vsn "To je prosté, milý Watsone" 😁😅.
Musíš dodělat markování conexí, nebo přidat ještě jedno NATovské pravidlo. Přesně tu stejnou situaci jsem řešil před pár lety také.
Mělo by jít o to, že ty z internetu (například) z adresy 1.2.3.4 pošleš pakety na 1.1.1.1:8282 a ty pakety skutečně dorazí, ale odpovědi již k tobě nedorazí. A to proto, že se to chová přesně podle toho, co to má mnastevano. Ve zkratce (uvažujme že NATovaná veřejná IP MK2 je třeba 9.9.9.9)
1.) Pošleš z internetu z adresy 1.2.3.4 požadavek na 1.1.1.1:8282
2.) Požadavek na 1.1.1.1:8282 dorazí, korektně se přeNATuje na 10.0.0.4:8291 (případně na 192.168.0.1:8291 - to by mělo být jedno)
3.) Přenatovaný paket proletí tunelem až na MK2, ten ho nějak zpracuje, ale odpovídá zpět na adresu 1.2.3.4
4.) MK2 se tedy podívá do routovací tabulky, ale nic speciálního, co by se týkalo 1.2.3.4 nenajde, tudíž to odešle na výchozí bránu (routa 0.0.0.0/0) a paket letí tedy zpět směrem na adresu 1.2.3.4, ale z adresy 9.9.9.9.
A buď se to po cestě už nepotká, nebo to zahodí klient, protože se ptal na 1.1.1.1, ale odpovídá mu 9.9.9.9. To už neumím posoudit.
Zkrátka paket vleze jednou dírou a vyleze zřejmě dírou jinou 😁.
Musíš zajistit, aby pakety, který přiletěly VPNkou, zpátky VPNkou také odletěly.
A to buď pomocí markování - odkaz na mé vlákno zde
A nebo NATem - tzn. na vstupním bodě (MK1) uděláš pravidlo, které paket zaNATuje, právě tehdy když (nějak takto, vařím z hlavy):
- Paket přichází z WAN rozhraní
- Paket má nelokální src-adresu (!192.168.0.0/16) - nebudeme přeci zbytečně NATovat pakety z lokálních sítí, pro které máme routy
- Paket neputuje do primární lokální sítě (192.168.100.0/24)
- Paket odchází VPN tunelem (tunelama --> iface list)
Ale pokud to máš jenom pro jednu destinaci, tak bych volil radši pořešit to markování, přijde mi to takové čistější.
Předem se omlouvám všem zde mnohem zkušenějším, kteří se dost možná popadají za hlavu... Jsem pouze student a snažil jsem se to popsat, jak to mám udělané já svým "řepáckým" (dost možná špatným) způsobem.... Pokud má někdo lepší způsob a je ochoten se podělit, rád se též přiučím 😁
