Eu tenho um servidor OpenVPN com dois clientes conectados. Os clientes não têm endereços IP públicos, portanto, a única maneira de acessar o SSH é através da VPN.
A máquina que está executando o servidor está atrás de um roteador com um endereço IP público de w.x.y.z. O endereço da LAN do servidor é 10.0.0.5. O endereço da LAN do roteador é 10.0.0.1 e tem a máquina rodando o servidor (10.0.0.5) como a DMZ.
O cliente nº 1 sempre obtém um endereço VPN de 192.168.2.6 e executa um serviço ssh na porta 1802
O cliente nº 2 sempre recebe um endereço VPN de 192.168.2.14 e executa um serviço ssh na porta 1804
O que eu gostaria de fazer é ser capaz de ssh para estes clientes de qualquer lugar dizendo
ssh w.x.y.z -p1802
para o primeiro cliente e
ssh w.x.y.z -p1804
para o segundo cliente.
Eu configurei o iptables com as seguintes regras:
:OUTPUT ACCEPT [6473:428732]
-A PREROUTING -d w.x.y.z -p tcp -m tcp --dport 1802 -j DNAT --to-destination 192.168.2.6
-A PREROUTING -d w.x.y.z -p tcp -m tcp --dport 1804 -j DNAT --to-destination 192.168.2.14
Aqui estão minhas tabelas de roteamento:
Tabela de roteamento de IP do kernel
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.2.2 * 255.255.255.255 UH 0 0 0 tun0
192.168.2.0 192.168.2.2 255.255.255.0 UG 0 0 0 tun0
10.0.0.0 * 255.255.255.0 U 0 0 0 eth0
169.254.0.0 * 255.255.0.0 U 0 0 0 eth0
default 10.0.0.1 0.0.0.0 UG 0 0 0 eth0
saída ifconfig:
[root@osrv sysconfig]# /sbin/ifconfig
eth0 Link encap:Ethernet HWaddr 80:51:EA:74:92:A5
inet addr:10.0.0.6 Bcast:10.0.0.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:4554899 errors:0 dropped:0 overruns:0 frame:0
TX packets:4568878 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:1083718390 (1.0 GiB) TX bytes:1131399760 (1.0 GiB)
Interrupt:11 Base address:0xa000
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:11833 errors:0 dropped:0 overruns:0 frame:0
TX packets:11833 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:5197664 (4.9 MiB) TX bytes:5197664 (4.9 MiB)
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:192.168.2.1 P-t-P:192.168.2.2 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:985135 errors:0 dropped:0 overruns:0 frame:0
TX packets:947116 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:215916038 (205.9 MiB) TX bytes:429598806 (409.6 MiB)
Com isso configurado assim, se eu estiver logado no servidor, posso ssh para qualquer cliente com
ssh 192.168.2.6 -p 1802
ssh 192.168.2.14 -p1804
e ambos funcionam bem.
No entanto, quando tento fazer isso pela internet:
ssh w.x.y.z -p 1802
funciona bem, mas
ssh w.x.y.z -p 1804
não responde.
O que eu senti falta?
Eu acho que vou responder a minha própria pergunta.
deixei de fora as regras do SNAT. Isso corrigiu:
-A POSTROUTING -d 192.168.2.6 -p tcp -m tcp --dport 1624 -j SNAT --to-source 192.168.2.1
-A POSTROUTING -d 192.168.2.14 -p tcp -m tcp --dporta 1626 -j SNAT --to-source 192.168.2.1