VNC доступ к компьютерам за роутером под OpenVPN

Роутер и VPS не в одной сети, насколько я понимаю? Если так, то нет разницы, пробуете вы зайти напрямую или пробуете вы зайти через VPS. VPS тоже должен как бы сначала зайти, те он должен видеть либо локальные айпи , либо айпи свистка.

Свисток должен получать внешний айпи адрес.

В роутер вставлен свисток, он получается с него интернет и является клиентом OpenVPN, VPS является сервером OpenVPN. Интернет на роутере идет через VPN, тот ему выдал локальный IP 10.1.0.2, внутри сети роутера можно через этот IP и его порты подключаться на машины. Правильно я понимаю, что VPS через VPN не может перекинуть обращение? Они же формально в одной сети, но только виртуальной.

Я правильно понимаю, что:

• роутер умеет выступать в роли клиента OpenVPN?
• роутер прописан в качестве шлюза по-умолчанию для всех машин в локалке?

Если так, то NAT здесь не требуется вообще (кроме стандартного SNAT из локалки в интернет, само собой).

Ключевой момент: на компьютере, которым Вы пытаетесь подключиться, должен быть маршрут в локальную сеть. Достигается это директивой push "route 10.1.0.0 255.255.255.0" в конфиге сервера (либо вручную на клиенте).

То есть, с т.з. клиента (который пытается установить соединение по VNC), картина будет такая:

[client]->[client subnet]->[client gw]->[internet]->
[openvpn server]->[openvpn interface for client]->
[openvpn subnet]->[server subnet]->[server]

С т.з. сервера (который принимает соединение по VNC):
[server]->[server subnet]->[server gw]

Прошу прощения, отравил недописанным; правил.

Тогда может, проверьте пингует ли VPS локальный айпишники.

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -i eth0 -p tcp -d  217.**.***.*** --dport 4005 -j DNAT --to-destination 10.1.0.2:4005

где eth0 - имя внешнего интерфейса VPS

локальные server 10.1.0.0 255.255.255.0

10.1.0.1, наверное?

[client]->[client subnet]->[client gw]->[internet]->[openvpn server]->[openvpn interface for client]-> [openvpn subnet]->[server subnet]->[server]

Это концептуально, не буквально. Буквально там будет два интерфейса, физический (eth/wlan) и tun для OpenVPN.

Тогда может, проверьте пингует ли VPS локальный айпишники

Хорошо, спасибо, буду разбираться.

10.1.0.1, наверное?

Да, вы правы.

роутер умеет выступать в роли клиента OpenVPN?

роутер прописан в качестве шлюза по-умолчанию для всех машин в локалке? Все именно так.

То есть, с т.з. клиента (который пытается установить соединение по VNC), картина будет такая

Спасибо большое за ответ, теперь буду пробовать.

Сюда еще SNAT добавить надо

iptables -t nat -A POSTROUTING -p tcp -d 10.1.0.2 --dport 4005 -j MASQUERADE