j'ai remis en place mon bonding openvpn mais je rencontre un soucis pour le NAT ...
à tous les coups c'est un truc con comme mes pieds mais je dois avouer que ça fait 3 soirées que je passe sur le sujet sans avancer ..
le pire c'est que j'avais réussi à le faire fonctionner mais je ne me rappelle plus comment ...
je ne suis pas doué non plus en schéma donc je vais tenter de donner un max d'infos par texte
VPN-WAN = machine hébergée dans un DC sous debian avec openvpn et un bond, la patte qui me sers de sortie et d'entrée pour le net est sur eth0 et le vpn est sur bond0 (tap1 tap2 tap3) (172.16.16.1)
VPN-LAN = machine hébergée en local sous debian avec openvpn et un bond, la patte d'entrée est le bond0 (tap1 tap2 tap3) (172.16.16.2) et la sortie vers mon routeur est eth0 (192.168.254.1)
ROUTEUR-LAN = machine sous pfsense, une patte wan en 192.168.254.254 et une patte lan en 192.168.1.1
SERVEUR-LAN = machine debian, serveur ssh lancé et écoute sur 192.168.1.250
Je souhaite accéder à partir du net à mon serveur ssh localisé sur 192.168.1.250
J'ai mis en place 2 règles nat sur le ROUTEUR-LAN et sur VPN-LAN qui fonctionnent car depuis VPN-WAN je peux me connecter.
Par contre, il semblerait que le nat ne fonctionne pas depuis le net vers VPN-LAN en passant par VPN-WAN ... VPN-WAN semble ignorer la règle.
Attention les yeux, ça vas piquer et j'en vois certains qui se marrent (pour ceux qui auront pu digérer le pavé plus haut)
J'ai testé avec le port 80 qui est redirigé par le Pfsense sur le port 22 du SERVEUR-LAN bien sur
Règles VPN-WAN
Code : Tout sélectionner
#!/bin/bash
IPTABLES=/sbin/iptables
/sbin/iptables -A INPUT -i eth0 -p tcp --sport 1024: --dport 2121 -m state --state NEW,ESTABLISHED -j ACCEPT
/sbin/iptables -A FORWARD -o eth0 -i bond0 -s 192.168.254.0/24 -m conntrack --ctstate NEW -j ACCEPT
/sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE
$IPTABLES -A FORWARD -p tcp --dport 80 -i eth0 -o bond0 -d 172.16.16.2 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -p tcp --sport 80 -i bond0 -o eth0 -s 172.16.16.2 -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A PREROUTING -t nat -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.16.16.2:80
Règles VPN-LAN
Code : Tout sélectionner
#!/bin/bash
IPTABLES=/sbin/iptables
for i in tap1 tap2 tap3 bond0
do
$IPTABLES -A OUTPUT -o $i -j ACCEPT
$IPTABLES -A INPUT -i $i -j ACCEPT
$IPTABLES -A FORWARD -i $i -j ACCEPT
done
$IPTABLES -A FORWARD -p tcp --dport 80 -i bond0 -o eth0 -d 192.168.254.254 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -p tcp --sport 80 -i eth0 -o bond0 -s 192.168.254.254 -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A PREROUTING -t nat -i bond0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.254.254:80
Donc pour résumer, si depuis VPN-WAN je fais un ssh 172.16.16.2 -p 80 j'ai bien accès au ssh de ma machine SERVEUR-LAN,
j'en déduit que la règle VPN--LAN est ok et que la règle sur ROUTEUR-LAN l'est aussi sinon je me ferais jeter,
par contre, si je tente de me connecter avec mon addresse publique (eth0 sur VPN-WAN) je n'ai pas d'invite de connection, j'en déduit que la règle NAT sur VPN-WAN n'est pas bonne ...
Bref, si quelqu'un pouvait m'aider à enlever le gras de jambon sur mes lunettes ça serais chouette
que le grep (et le -n pour oublier le dns qui met du temps)
