那些遇到过的问题

networkmanager-strongswan vpn - 通过 VPN 路由特定 IP

Rob*_*eda 4 vpn networkmanager ip-routing linuxmint strongswan

我正在尝试在 Linux Mint 19.2 上设置 VPN。

我正在使用网络管理器-strongswan，所以我在下面添加了这个名为VPN的文件/etc/NetworkManager/system-connections/ 

[connection]
id=VPN
uuid=be1d4fd1-bbaa-4aa9-9fdc-e293bf16fe67
type=vpn
autoconnect=false
permissions=
timestamp=1582680217

[vpn]
address=vpn********.it
certificate=
encap=yes
ipcomp=no
method=eap
password-flags=0
proposal=no
user=user
virtual=yes
service-type=org.freedesktop.NetworkManager.strongswan

[vpn-secrets]
password=password

[ipv4]
dns-search=
ignore-auto-dns=true
ignore-auto-routes=true
method=auto

[ipv6]
addr-gen-mode=stable-privacy
dns-search=
ip6-privacy=0
method=ignore
Run Code Online (Sandbox Code Playgroud)

连接正常，我可以在专用网络上使用 ssh 访问。最大的问题是连接后我无法上网，连接到VPN会锁定所有其他地址。
我ignore-auto-routes在配置中添加了该标志，为什么我的连接被锁定？

ip输出* 

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:3c:de:1b brd ff:ff:ff:ff:ff:ff
    inet yy.16.209.132/24 brd yy.16.209.255 scope global dynamic noprefixroute ens33
       valid_lft 1656sec preferred_lft 1656sec
    inet yy.26.199.18/32 scope global ens33
       valid_lft forever preferred_lft forever
    inet6 fe80::216e:bcc0:3b4f:44b2/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
Run Code Online (Sandbox Code Playgroud)

路由-n输出

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         yy.16.209.2    0.0.0.0         UG    20100  0        0 ens33
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 ens33
yy.16.209.0    0.0.0.0         255.255.255.0   U     100    0        0 ens33
yy.26.199.18   0.0.0.0         255.255.255.255 UH    50     0        0 ens33
yy.26.199.18   0.0.0.0         255.255.255.255 UH    100    0        0 ens33
Run Code Online (Sandbox Code Playgroud)

ip xfrm 策略输出NO VPN 

src yy.16.209.0/24 dst yy.16.209.0/24 
    dir fwd priority 175423 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir in priority 175423 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir out priority 175423 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir fwd priority 183615 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir in priority 183615 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir out priority 183615 
src fe80::/64 dst fe80::/64 
    dir fwd priority 134463 
src fe80::/64 dst fe80::/64 
    dir in priority 134463 
src fe80::/64 dst fe80::/64 
    dir out priority 134463 
src yy.26.199.18/32 dst 0.0.0.0/0 
    dir out priority 383615 
    tmpl src yy.16.209.132 dst xx.xx.124.58
        proto esp spi 0xc57cfb3f reqid 7 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir fwd priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 7 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir in priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 7 mode tunnel
src ::1/128 dst ::1/128 
    dir fwd priority 68927 
src ::1/128 dst ::1/128 
    dir in priority 68927 
src ::1/128 dst ::1/128 
    dir out priority 68927 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0
Run Code Online (Sandbox Code Playgroud)

VPN 下的ip xfrm 策略输出 

src yy.26.199.18/32 dst 0.0.0.0/0 
    dir out priority 383615 
    tmpl src yy.16.209.132 dst xx.xx.124.58
        proto esp spi 0xc787ea42 reqid 2 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir fwd priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 2 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir in priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 2 mode tunnel
src fe80::/64 dst fe80::/64 
    dir fwd priority 134463 
src fe80::/64 dst fe80::/64 
    dir in priority 134463 
src fe80::/64 dst fe80::/64 
    dir out priority 134463 
src ::1/128 dst ::1/128 
    dir fwd priority 68927 
src ::1/128 dst ::1/128 
    dir in priority 68927 
src ::1/128 dst ::1/128 
    dir out priority 68927 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir fwd priority 175423 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir in priority 175423 
src yy.16.209.0/24 dst yy.16.209.0/24 
    dir out priority 175423 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir fwd priority 183615 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir in priority 183615 
src 169.254.0.0/16 dst 169.254.0.0/16 
    dir out priority 183615 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0 
src ::/0 dst ::/0 
    socket in priority 0 
src ::/0 dst ::/0 
    socket out priority 0
Run Code Online (Sandbox Code Playgroud)

比较输出，我可以看到这一部分是在连接 VPN 时添加的：

src yy.26.199.18/32 dst 0.0.0.0/0 
    dir out priority 383615 
    tmpl src yy.16.209.132 dst xx.xx.124.58
        proto esp spi 0xc787ea42 reqid 2 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir fwd priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 2 mode tunnel
src 0.0.0.0/0 dst yy.26.199.18/32 
    dir in priority 383615 
    tmpl src xx.xx.124.58 dst yy.16.209.132
        proto esp reqid 2 mode tunnel
Run Code Online (Sandbox Code Playgroud)

我尝试了很多事情但没有运气。

  • 尝试将 yy.26.199.18 的 增加到Metric1050 和 1100。
  • route del default&&ip route add default via yy.26.199.18 dev ens33
  • 尝试删除路由条目 yy.26.199.18 但没有任何变化

