Есть два хоста с Debian. Нужно завернуть собственный (т.е. инициированный им самим) трафик одного хоста (клиента) через второй (сервер). Сделал pptp vpn, настроил, работает. Одна беда: когда включается vpn - отваливаются уже подключенные к клиенту соединения и вообще невозможно достучаться до него напрямую. Нужно или ребутать его или стучаться до VPN-сервера, а с него подключаться к клиенту. Причём с VPN-сервера подключается как по адресу назначенному VPN, так и по внешнему адресу (до которого остальные в этот момент не могут достучаться). Я определённо туплю. Подскажите пожалуйста, что нужно поправить, чтобы клиент не терялся из исходной сети и можно было свободно к нему подключаться не из VPN?
КоньФигурация
Адрес клиента 10.1.1.168
Маршрутизатор подсети клиента 10.1.1.161
10.1.2.106 - VPN-сервер
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 10.1.1.161 0.0.0.0 UG 0 0 0 xenbr0
10.1.1.160 0.0.0.0 255.255.255.224 U 0 0 0 xenbr0
10.1.2.106 10.1.1.161 255.255.255.255 UGH 0 0 0 xenbr0
192.168.168.0 0.0.0.0 255.255.255.0 U 0 0 0 xenbr1
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 0.0.0.0 0.0.0.0 U 0 0 0 ppp0
10.1.1.160 0.0.0.0 255.255.255.224 U 0 0 0 xenbr0
10.1.2.106 10.1.1.161 255.255.255.255 UGH 0 0 0 xenbr0
192.168.10.1 0.0.0.0 255.255.255.255 UH 0 0 0 ppp0
192.168.168.0 0.0.0.0 255.255.255.0 U 0 0 0 xenbr1
# iptables-save
# Generated by iptables-save v1.4.14 on Sat Jun 4 23:36:26 2016
*nat
:PREROUTING ACCEPT [881747:56696529]
:INPUT ACCEPT [72439:5554730]
:OUTPUT ACCEPT [40572:2692848]
:POSTROUTING ACCEPT [46252:3369042]
-A PREROUTING -d 10.1.1.168/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.168.2:3389
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.168.0/24 ! -d 192.168.168.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.168.0/24 ! -d 192.168.168.0/24 -o xenbr0 -j MASQUERADE
COMMIT
# Completed on Sat Jun 4 23:36:26 2016
# Generated by iptables-save v1.4.14 on Sat Jun 4 23:36:26 2016
*filter
:INPUT ACCEPT [2312018:1648329198]
:FORWARD ACCEPT [1527774:2514275872]
:OUTPUT ACCEPT [2378596:2470855620]
:ISPMGR - [0:0]
-A INPUT -j ISPMGR
-A FORWARD -m physdev --physdev-out vif8.0 --physdev-is-bridged -j ACCEPT
-A FORWARD -p udp -m physdev --physdev-in vif8.0 --physdev-is-bridged -m udp --sport 68 --dport 67 -j ACCEPT
-A FORWARD -m physdev --physdev-out vif8.0 --physdev-is-bridged -j ACCEPT
-A FORWARD -s 192.168.168.5/32 -m physdev --physdev-in vif8.0 --physdev-is-bridged -j ACCEPT
-A FORWARD -m physdev --physdev-out vif7.0 --physdev-is-bridged -j ACCEPT
-A FORWARD -p udp -m physdev --physdev-in vif7.0 --physdev-is-bridged -m udp --sport 68 --dport 67 -j ACCEPT
-A FORWARD -m physdev --physdev-out vif7.0 --physdev-is-bridged -j ACCEPT
-A FORWARD -s 192.168.168.6/32 -m physdev --physdev-in vif7.0 --physdev-is-bridged -j ACCEPT
-A FORWARD -m physdev --physdev-out vif5.0 --physdev-is-bridged -j ACCEPT
-A FORWARD -p udp -m physdev --physdev-in vif5.0 --physdev-is-bridged -m udp --sport 68 --dport 67 -j ACCEPT
-A FORWARD -m physdev --physdev-out vif5.0 --physdev-is-bridged -j ACCEPT
-A FORWARD -s 192.168.168.4/32 -m physdev --physdev-in vif5.0 --physdev-is-bridged -j ACCEPT
-A OUTPUT -j ISPMGR
COMMIT
Интерфейсы xenbr т.к. на клиенте живёт несколько виртуалок под управлением xen.
