VPN mata NAT

Question

Saída: Script de informações sem fio

Conexão é roteador ISP (DHCP) - eth0 192.168.1.91 - wlan0 (NAT / DHCP) 192.168.5.1

Estou usando hostapd para ativar o AP, /etc/network/interfaces para criar interface e IP estático, dnsmasq para DNS e DHCP para wlan0 e o NetworkManager cuida da eth0 e de duas entradas de DNS estáticas (por teste).

O wlan0 tem conexão com a internet até que eu inicie o OpenVPN no NetworkManager.

Aqui estão os meus iptables:

    user@server:~$ sudo iptables -S
    -P INPUT ACCEPT
    -P FORWARD ACCEPT
    -P OUTPUT ACCEPT
    -A FORWARD -i wlan0 -j ACCEPT
    -A FORWARD -s 192.168.5.0/24 -i wlan0 -o eth0 -m conntrack --ctstate NEW -j ACCEPT
    -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Aqui estão algumas saídas antes / depois.

Antes:

    user@server:~$ route -n
    Kernel IP routing table
    Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
    0.0.0.0         192.168.1.254   0.0.0.0         UG    0      0        0 eth0
    169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 wlan0
    192.168.1.0     0.0.0.0         255.255.255.0   U     1      0        0 eth0
    192.168.5.0     0.0.0.0         255.255.255.0   U     0      0        0 wlan0

Depois:

    user@server:~$ route -n
    Kernel IP routing table
    Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
    0.0.0.0         10.119.72.109   0.0.0.0         UG    0      0        0 tun0
    10.119.72.1     10.119.72.109   255.255.255.255 UGH   0      0        0 tun0
    10.119.72.109   0.0.0.0         255.255.255.255 UH    0      0        0 tun0
    169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 wlan0
    192.168.1.0     0.0.0.0         255.255.255.0   U     1      0        0 eth0
    192.168.5.0     0.0.0.0         255.255.255.0   U     0      0        0 wlan0
    <ISP public IP> 192.168.1.254   255.255.255.255 UGH   0      0        0 eth0

Meu route ok, mas meu iptables está confuso? iptables bom mas route desarrumada? Eu sou um soup-sandwich e está tudo bagunçado? Eu estava me sentindo muito bem em lidar com isso sozinha até passar várias noites batendo com a cabeça na parede, uma vez que introduzi a VPN na equação.

    

Answer 1

Eu acredito que você precisa de uma VPN transparente para o seu wifi, certo?

A tabela de roteamento está OK, mas o iptables precisa de uma atualização.

Como suas políticas não são restritas, você será bom com isso:

iptables -A FORWARD -i wlan+ -o tun+ -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i tun+ -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun+ -j MASQUERADE

Para a referência, verifique o link para MASQUERADE target, pois é crucial em lidando com NAT.