iptables - Traffic/Internet über Tunnel führen

[frannek]

Hallo Zusammen,

ich habe leider ein Thema, wo ich seit Stunden versuche aber leider nicht hin bekomme.
Ich möchte über eine VPN Verbindung in das Internet gelangen. Der VPN Tunnel wird wunderbar hergestelt aber das war es dann natürlich auch. Die IP wird dem Client zugewiesen und ist eine Public IP:

LAN 192.168.2.2 - LTE ROUTER Shared IP x.x.x.x --- VPN TUN y.y.y.y --- public IP Internet.

Wie gesagt, der Tunnel wird wunderbar aufgebaut und taucht auch im ifconfig auf. Jedoch ist da nicht ein Bit drüber gesendet oder empfangen worden und das Internet wird über die LTE Verbindung geleitet.

Der Router arbeitet mit iptables, daher habe ich hier in das Forum geschrieben. Die Config Oberfläche des Routers ist hingegen eine Katastrophe (RUT955)

Kann mir jemand sagen, wie ich das in den IP Tables einzugeben habe? Ich hab das ganze bis heute nicht verstanden und würde mich sehr über Hilfe freuen.

Vielen Dank


Frannek

 

[.A.]

Was hat das routing mit iptables zu tun?

--
.A.

 

[frannek]

Wenn ich Ahnung hätte, würde ich hier sicher keine Frage stellen. Daher entschuldige ich mich, für einen falsch genannten Begriff! Meine Problematik steht oben beschrieben und ich denke, dass jeder weis, was mein Problem ist. Demnach kann ich deine Frage nicht beantworten und danke herzlich für den Kommentar.

 

[.A.]

192.168.2.2 ist übrigens keine Public IP. Ist das ein Schreibfehler oder willst Du NAT?

--
.A.

 

[frannek]

Es steht doch da. .das LAN ist 192.168.2.2 (bzw die ip des Router im Lan). Ich dachte, das die Schematik verständlich sei.. daher steht auch erst am ende des tunnels die public IP. Demnach müsste ich nat machen und das default gateway ändern (was ich auf die public IP mal geändert hatte)

 

[.A.]

Nein, Du schreibst

Die IP wird dem Client zugewiesen und ist eine Public IP:

Masquerading bekommst Du mit:

iptables -t nat -A POSTROUTING -o tun -j MASQUERADE

--
.A.

 

[frannek]

Asooo.. ja, der Tunnel bekommt vom VPN Server eine publix IP y.y.y.y zugewiesen. Das war so gemeint, das eben die Lan IP und die Publick IP auf dem Router vorhanden sind. Der Traffic läuft jedoch über die shared IP x.x.x.x vom WAN Anschluss, soll aber durch den Tunnel mit der IP y.y.y.y laufen


3g-ppp Link encapoint-to-Point Protocol
inet addr:37.80.XX.XX P-t-P:10.64.64.64 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:496 errors:0 dropped:0 overruns:0 frame:0
TX packets:584 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:3
RX bytes:70640 (68.9 KiB) TX bytes:230487 (225.0 KiB)

br-lan Link encap:Ethernet HWaddr 00:1E:42:14:3F:5D
inet addr:192.168.2.2 Bcast:192.168.2.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:1268 errors:0 dropped:0 overruns:0 frame:0
TX packets:934 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:296464 (289.5 KiB) TX bytes:210272 (205.3 KiB)

eth0 Link encap:Ethernet HWaddr 00:1E:42:14:3F:5D
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:1376 errors:0 dropped:20 overruns:0 frame:0
TX packets:936 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:340085 (332.1 KiB) TX bytes:210364 (205.4 KiB)
Interrupt:5

lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:32 errors:0 dropped:0 overruns:0 frame:0
TX packets:32 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:2671 (2.6 KiB) TX bytes:2671 (2.6 KiB)

tun_c_TUN0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:172.21.173.XX P-t-P:172.21.173.YY Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:1 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)

wlan0 Link encap:Ethernet HWaddr 00:1E:42:14:3F:5F
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:36 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 B) TX bytes:4888 (4.7 KiB)




root@Teltonika:~# route -nee
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
0.0.0.0 10.64.64.64 0.0.0.0 UG 0 0 0 3g-ppp
10.64.64.64 0.0.0.0 255.255.255.255 UH 0 0 0 3g-ppp
46.16.216.XX 172.21.173.XX 255.255.255.255 UGH 0 0 0 tun_c_TUN0
46.16.220.XX 172.21.173.XX 255.255.255.255 UGH 0 0 0 tun_c_TUN0
80.146.164.XX 172.21.173.XX 255.255.255.255 UGH 0 0 0 tun_c_TUN0
80.146.164.XX 172.21.173.XX 255.255.255.255 UGH 0 0 0 tun_c_TUN0
80.146.165.XX 172.21.173.XX 255.255.255.255 UGH 0 0 0 tun_c_TUN0
80.146.165.XX 172.21.173.XX 255.255.255.255 UGH 0 0 0 tun_c_TUN0
172.21.0.1 172.21.173.XX 255.255.255.255 UGH 0 0 0 tun_c_TUN0
172.21.85.XX 172.21.173.XX 255.255.255.252 UG 0 0 0 tun_c_TUN0
172.21.173.XX 0.0.0.0 255.255.255.255 UH 0 0 0 tun_c_TUN0
192.168.2.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan

 

[.A.]

Zunächst muss net.ipv4.ip_forward = 1 sein. Prüfen mit

sysctl net.ipv4.ip_forward

Dann brauchst Du Masquerading mit

iptables -t nat -A POSTROUTING -o tun_c_TUN0 -j MASQUERADE

Damit sollten bei allen ausgehenden Paketen die Quell-IP auf 172.21.173.XX umgeschrieben werden.

Dann kannst Du Dich mal um die routing table kümmern. Da kann Dir nur der lokale Netzwerk-Administrator helfen, denn die Einträge sehen sehr speziell aus.

Edit:
Wenn Du erst mal schnell zum Ziel willst, kannst Du mit policy routing.

echo 200 localnet >> /etc/iproute2/rt_tables
ip rule add from 192.168.2.0/24 lookup localnet
ip route add default via 172.21.173.YY dev tun_c_TUN0 table localnet

--
.A.