作者 主題: [問題]OpenVPN + IP Mapping  (閱讀 3344 次)

0 會員 與 1 訪客 正在閱讀本文。

millhost

  • 懷疑的國中生
  • **
  • 文章數: 74
    • 檢視個人資料
[問題]OpenVPN + IP Mapping
« 於: 2012-03-06 18:09 »
各位大大

小弟近日因公司合併需要把兩個辦公室的服務器連起來。

網絡結構如下
總公司:

IP Range:  192.168.0.0/24
Server: Windows 2008 AD
Workstation: WinXP, Win 7

子公司:
IP Range: 192.168.0.0/24
Server IP: 192.168.0.10 (Windows 2003 AD)
Workstation: Win XP, Win 7

現在總公司的同事需要進入子公司的 Fileserver (Wiin 2003 AD)讀取資料,但因為網路重疊了而且兩邊都有服務器綁定了IP地址所以不能隨意更改IP Range,試過用SSH Tunnel Win XP 可以連到 Fileserver 及存取資料,但Win 7 就不知為何不可以接入,所以最後嘗試在子公司設置了一台OpenVPN Server。

OpenVPN 現在是用 TUN device 的設置(因為不是所有同事都需要),當需要時才連接OpenVPN的。

OpenVPN Server 網路設定如下:
OS: CentOS 5.6
Server IP - eth0: 192.168.0.5/24
OpenVPN IP - tun0: 10.2.2.1/24


OpenClient Client 網路設定如下:
Client IP: 10.2.2.6 -10.2.2.20  /24

我在OpenVPN服務器內增加了以下 iptables 的規則:
iptables -v -A RH-Firewall-1-INPUT -i eth0 -s 192.168.0.0/24 -j ACCEPT
iptables -v -A RH-Firewall-1-INPUT -i tun0 -s 10.2.2.0/24 -j ACCEPT

iptables -v -t nat -A PREROUTING -d 192.168.0.0/24 -j NETMAP --to 10.2.2.0/24
iptables -v -t nat -A PREROUTING -i tun0 -d 10.2.2.0/24 -j NETMAP --to 192.168.0.0/24
iptables -v -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j NETMAP --to 10.2.2.0/24
iptables -v -t nat -A POSTROUTING -o tun0 -s 10.2.2.0/24 -j NETMAP --to 192.168.0.0/24

echo 1 > /proc/sys/net/ipv4/ip_forward

同事在總公司連接OpenVPN是成功的,可以ping 到 10.2.2.1,但10.2.2.10就失敗了。

請問各位大大我的 iptables 規則那裏出了錯,是不是不應用 NETMAP 呢?
如果要把 10.2.2.10 map to 192.168.0.10 或整個 10.2.2.0/24 map to 192.168.0.0/24 應該怎處理呢?

感謝各位











« 上次編輯: 2012-03-06 18:30 由 millhost »

millhost

  • 懷疑的國中生
  • **
  • 文章數: 74
    • 檢視個人資料
Re: [問題]OpenVPN + IP Mapping
« 回覆 #1 於: 2012-03-08 19:06 »
各位大大

請賜教一下是不是概念上已有問題所以無法實現呢?
已弄了幾天現在已有點混亂了。

Thanks

被騎上班的老

  • 酷!學園 學長們
  • 活潑的大學生
  • ***
  • 文章數: 360
    • 檢視個人資料
Re: [問題]OpenVPN + IP Mapping
« 回覆 #2 於: 2012-03-09 03:34 »
太難,看不懂! 不過有幾點看法,大家研究一下。

1.我覺得最大的問題是你兩邊的網段重複,這樣的話你如何寫 routing ? 也就是說,你要寫一個 Routing rule,去辨別這個封包是要送遠端還是近端。

2. 你連 VPN server 以外的機器,那台機器的 routing 要加一條 10.0.0.0 的 route 回 VPN server。因為除了 VPN server 知道 10.0.0.0 的封包怎麼送,VPN server 以外的機器是不會知道要怎麼送,或者你的 VPN server 設為 default gateway。

millhost

  • 懷疑的國中生
  • **
  • 文章數: 74
    • 檢視個人資料
Re: [問題]OpenVPN + IP Mapping
« 回覆 #3 於: 2012-03-12 10:37 »
感謝 被騎上班的老 大大的指點,我會繼續努力的。