2

Tengo una conexión VPN al trabajo que me provee una lista de redes privadas, me gustaría compartir estas subredes en mi red local de casa para tener acceso desde todos mis equipos.

Habilito ipv4 forward y he probado con bastantes reglas de iptables pero no logro hacerlo. Cuando establezco la conexión VPN en ubuntu se me genera una nueva interfaz virtual nombrada como tap0 y una dirección ip de una de las subredes de destino.

LAN enp3s0 y tap0 VPN ipsec

enp3s0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.1.200  netmask 255.255.255.0  broadcast 192.168.1.255

tap0: flags=67<UP,BROADCAST,RUNNING>  mtu 1380
        inet 10.1.30.11  netmask 255.255.0.0  broadcast 10.1.255.255

Tabla de rutas:

default         _gateway        0.0.0.0         UG    0      0        0 enp3s0
10.1.0.0        computer        255.255.0.0     UG    0      0        0 tap0
10.1.0.0        0.0.0.0         255.255.0.0     U     0      0        0 tap0
10.12.0.0       computer        255.255.252.0   UG    0      0        0 tap0
172.20.0.0      computer        255.255.248.0   UG    0      0        0 tap0
172.20.8.0      computer        255.255.248.0   UG    0      0        0 tap0
172.20.16.0     computer        255.255.248.0   UG    0      0        0 tap0
-VPNPUBLICIP-   _gateway        255.255.255.255 UGH   0      0        0 enp3s0
link-local      0.0.0.0         255.255.0.0     U     1000   0        0 enp3s0
192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 enp3s0

Mis primeras pruebas estaban orientadas a enrutar el tráfico de la enp3s0 a tap0, hasta que me di cuenta de algo extraño que no entiendo.

Si hago un ping a una de las ips de las subredes privadas especificando la interfaz de salida tap0 o enp3s0 no me hace reply. Uso el comando ping -I iface X.X.X.X

Si elimino el argumento de la interfaz específica el ping responde sin problema. Como tengo otras interfaces virtuales de docker para no confundir he realizado un tcpdump para identificar por donde sale el tráfico del ping y lo capturo por la enp3s0, la de la LAN. No lo llego a entender.

Gracias de antemano

3
  • 1
    Voto por cerrar esta pregunta como tema no relacionado porque no tiene relación alguna con programación. Commented el 13 abr. 2020 a las 7:11
  • La solución es sencilla: 1.- activa ip.forward, 2.- enmascara el tráfico que salga a la vpn (y también hacia internet si no puedes aislar tus equipos locales*), 3.- configura la puerta de enlace de las máquinas de tu red local apuntando a la máquina que tiene la vpn. Como alternativa a (*), agrega las rutas a las redes de la VPN a la IP de tu equipo local. Commented el 13 abr. 2020 a las 8:02
  • @RogerTorné, hay unas 300 preguntas relacionadas con la palabra clave linux que no tienen relación con la programación (preguntan sobre la configuración de los repositorios de paquetes, configuración de bluetooth, diferencia entre chmod y chown, etc) y, sin embargo, pueden ser bien recibidas en stackoverflow, aunque no estén estrictamente relacionadas con la programación, ya que no existe una versión en castellano de Super User, Ask Ubuntu, Server Fault, Unix & Linux, etc. Commented el 13 abr. 2020 a las 8:06

2 respuestas 2

2

Tienes dos soluciones:

  • Convertir a tu máquina en puerta de enlace de todas las máquinas de tu red.
  • Agregar rutas estáticas únicamente a las máquinas que necesiten acceso a la VPN.

Tareas comunes:

Elijas una opción u otra, tu equipo deberá hacer de puerta de enlace, por lo que deberás activar el reenvío de paquetes.

Además, como los equipos al otro extremo de la VPN no conocen el direccionamiento de tu red de casa, deberás enmascarar los paquetes con la IP que tiene allí tu equipo, para que los paquetes conozcan el camino de vuelta.

Para conseguir estos dos objetivos debes:

  • Activar el reenvío de paquetes en la máquina que provee la VPN: sysctl net.ipv4.ip_forward=1.
  • Enmascarar el tráfico que se dirija a la VPN con la IP de tu equipo para que los paquetes puedan volver a su origen: iptables -t nat -A POSTROUTING -o tap0 -j MASQUERADE.

Cada distribución tiene una manera específica de hacer estos cambios permanentes. Por ejemplo, modificando el archivo /etc/sysctl.conf podrás hacer permanente la activación del reenvío de paquetes.

Sin embargo, la configuración del firewall sí que cambia drásticamente de una distribución a otra, sobre todo si usas una capa de gestión adicional como firewalld.

Si deseas convertir tu equipo en puerta de enlace

  • Activa enmascaramiento para salir a Internet enmascarando todo el tráfico saliente (o especificando la interfaz que te conecta con el router): iptables -t nat -A POSTROUTING -j MASQUERADE.
  • Cambia la puerta de enlace de tus equipos para que sea la del PC que conecta con la VPN.

Si deseas agregar rutas estáticas a los equipos que necesitan VPN

  • Agrega las rutas a cada subred de la VPN manualmente, por ejemplo route add -net 10.12.0.0 netmask 255.255.252.0 gw 192.168.1.200.

Cada distribución tiene una manera diferente de hacer persistir las rutas tras un reinicio. También existe equivalente con ip route add, pero requiere convertir la máscara de red a CIDR.

0

Debo darle toda la razón a Oscar, pero si quieres simplificar el asunto levanta un un túnel VPN router a router entre tu oficina y tu casa.

Deberías trabajar sin complicaciones en el escenario que planteas.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.