Openvpn Prerouting Regel wie muss sie beim WL500gp aussehen

[pc-nico]

Hallo Leute,

ich habe mich an diese HowTo gehalten: http://www.wl500g.info/showthread.php?t=5312&highlight=openvpn

Wenn ich im Client meine lokale GW-Adresse eintrage geht es ohne Probleme...
Wenn ich von außerhalb meines Netzwerkes die öffentliche IP eintrage, bekomme ich die Meldung das dort nichts antwortet....


Mon May 03 18:07:39 2010 TCP/UDP: Incoming packet rejected from xxx.xxx.xxx.xxx:1194
[2], expected peer address: xxx.xxx.xxx.xxx:1194 (allow this incoming source addr
ess/port by removing --remote or adding --float)

Es liegt sehr wahrscheinlich an der Prerouting Regel, die den Trafic von vlan1:1194 auf tun:1194 weiterleitet....

Original soll sie laut Anleitung so aussehen



iptables -D INPUT -j DROP
iptables -I INPUT -p udp --dport 1194 -j ACCEPT
iptables -t nat -I PREROUTING -i eth1 -p udp --dport 1194 -j DNAT --to-destination $4:1194
iptables -A INPUT -j DROP

Im Text steht auch das beim WL500gp eth1 = vlan1 ist... sowie
das $4 auf das Interne Interface zeigt und nicht auf tun

With WL-500gP eth1 shall be changed to vlan1 and $4 to router's LAN gateway (192.168.1.1)

Daher habe ich die Regel angepasst:


iptables -t nat -I PREROUTING -i vlan1 -p udp --dport 1194 -j DNAT --to-destination 10.8.0.1:1194


Leider bekomme ich keine Verbindung aufgebaut, wie schauen eure Firewallregeln aus?

Gibt es eine Auflistung welche Interfaces sich hinter den Variablen $1, $4 etc verbergen?

----------------

Sorry ich war gerade etwas daneben... die Verbindungen müssen natürlich
nicht auf das Tun-Interface sondern auf das Lan-Interface...

So sieht die Zeile jetzt in der post-firewall aus:

iptables -t nat -I PREROUTING -i $1 -p udp --dport 1194 -j DNAT --to-destination $4:1194

Wenn ich mir im WebIF die Port-Forwardings anschaue ist die Regel nach dem
Reboot korrekt drin


all UDP 1194 192.168.1.1

[akbor]

Gibt es eine Auflistung welche Interfaces sich hinter den Variablen $1, $4 etc verbergen?

Ja, guckst du hier: http://oleg.wl500g.info/


/usr/local/sbin/post-firewall is now executed at the end of the default firewall script. If you need any customizations place them here (this scripts also receives all the args passed to the original firewall script, i.e. $1/$2 are WAN_IF/WAN_IP, $3/$4 are LAN_IF/LAN_IP, $5/$6 are $DMZ_IF/$DMZ_IP

Gruß

Robert

[pc-nico]

Ok, super danke für den Hinweis...

Hat jemand noch eine Idee was an meiner Konfiguration falsch ist?
Kann vllt jemand seine iptables konfiguration für vpn...

[akbor]

Kannst du eventuell diesem Thread hier was abgewinnen? http://www.wl500g.info/showthread.php?t=23423

Gruß

Robert

[pc-nico]

Leider nicht.... habe ich mir gestern auch schon durchgelesen, meine Konfiguration
sieht ja quasi genau so aus... Dort habe ich auch gesehen das ich den Trafic
vom WAN-Interface auf das LAN-Interface und nicht auf das TUN-Interface
forwarden muss....

Meine Regeln werden in der Post-Firewall ohne Probleme abgearbeitet, wie man
oben anhand der Port Forwardings welche im WEB-IF angezeigt werden erkennen
kann...

[pc-nico]

Ein schlichtes float in der Clientkonfig löst das Problem...

[thE_29]

Ich habs so gemacht:
http://wl500g.info/showpost.php?p=82956&postcount=7

und in der post-firewall


iptables -A INPUT -p udp --dport PORT -j ACCEPT
iptables -A INPUT -p tcp --dport PORT -j ACCEPT
iptables -t nat -I PREROUTING -i vlan1 -p udp --dport PORT -j DNAT --to-destination :PORT

Wobei die Frage ist, ob das prerouting wirklich gebraucht wird, da ich zZ tcp nutze und keine prerouting Regel für tcp habe..