проблема с iptables при создании VPN-подключения

машина, с которой инициируется подключение, сидит за натом

А нат кто обеспечивает? Я бы, что бы исключить проблемы с этой железкой для теста проверил через другое подключение, например с мобильного инета будет достаточно.

на серваке сделал так:

Покажите выхлоп iptables-save, если в нём есть белые IP замаскируйте их.

А нат кто обеспечивает?

муа и обеспечивает %)
самопальный скрипт на серверочке (я из дома пытаюсь достучаться)

Я бы, что бы исключить проблемы с этой железкой для теста проверил через другое подключение, например с мобильного инета будет достаточно.

у всех остальных подключается из винды, у них работает...

Покажите выхлоп iptables-save, если в нём есть белые IP замаскируйте их.

вот то, что сейчас... https://pastebin.com/ciYBDjMd

Стоп! Прочитал заголовок, вы openvpn настраиваете или ipsec?

блин...
но, да, в гномике это IPSec, просто я сначала хотел через xl2tp это делать, в общем сам запутался и всех запутал :-\

а вот дмесг на клиенте(убунте): https://pastebin.com/CY6iDx1p

ЯННП. Конкретизируйте пожалуйста, вы все-таки что настраиваете и что не получается?

такс... собрал мысли в кучку

настраиваю VPN подключение из Убунты, настройки подключения досткпны после клика на кнопку «IPsec Setting», но там только «Pre-Shared key»

но, ИМХО, это не особо важно - все упирается в настройки моих iptables

И всё таки я уточню, а на сервере вы что настроили?

на сервере к которому подключаюсь ничего...

p.s. настройки своего гномовского клиента я делал по мануалу, который получил

В смысле ничего?

ну сервер же настраивали в той компании, к которой подключась, а я просто получил мануал с настройками username/password и pre-shared key

А это

но на серваке сделал так:

тогда о чем было?

да, нужно было написать «на своём серваке» - у меня тут ноут, десктоп и малегькая черная коробочка, которая играет роль роутера, ее-то я и называю «серваком» или «серверочком»
iptables, соответственно, тоже на ней

Продолжаем допрос :)

у всех остальных подключается из винды, у них работает...

эти «все» подключаются тоже через «малегькая черная коробочка» ?

Дружище, ты какую чушь порешь. При чем здесь iptables? Если у тебя работает NAT, все что тебе нужно это настроить клиентское подключение исходя из серверных настроек.

:))
не, у тех всех, скорее всего, нет своей внутренней сети и НАТа на локальном сервере...

Не всегда. Могут быть проблемы с пропусканием GRE или с MTU. Но тут надо подробнее смотреть параметры подключения и логи.

Это уже частные проблемы, которые надо решать, а тут же ТС какую-то дичь постит, порты куда-то мапит, какие-то адреса подменяет, что вообще происходит непонятно.

При чем здесь iptables?

уфф
смотрите, сперва, когда я не трогал iptables на «маленький черный коробочка», «sudo tcpdump -i eth1 host <host>» просто молчалю Потом, когда я сделал «iptables -t nat -A POSTROUTING -m policy --pol ipsec --dir out -j ACCEPT» в дмесге «маленькой черной коробочки» появилось

12:43:04.707807 IP 172.29.2.14.isakmp > <host>.isakmp: isakmp: phase 1 I ident

в итоге дошел до

13:55:57.381611 IP 172.29.2.14.isakmp > <host>.isakmp: isakmp: phase 1 I ident
13:55:57.381720 IP <host>.isakmp > 172.29.2.14.isakmp: isakmp: phase 1 R ident
13:55:57.384247 IP 172.29.2.14.isakmp > <host>.isakmp: isakmp: phase 1 I ident
13:55:57.384325 IP <host>.isakmp > 172.29.2.14.isakmp: isakmp: phase 1 R ident
13:55:57.387089 IP 172.29.2.14.isakmp > <host>.isakmp: isakmp: phase 2/others I inf
13:55:57.387167 IP <host>.isakmp > 172.29.2.14.isakmp: isakmp: phase 2/others R inf

Соберись с мыслями. Что ты в итоге делаешь-то?

