作者Adama (So Say We All.)
看板Linux
標題[問題] 連上SSL VPN後如何讓VPN網域內電腦連入
時間Thu Jun 16 22:02:13 2016
各位好，我想請問一個問題
我有台電腦平時可讓公司電腦連入 (在數據機DMZ裡，數據機有public IP)
但如果用SSL VPN (Juniper)連入公司後，公司電腦就無法連到我的電腦了
連public IP: 不成功 (因為回程的route改走去VPN了所以交握不起來?!?)；
而VPN看起來像是NAT的架構，因此企圖連VPN配發的IP也不成功
據說SSL VPN是可以設定成雙向的，但要公司改設定有點難...
有client端能解決的辦法嗎？謝謝
--
Nice to meld you.
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.171.72.27
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Linux/M.1466085737.A.CE6.html
1F：推 soem: client端就調整routing，只讓特定的目的地走VPN tunnel 06/16 23:26
2F：→ Adama: 可是如果要從"特定目的"連回client呢？應該沒辦法把同一目 06/17 00:04
3F：→ Adama: 的地分別設給兩個介面eth0 & tun0 (VPN)吧？ 06/17 00:05
4F：→ danny8376: 你是說dest都一樣是公司電腦的public ip 06/17 00:46
5F：→ danny8376: 但是route改走VPN的這種情況嗎? 06/17 00:46
公司電腦也有public IP但在防火牆後面 所以才需要VPN。
當公司電腦連我的public電腦，我在想連不上是不是handshake透過VPN回傳了，
因而被認作是VPN配發的IP (也是 tun0 得到的IP)，而不是我的public IP，
所以交握不起來。
6F：→ danny8376: 是的話就 policy routing 06/17 00:50
謝謝，我看看這有沒有幫助
7F：→ HamalAri: iptables 和 iproute2 對特定規則選 interface 06/17 08:06
8F：→ HamalAri: 比如把從你 nat 進來的 port 的封包 mark 起來 06/17 08:07
謝謝，看來非得動iptables不可了
※ 編輯: Adama (1.171.71.48), 06/17/2016 12:19:59
9F：→ HamalAri: 是說為何要這樣？vpn 連公司的目的是什麼？只是為了存取 06/17 12:42
10F：→ HamalAri: 公司的某些機器嗎？ 06/17 12:42
11F：→ Adama: 是的，有些軟體認證需連VPN後才能使用 06/17 13:03
12F：→ HamalAri: 那麼把 vpn 的 default route 刪掉設回來，讓那幾個軟體 06/17 13:20
13F：→ HamalAri: 走 vpn 的介面就好，例如 iptables (uid)，應該會較省事 06/17 13:21