Então, a maior parte disso está acima, mas a solução completa foi a seguinte:
Edite / etc / iproute2 / rt_tables e adicione duas linhas na parte inferior:
101 internet
102 vpn
Você pode dar a essas tabelas outros nomes que façam mais sentido, apenas sejam consistentes.
Então você precisa criar um script (eu chamei de rt_setup) em /etc/init.d
#!/bin/sh
DEV1=eth0
IP1='ifconfig|perl -nE'/dr:(\S+)/&&say$1'|grep 192.'
GW1=192.168.0.1
TABLE1=internet
TABLE2=vpn
DEV2=tun0
IP2='ifconfig|perl -nE'/dr:(\S+)/&&say$1'|grep 10.'
GW2='route -n | grep 'UG[ \t]' | awk '{print $2}''
ip route flush table $TABLE1
ip route flush table $TABLE2
ip route show table main | grep -Ev ^default | while read ROUTE ; do
ip route add table $TABLE1 $ROUTE
ip route add table $TABLE2 $ROUTE
done
ip route add table $TABLE1 $GW1 dev $DEV1 src $IP1
ip route add table $TABLE2 $GW2 dev $DEV2 src $IP2
ip route add table $TABLE1 default via $GW1
ip route add table $TABLE2 default via $GW2
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
ip rule add from $IP1 lookup $TABLE1
ip rule add from $IP2 lookup $TABLE2
ip rule add fwmark 1 lookup $TABLE1
ip rule add fwmark 2 lookup $TABLE2
iptables -t nat -A POSTROUTING -o $DEV1 -j SNAT --to-source $IP1
iptables -t nat -A POSTROUTING -o $DEV2 -j SNAT --to-source $IP2
iptables -t nat -A PREROUTING -m state --state ESTABLISHED,RELATED -j CONNMARK --restore-mark
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j CONNMARK --restore-mark
iptables -t nat -A PREROUTING -i $DEV1 -m state --state NEW -j CONNMARK --set-mark 1
iptables -t nat -A PREROUTING -i $DEV2 -m state --state NEW -j CONNMARK --set-mark 2
iptables -t nat -A PREROUTING -m connmark --mark 1 -j MARK --set-mark 1
iptables -t nat -A PREROUTING -m connmark --mark 2 -j MARK --set-mark 2
iptables -t nat -A PREROUTING -m state --state NEW -m connmark ! --mark 0 -j CONNMARK --save-mark
iptables -t mangle -A PREROUTING -i $DEV2 -m state --state NEW -p tcp --dport 80 -j CONNMARK --set-mark 2
iptables -t mangle -A PREROUTING -i $DEV2 -m state --state NEW -p tcp --dport 443 -j CONNMARK --set-mark 2
route del default
route add default gw 192.168.0.1 eth0
Então, obviamente, associe-o de /etc/rc2.d (eu uso o Ubuntu, o nível de execução pode ser diferente para você). Certifique-se de dar um número S maior do que o link openvpn!
O script faz várias coisas. A parte superior configura as variáveis, com algumas instruções perl e awk usadas para selecionar os endereços IPs e de gateway dinâmicos. A segunda seção limpa as tabelas configuradas no ipruote2 e copia a tabela de roteamento atual para elas. Em seguida, ele cria duas novas rotas e dois gateways padrão para elas, com a VPN passando pela VPN e a Internet passando pela minha rede local.
Não estou convencido de que as próximas 2 linhas sejam necessárias, mas elas permitem o encaminhamento de ip para uso no iptables.
Em seguida, o script cria algumas regras sobre onde procurar tráfego originado no endereço IP relevante e onde procurar se o tráfego está especificamente marcado.
O POSTROUTING e o PREROUTING garantem que o tráfego proveniente de um endereço receba a resposta!
O iptables final PREROUTING é a parte que marca o tráfego e garante que qualquer coisa que vá para as portas 80 ou 443 esteja marcada para usar a Tabela 2 (VPN)
As duas últimas linhas removem o gateway da VPN da tabela de roteamento padrão e adicionam de volta o meu gateway de rede local.
Como está, o processo funciona brilhantemente. A VPN é iniciada quando a máquina é ativada, e esse script é executado alguns segundos depois (posso adicionar uma instrução de suspensão apenas para garantir que a VPN esteja totalmente inicializada antes de executar esse script). Minha conexão de acesso remoto (ssh etc.) funciona muito bem. Minhas conexões fora que não vão às portas 80 ou 443 estão usando minha conexão local, mas todo o tráfego da correia fotorreceptora está indo sobre o VPN, e contornando os controles postos por meu ISP!
Como eu disse no meu comentário sob a minha pergunta, eu nem teria começado a olhar para esta rota sem a sugestão de @anttir. Na parte de trás dessa sugestão, os sites link e link foram muito úteis (mesmo se o código não estiver 100% concluído!)