хочу сделать, чтоб IPSec c убунты коннектился к внешнему серверу
убунта за НАТом, а последний, как выяснилось, не пропускает просто так

отлично, покажи вывод

iptables -t nat -L -nxv
iptables -t filter -L -nxv
iptables -t mangle -L -nxv

С твоей коробочки (я так понял это твой роутер?)

С твоей коробочки (я так понял это твой роутер?)

ага, типа роутер на Селероне 1037U :)

а вот вывод:
iptables -t nat -L -nxv
iptables -t filter -L -nxv
iptables -t mangle -L -nxv

Тогда возвращаемся к моему первому посту:

Я бы, что бы исключить проблемы с этой железкой для теста проверил через другое подключение, например с мобильного инета будет достаточно.

Проблема может быть как в настройке вашего девайса, так и в «малегькая черная коробочка».

iptables -t nat -A POSTROUTING -m policy –pol ipsec –dir out -j ACCEPT

Chain POSTROUTING (policy ACCEPT 1165 packets, 92239 bytes)

Ты понимаешь что это значит? А ipsec сервер, он тоже на этой коробочке или где-то в интернетах?

Ты понимаешь что это значит?

не... я с iptables на «Вы» с ОООчень большой «В» :(
но до этой комманды вообще тишина в дмесге была...

А ipsec сервер, он тоже на этой коробочке или где-то в интернетах?

где-то в интернете

не… я с iptables на «Вы» с ОООчень большой «В» :( но до этой комманды вообще тишина в дмесге была…

Это значит, что тебе надо ОТЪЕБАТЬСЯ от iptables на твоей коробочке. От dmesg на твоей коробочке - тоже, он не имеет никакого отношения к подключению твоей убунты к ipsec серверу.

IP компьютера 172.29.2.14 IP сервера 194.186.172.221

Правильно предполагаю?

да, все верно
мой локальный - 172.29.2.14
и сервер на 194.186.172.221

Чудно, на коробочке выполни:

iptables -t nat -F POSTROUTING
iptables -t nat -A POSTROUTING -s 172.29.2.0/24 -j SNAT --to-source 192.168.1.64
iptables -t nat -A POSTROUTING -s 172.29.3.0/24 -j SNAT --to-source 192.168.1.64
iptables -t nat -A POSTROUTING -s 10.0.2.0/24 -j SNAT --to-source 192.168.1.64

Все, и больше никогда не трогай, пока не изучишь вопрос. Итого, у тебя в локалке три подсети /24, которые ходят в интернет через «коробочку» - 192.168.1.64/24

Зачем, кстати?

192.168.1.64 - это от МТСовского роутера (который пускает в инет)
172.29.2.0/24 - локальная сеть от «главного роутера»
172.29.3.0/24 - второй старенький роутер с выключенным вайфаем, используется преимущественно для хромов и VirtualBox'ов (по ssh со стационарного компа, там оперативки больше)
10.0.2.0/24 - это я игрался с qemu-sparc

Отлично, теперь займись настройкой ipsec, только коробочку свою не трогай ни в коем случае, а то ты опасен, судя по 100500 бессмысленным правилам фаервола твоего многострадального.

100500 бессмысленным правилам фаервола твоего многострадального.

там же редиректы портов, чтоб можно было из все зайти по ssh, на сервер, ноут, десктоп... это из полезного, из неполезного - раздавать торренты, например

Счас очищу от чуши, 5 мин

скрипт, на самом деле, писал не я, а мой однокурсник, который знает iptables, а я его просто дополняю всякими хотелками...

а вот сам скрипт: https://pastebin.com/RFgBNfSX
// он еще со времен, когда у меня был билайн, поэтому, не удивляйтесь, пожалуйста :)

iptables -t nat -F PREROUTING

iptables -t nat -A PREROUTING -p tcp -m multiport --dports 2010:2020 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.5
iptables -t nat -A PREROUTING -p udp -m multiport --dports 2010:2020 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.5

iptables -t nat -A PREROUTING -p tcp --dport 23122 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.2:22
iptables -t nat -A PREROUTING -p tcp --dport 23123 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.3:22
iptables -t nat -A PREROUTING -p tcp --dport 23125 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.5:22

