Originally Posted by
tempik
man iptables набрать в гуггле....
а привести весь вывод команды религия не позволила? Надеюсь вывод был сделан в момент когда OpenVPN был подключен?
Да, когда был поднят OpenVPN. Вот вывод полностью. Думал что нужна только секция *nat.
Code:
# Generated by iptables-save v1.4.3.2 on Mon Jul 25 09:25:54 2011
*nat
:PREROUTING ACCEPT [882343:51046977]
:POSTROUTING ACCEPT [7233:1861117]
:OUTPUT ACCEPT [6487:1887059]
:UPNP - [0:0]
:VSERVER - [0:0]
-A PREROUTING -d 10.10.15.34/32 -j VSERVER
-A POSTROUTING ! -s 10.10.15.34/32 -o vlan1 -j MASQUERADE
-A POSTROUTING -s 192.168.1.0/24 -d 192.168.1.0/24 -o br0 -j MASQUERADE
-A VSERVER -j UPNP
COMMIT
# Completed on Mon Jul 25 09:25:54 2011
# Generated by iptables-save v1.4.3.2 on Mon Jul 25 09:25:54 2011
*mangle
:PREROUTING ACCEPT [1778726:158465796]
:INPUT ACCEPT [1543532:144631920]
:FORWARD ACCEPT [4067:277047]
:OUTPUT ACCEPT [96787:24564865]
:POSTROUTING ACCEPT [100852:24840760]
COMMIT
# Completed on Mon Jul 25 09:25:54 2011
# Generated by iptables-save v1.4.3.2 on Mon Jul 25 09:25:54 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [832:75354]
:OUTPUT ACCEPT [96792:24565193]
:BRUTE - [0:0]
:MACS - [0:0]
:SECURITY - [0:0]
:UPNP - [0:0]
:logaccept - [0:0]
:logdrop - [0:0]
-A INPUT -i tun0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -i br0 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -j DROP
-A FORWARD -i tun0 -o br0 -j ACCEPT
-A FORWARD -i br0 -o tun0 -j ACCEPT
-A FORWARD -i br0 -o br0 -j ACCEPT
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD ! -i br0 -o vlan1 -j DROP
-A FORWARD -m conntrack --ctstate DNAT -j ACCEPT
-A FORWARD -o br0 -j DROP
-A SECURITY -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 1/sec -j RETURN
-A SECURITY -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -m limit --limit 1/sec -j RETURN
-A SECURITY -p udp -m limit --limit 5/sec -j RETURN
-A SECURITY -p icmp -m limit --limit 5/sec -j RETURN
-A SECURITY -j DROP
-A logaccept -m conntrack --ctstate NEW -j LOG --log-prefix "ACCEPT " --log-tcp-sequence --log-tcp-options --log-ip-options --log-macdecode
-A logaccept -j ACCEPT
-A logdrop -m conntrack --ctstate NEW -j LOG --log-prefix "DROP " --log-tcp-sequence --log-tcp-options --log-ip-options --log-macdecode
-A logdrop -j DROP
COMMIT
# Completed on Mon Jul 25 09:25:54 2011
Для полного счастья нужно было добаить в post-firewall
Code:
#!/bin/sh
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -I INPUT -i tun0 -p tcp --dport 80 -j ACCEPT
А в конце выполнить команду:
nvram set misc_fastnat_x=0
flashfs save && flashfs commit && flashfs enable && reboot
Иначе роутер будет падать через некоторое время после установки соединения.
PS. Скорость скачивания через такой канал не превышает 700 kb/s, из-за загрузки проца в 100%. Но для повседневной жизни - хватает.
Reply With Quote
проблема маскарада ASUS WL-500gP & WL500gp-1.9.2.7-rtn-r3300
openvpn
