Re: Enrutar tráfico VPN a través de 2 firewall desde la misma máquina en Debian Wheezy
El Wed, 08 Oct 2014 15:49:47 +0200, Maykel Franco escribió:
> Muy buenas lista, actualmente tengo un servidor openvpn y me gustaría
> que diera servicio a 2 firewall, como el siguiente esquema:
>
>
>
> IP INTERNA:10.10.10.1 IP INTERNA:172.16.10.1
> FIREWALL1 FIREWALL2
> |
> |
> |
> |
> |
> |
> |
> |
> |___________ OPENVPN_________________|
¿OpenVPN "delante" de los cortafuegos? Supongo que el gráfico simplemente
representa un enlace y no es literal :-?
> Ahora mismo la máquina openvpn tiene como gateway el firewall1, con lo
> cual la vpn funciona bien a través del firewall1. Pero claro, por
> defecto saca todo el tráfico por el firewall1, con lo cual a través del
> firewall2 aunque intente conectarme desde fuera (WAN), no funciona ...
>
> Estoy mirando como añadir una regla a iptables para que en función de
> donde venga el tráfico, lo enrute por el firewall2. Por ejemplo, si el
> tráfico por udp llega desde 172.16.10.1, lo envíe por alli y no por el
> default gateway...
>
> ¿Alguna idea?
Los enrutados no son mi fuerte pero creo que me faltan datos de la
configuración de tu red para saber exactamente lo que quieres hacer.
Entiendo que tienes un servidor con ¿2? tarjetas de red dando servicio a
dos redes ¿separadas físicamente o virtualmente? y con OpenVPN
configurado. Que quieres que la VPN funcione correctamente entre las dos
redes (internamente) y desde el exterior, pero ¿cuál es la salida
(gateway) del servidor, cómo lo conectas al exterior? Deduzco el delante
del firewall1 (¿se trata de un equipo, un appliance, iptables...?) tienes
¿un? router ADSL/cable/FTTH y quieres que se permita el tráfico hacia
cualquiera de las dos VPN.
Demasiadas preguntas como para darte una respuesta :-)
Quizá lo primero que tenías que pensar es en definir las rutas de los
paquetes de las redes, independientemente de la red privada, es decir,
definir las pasarelas (gateway) para cada una de ellas y eso con iproute2
podrás hacerlo. Para manipular los paquetes y configuraciones más
complejas (marcar, lavar y cortar cual peluquería) tirar de iptables como
te dice carlopmart.
Saludos,
--
Camaleón
Reply to: