Encaminhamento de porta com o OpenVPN

Question

Configure um servidor openvpn mas tenha problemas para encaminhar as portas para o cliente.

Abaixo está o que estou tentando fazer:

WAN: 123.45.67.89:4444 -> [OpenVPN Server] -> CLIENT: 192.168.1.10:4444

Visto muitas respostas diferentes sobre como fazer isso, mas não importa o que eu tente, parece que não funciona e porta testes sempre mostram a porta como fechada.

    

Answer 1

Suponho que você esteja usando o OpenVPN no modo roteado e esteja ligando seus clientes para a WAN. Se assim for, você vai querer fazer o seguinte:

iptables -t nat -A PREROUTING -i eth0 -d 123.45.67.89 -p tcp --dport 4444 -j DNAT --to-destination 192.168.1.10 (altere a eth0 para qualquer interface na qual sua WAN esteja realmente ativa).

Se você não estiver usando NAT, então é só uma questão de garantir que o host que você está tentando conectar saiba encaminhar os pacotes destinados a 192.168.1.10 a 123.45.67.89 (o que obviamente não funcionará para um IP RFC1918 pela Internet). Em qualquer caso, os únicos outros requisitos são que você tenha o roteamento IPv4 habilitado (eu diria que a VPN não estaria funcionando se você não o fizesse) e que você não tem nenhuma outra regra de firewall que bloqueia esse tráfego.

    

Answer 2

Então essa foi a nossa solução no iptables. Você ainda precisa definir o ip_forward no linux.

 *nat
:PREROUTING ACCEPT [56:16971]
:INPUT ACCEPT [1:52]
:OUTPUT ACCEPT [31:2256]
:POSTROUTING ACCEPT [31:2256]
-A POSTROUTING -s 10.2.0.0/24 -o enp1s0 -j MASQUERADE
-A PREROUTING -i enp1s0 -p tcp --dport 9000 -j DNAT --to-destination 10.2.0.22
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [5618:4419840]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.2.0.0/24 -j ACCEPT
-A FORWARD -i enp1s0 -o tun1 -p tcp --dport 9000 --syn -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i enp1s0 -o tun1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
-A FORWARD -i tun1 -o enp1s0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Wed Dec 20 18:30:08 2017