Cliente OpenVPN acessível a partir da WAN no Asus Router

Question

Eu tenho o roteador Asus RT-N66U com o servidor OpenVPN ativado. Eu preciso fazer uma porta do cliente OpenVPN conectado disponível na Internet. Por isso, quero encaminhar a porta 80 para o dispositivo conectado via OpenVPN ao meu roteador.

Primeiro eu tentei configurar o TUN. O cliente tem endereço IP 10.8.0.5. Eu encaminhei a porta 80 para a 10.8.0.5

O problema é que funciona apenas a partir da LAN interna. Eu também posso usar o endereço IP externo e, normalmente, encaminhar todos os pacotes para o 10.8.0.5 para o cliente, mas da Internet eu sempre tenho tempo limite, parece que os pacotes chegam ao dispositivo, mas a resposta não.

Eu tentei modificar manualmente o iptables de acordo com o link e nada ajuda.

Agora eu reconfigurei o OpenVPN para usar o TAP. E novamente o mesmo funciona totalmente a partir da LAN, mas não da Internet. Deve haver algo que eu sinto falta.

Aqui está uma lista de todas as regras do iptables para configurações de link (tabelas de IP são geradas pelo próprio roteador)

Alguém pode me dizer o que impede o tráfego da interface eth0 para tun / tap nos estandes?

    

Answer 1

A sua descrição da sua configuração é muito incompleta, por isso só posso aventurar-me a adivinhar algumas coisas para verificar.

1. Primeiro, você adicionou a diretiva cliente-para-cliente à configuração do servidor? Isso permitiria contornar a maioria dos problemas relacionados ao iptables porque os pacotes não passariam pela pilha usual, mas seriam roteados internamente para openvpn .

2. Você observou que as seguintes regras

   Chain FORWARD (policy DROP)
   target     prot opt source               destination
   ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
   DROP       all  --  anywhere             anywhere
   

impede a comunicação entre os dois clientes? As regras de iptables são aplicadas sequencialmente: sempre que o primeiro que se ajusta é encontrado, o processamento posterior dos seguintes é encerrado e a regra que se aplica é usada. Portanto, sempre que um pacote new chega, a primeira regra acima não se aplica, a segunda, portanto, é aplicada e o pacote new é descartado. Assim, nenhuma nova conexão é sempre estabelecida.

Eu não tenho certeza de que isso é tudo o que é necessário para fazer sua configuração funcionar, mas você pode tentar modificar os dois pontos acima e voltar para outra iteração, se você estabeleceu que o acima não é a única causa de suas travessuras.