还有很多其他愚蠢的事情。

因此，我想在通过 VPN 路由特定地址时使用“普通互联网”连接。
有可能的？

Ger*_*rit 6

在目前的状态下，charon-nm没有“设置”来定义隧道另一端的远程网络。默认情况下，VPN 客户端会建议完整的地址空间，并依赖 VPN 响应器将流量选择器缩小到更具体的远程子网。你可以在Charon-nm 代码中看到这一点。Strongswan wiki中也提到了NetworkManager 插件。

\n\n
\n

如您所见，隧道没有子网配置。我们让服务器管理选择子网；客户端始终为远程网络建议 0.0.0.0/0，服务器将其范围缩小到配置的子网。

\n
\n\n

因此，如果响应者没有缩小范围，那么离开主机的所有单播流量都将被引导到隧道中。

\n\n

然而，只要 VPN 响应器分配虚拟 IP，就有一种路由方式可以解决这个问题。它通过 Charon-nm 连接到外部界面。这是virtual=yes设置所要求的。根据给定的数据，它是外部接口上的第二个地址。

\n\n

Strongswan 默认情况下使用路由表 ID 220 和优先级为 220 的路由策略规则调用该表。该表实际上将发往VPN的数据包的来源设置为您这边的虚拟IP，然后它们被xfrm策略规则捕获。因此，您可以使用较低（如之前执行的）优先级规则绕过这些规则，并避免与 xfrm 策略匹配。

\n\n

例如，如果您只希望 192.168.0.1/16 的流量进入隧道：

\n\n
ip rule add from all to 192.168.0.1/16 table 220 priority 218\nip rule add table main priority 219\n
Run Code Online (Sandbox Code Playgroud)\n\n

第一条规则捕获您的“想要的”流量并将其发送到 Strongswan 表，第二条规则将 Strongswan 表跳过到主表（如果您未指定表，则在此处添加路由）。

\n\n

或者使用单个否定规则：

\n\n
ip rule add not from all to 192.168.0.1/16 table main priority 128\n
Run Code Online (Sandbox Code Playgroud)\n\n

您可以使用和/etc/NetworkManager/dispatcher.d/中的网络挂钩自动添加和删除此类规则，只需将可执行脚本放入其中，模式为“root”拥有的 0755。将分别包含或。将包含外部接口的名称。将是路径。./pre-up.d/./pre-down.d/$2vpn-pre-upvpn-pre-down$1$CONNECTION_FILENAME/etc/NetworkManager/system-connections/yourfilename

\n\n

例如：

\n\n
#!/bin/bash\nif [[ "$2" == "vpn-pre-up" ]]\nthen\n  ip rule ...\nfi\n
Run Code Online (Sandbox Code Playgroud)\n\n

查看到某个地址的路由是否不是来自表220

\n\n
ip route get address/32\n
Run Code Online (Sandbox Code Playgroud)\n\n

如果表 220 不通过 VPN，您应该看不到表 220，否则您会看到表 220。此外，VPN 路由将虚拟 IP 显示为 src，“主”表将正常外部 IP 显示为 src。

\n\n

表220中显示规则：

\n\n
ip route show table 220\n
Run Code Online (Sandbox Code Playgroud)\n\n

当反复更改 VPN 或路由表中的设置时，刷新缓存的路由可能会很有用：

\n\n
ip route flush cache\n
Run Code Online (Sandbox Code Playgroud)\n\n

或许我们还应该知道，启动 VPN 也会切断已经运行的 IP 层通信，而这些通信是以“纯文本”形式运行的、应该通过 VPN 的通信。但是，如果在绕过路由之前打开具有完整地址空间流量选择的 VPN 连接，这也意味着您将失去当时所有正在运行的 TCP 连接。即使 NetworkManager 调度程序调用其 pre-up 挂钩，当调用 pre-up 脚本时，表 220 中的 ip xfrm 规则和路由已经启动，因此这是您需要考虑的事情，并且可能将表 220 的路由旁路设置为开机时间。

\n

归档时间：

查看次数：

2394 次

最近记录：

5 年，5 月 前
相关归档
OpenVPN 客户端到客户端 23
Samba over OpenVPN - 非常慢 8
是否有允许协议和端口特定规则的 Windows 7 兼容 IPSec VPN 客户端？ 6
在服务器之外发出路由 openswan vpn 流量 6
这个奇怪的 MTU 是怎么回事？ 5
如何通过 IPSEC VPN 路由公共 IP 范围？ 5
处理很少在本地 LAN 上的加入域的笔记本电脑？ 5
VPN 服务器没有响应，没有流量被阻止的迹象 5
AWS StrongSwan IPSec VPN 5
openVPN 无法确定 IPv4/IPv6 协议。使用 AF_INET 2
难疑归档
IP 地址 0.0.0.0 和 127.0.0.1 有什么区别？ 264
如何在nginx日志中输出变量进行调试 123
如何更改 EC2 实例的安全组 120
如何列出 Apache 启用的模块？ 118
GIT 作为备份工具 115
美国东西海岸的“典型”网络延迟是多少？ 110
Splunk 的替代品？ 76
如何防止“ps”报告自己的进程？ 56
使用 ansible 部署一个包含模板文件的文件夹 56
将自己的 UPS 连接到托管在数据中心的自己的服务器有什么优点和缺点？ 52