iptables -t nat -A PREROUTING -p tcp --dport 25 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.3:25

iptables -t nat -A PREROUTING -p tcp --dport 6883 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.3:6883
iptables -t nat -A PREROUTING -p udp --dport 6883 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.3:6883

iptables -t nat -A PREROUTING -p tcp --dport 6882 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.3:6882
iptables -t nat -A PREROUTING -p udp --dport 6882 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.3:6882

iptables -t nat -A PREROUTING -p tcp --dport 7881 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.2:7881
iptables -t nat -A PREROUTING -p udp --dport 7881 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.2:7881

iptables -t nat -A PREROUTING -p tcp --dport 8881 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.2:8881
iptables -t nat -A PREROUTING -p udp --dport 8881 -d 192.168.1.64 -j DNAT --to-destination 172.29.2.2:8881

И да, тут тоже ничего не трогай, пока не изучишь)))

4      240 REDIRECT   tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            mark match 0x12225 redir ports 22

Вот этот надмозг - это что подразумевалось? Для чего?

Ну в скрипт уже как-нибудь сам справишься

Вот этот надмозг - это что подразумевалось?

это часть для попадпания на 172.29.2.5:22

нет

И да, тут тоже ничего не трогай, пока не изучишь)))

ok, спасибо! :)

я пока трогать остерегусь (работает же прекрасно, для всего остального), а пойду опять в инет искать решение «NetworkManager[6838]: received UNSUPPORTED_CRITICAL_PAYLOAD error notify» :)

Я тебе и так скажу: ты не те настройки подключения вбиваешь.

$iptables -t mangle -A PREROUTING -p tcp -d $BEELINE_IP -m multiport --dports 23123 -j MARK --or-mark 0x12225
$iptables -t mangle -A PREROUTING -p tcp -d $PPP_IP -m multiport --dports 23123 -j MARK --or-mark 0x12225
$iptables -t mangle -A PREROUTING -p tcp -d $PPP_IP -m multiport --dports 23125 -j MARK --or-mark 0x12225
$iptables -t mangle -A PREROUTING -p tcp -d $PPP_IP -m multiport --dports 4422 -j MARK --or-mark 0x12225
$iptables -t filter -A INPUT -m mark --mark 0x10000/0x10000 -j ACCEPT
$iptables -t nat -A PREROUTING -p tcp -m mark --mark 0x12225 -j REDIRECT --to-ports 22

Удоли эту дичь.

и потеряю возможность коннекта из-вне

но вообще говоря, изначальгый вопрос стоял в другом...

не потеряешь, я ж тебе дал правила для проброса портов.

На вопрос ответил же: неправильные настройки вбиваешь. Например вместо ip 194.186.172.221 сервера вбил ip 172.29.2.1

вот в этом блоке поменять местами 194.186.172.221 и 172.29.2.14?

$iptables -t nat -A PREROUTING -i eth1 -p udp -d 194.186.172.221 --dport 500 -j DNAT --to-destination 172.29.2.14
$iptables -t nat -A PREROUTING -i eth1 -p udp -d 194.186.172.221 --dport 4500 -j DNAT --to-destination 172.29.2.14
$iptables -A FORWARD -p udp -d 172.29.2.14 --dport 500 -j ACCEPT
$iptables -A FORWARD -p udp -d 172.29.2.14 --dport 4500 -j ACCEPT
$iptables -t nat -A POSTROUTING -p udp -s 172.29.2.14 --sport 500 -j SNAT --to-source 194.186.172.221
$iptables -t nat -A POSTROUTING -p udp -s 172.29.2.14 --sport 4500 -j SNAT --to-source 194.186.172.221

ща попробую...

УДОЛИ эту дичь говорю ж блин. Я тебе дал все что нужно. Зачем ты все это делаешь ппц.

$iptables -t nat -A PREROUTING -i eth1 -p udp -d 194.186.172.221 –dport 500 -j DNAT –to-destination 172.29.2.14

Тут черным по белому написано: послать трафик с хоста 172.29.2.14 обратно хосту 172.29.2.14

Т.е. ты сам себя заблокировал и долбишься как баран.

ясно! спасибо большое! :))