Poorten forwarden over VPN

[FrankJ91]

Hallo,

Ik woon in een studentencomplex waarbij de internetvoorziening door een derde partij geregeld wordt. Als gevolg hiervan zit ik dus achter een NAT omgeving en kan ik geen poorten forwarden naar mijn eigen apparatuur. Om extern toch toegang te krijgen heb ik een VPN verbinding opgezet naar mijn ouders huis waar wel poorten geforward kunnen worden. Hier draait een OpenVPN server en in mijn studentencomplex heb ik een OpenVPN cliënt ingericht welke 24/7 online is en die de verbinding met de server tot stand brengt. Hierdoor heb ik het probleem van extern onbereikbaarheid opgelost.

Ik ben momenteel aan het uitzoeken hoe het mogelijk is om poorten te forwarden over een VPN verbinding, zodat ik bijvoorbeeld een webserver in mijn studentencomplex kan hosten en deze te bereiken is via mijn ouders IP. Om het bovenstaande wat duidelijker te maken heb ik de situatie in een tekening geschetst met de bijbehorende netwerkranges:

https://s16.postimg.org/db42ghugl/netwerrk.png

Wat ik dus wil bereiken is dat ik bijvoorbeeld een webserver in mijn studentencomplex via mijn ouders huis kan benaderen:

Modem/Router Ziggo: forward port 80 to 192.168.24.5
OpenVPN server: forward port 80 from 192.168.24.5 to 172.17.2.* via het 10.8.0.0 netwerk

De routes heb ik overal op ingesteld en kan ieder range op ieder locatie pingen zolang ik met bijvoorbeeld mijn laptop ook ben aangemeld op het VPN netwerk.

Ik heb ondertussen al wat rond gegoogled en heb deze handleiding gevonden:
http://unix.stackexchange.com/questions/55791/port-forward-to-vpn-client

Hoe ik de IP's ook invoer (VPN range/Intern range e.d., tijdelijke webserver op OpenVPN client), ik krijg het op geen enkel manier voor elkaar om een reactie te krijgen. Ook met een forward rule om poort 80 te accepteren werkt de oplossing niet.

Kan iemand me hiermee op weg helpen? Mijn ervaring met IPTables schiet hierin te kort.

Alvast bedankt

[ Voor 5% gewijzigd door FrankJ91 op 05-10-2016 22:20 ]

[MasterL]

Hoe zit het met je default gateway/route back configuratie op bijvoorbeeld je webserver?

Heb je nu niet het volgende gecreëerd:
Packet (source 1.2.3.4) komt binnen bij Ziggo > forward (nat) naar 192.168.24.5 > forward (nat) naar 172.17.2.*. Packet komt aan bij 172.17.2.* wil een TCP/ACK (o.i.d.) terugsturen naar 1.2.3.4 en doet dat via zijn default gateway (0.0.0.0/0) route aka asymmetric routing.

In de link wordt gesproken over SNAT is de OpenVPN client VM wel de gateway van de webserver?

[Brahiewahiewa]

MasterL schreef op donderdag 06 oktober 2016 @ 00:52:
Hoe zit het met je default gateway/route back configuratie op bijvoorbeeld je webserver?

Heb je nu niet het volgende gecreëerd:
Packet (source 1.2.3.4) komt binnen bij Ziggo > forward (nat) naar 192.168.24.5 > forward (nat) naar 172.17.2.*. Packet komt aan bij 172.17.2.* wil een TCP/ACK (o.i.d.) terugsturen naar 1.2.3.4 en doet dat via zijn default gateway (0.0.0.0/0) route aka asymmetric routing.

In de link wordt gesproken over SNAT is de OpenVPN client VM wel de gateway van de webserver?

Da's toch geen probleem? TCP/IP hoeft niet over dezelfde weg terug als dattie heen gegaan is.

[MasterL]

In principe niet nee maar firewalls droppen dit verkeer in de praktijk erg vaak.

[FrankJ91]

MasterL schreef op donderdag 06 oktober 2016 @ 00:52:
Hoe zit het met je default gateway/route back configuratie op bijvoorbeeld je webserver?

Heb je nu niet het volgende gecreëerd:
Packet (source 1.2.3.4) komt binnen bij Ziggo > forward (nat) naar 192.168.24.5 > forward (nat) naar 172.17.2.*. Packet komt aan bij 172.17.2.* wil een TCP/ACK (o.i.d.) terugsturen naar 1.2.3.4 en doet dat via zijn default gateway (0.0.0.0/0) route aka asymmetric routing.

In de link wordt gesproken over SNAT is de OpenVPN client VM wel de gateway van de webserver?

Na wat verder gelezen en getest te hebben met onder andere wireshark, heb ik het opgelost door deze 2 regels extra toe te voegen aan de OpenVPN server.

Leek inderdaad dat SNAT probleem te zijn.

iptables -t nat -A PREROUTING -d 192.168.24.5/32 (lokaal ip VPN server) -p tcp --dport 80 -j DNAT --to-dest 172.17.2.16:80 (webserver studentenkamer)
iptables -t nat -A POSTROUTING -d 172.17.2.16 -p tcp --dport 80 -j SNAT --to-source 192.168.24.5

Ter referentie dus.

Gr. Frank