RPI3 routage wifi -> vpn / eth -> lan

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : RPI3 routage wifi -> vpn / eth -> lan

stefxg

Bonjour,

je requiere un peu de votre aide, par ce que je bloque.

j'ai un RPI3 donc avec du wifi et un eth, je souhaiterai faire passer le traffic venant de l'internet exclusivement par le wifi et me servir de l'ethernet uniquement pour le lan sans qu'il puisse sortir vers l'internet

a noter que pour me connecter a internet, le wifi ne peu avoir la possibilitéque de passer par une connection vers un serveur vpn

petit schema:

LAN <- (eth0) RPI (Wlan0) -> (tun0) -> WWW
I I
~~WWW~~ ~~LAN~~

Merci d'avance

Publicité

geronimoo0

salut,
Tu peux créer une route par défaut (route 0) sur ton interface wlan0 et tu ne mets pas de passerelle sur ta eth0. Autre possibilité tu étanchéifies ton eth0 avec un firewall du type iptables

stefxg

ok, alors deja sur le routage de wlan0

j'ai ca:

Code :

~ $ route -n
Table de routage IP du noyau
Destination Passerelle Genmask Indic Metric Ref Use Iface
0.0.0.0 10.125.4.37 128.0.0.0 UG 0 0 0 tun0
0.0.0.0 192.168.0.1 0.0.0.0 UG 303 0 0 wlan0
10.125.0.1 10.125.4.37 255.255.255.255 UGH 0 0 0 tun0
10.125.4.37 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
85.203.13.5 192.168.0.1 255.255.255.255 UGH 0 0 0 wlan0
128.0.0.0 10.125.4.37 128.0.0.0 UG 0 0 0 tun0
192.168.0.0 0.0.0.0 255.255.255.0 U 303 0 0 wlan0

donc si mon vpn tombe ca passe par 192.168.0.1 (mon routeur ), comment je modifie?

mon eth0 est pas branché pour l'instant

Code :

eth0: flags=4099<UP,BROADCAST,MULTICAST> mtu 1500
ether b8:27:eb:f9:cd:54 txqueuelen 1000 (Ethernet)
RX packets 0 bytes 0 (0.0 B)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 0 bytes 0 (0.0 B)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536
inet 127.0.0.1 netmask 255.0.0.0
inet6 ::1 prefixlen 128 scopeid 0x10<host>
loop txqueuelen 1 (Boucle locale)
RX packets 2671 bytes 34139037 (32.5 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 2671 bytes 34139037 (32.5 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
tun0: flags=4305<UP,POINTOPOINT,RUNNING,NOARP,MULTICAST> mtu 1500
inet 10.125.4.38 netmask 255.255.255.255 destination 10.125.4.37
inet6 fe80::e506:6541:ea2a:3993 prefixlen 64 scopeid 0x20<link>
unspec 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 txqueuelen 100 (UNSPEC)
RX packets 8507 bytes 7774909 (7.4 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 11677 bytes 1579808 (1.5 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
wlan0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.0.109 netmask 255.255.255.0 broadcast 192.168.0.255
inet6 fe80::623:4816:6bb:6595 prefixlen 64 scopeid 0x20<link>
ether b8:27:eb:ac:98:01 txqueuelen 1000 (Ethernet)
RX packets 24704 bytes 16228945 (15.4 MiB)
RX errors 0 dropped 854 overruns 0 frame 0
TX packets 18594 bytes 4589491 (4.3 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

ensuite on verra iptable pour eth0

Message édité par stefxg le 17-10-2017 à 18:59:51

stefxg

Si je vire

Code :

192.168.0.0 0.0.0.0 255.255.255.0 U 303 0 0 wlan0

et que je créé

Code :

192.168.0.0 10.125.4.37 255.255.255.0 U 303 0 0 wlan0

j'ai bon ou pas?

non je pense que j'ai pas bon grrr :fou:

je comprends rien en routage, j'ai pas encore eu le declic :??:

Message édité par stefxg le 17-10-2017 à 19:11:58

geronimoo0

quelle est ta distribution?
les paramètres de tes interfaces sera modifiable selon si tu utilises les confs de base (/etc/network/interfaces) ou des surcouches de type network-manager...
Cependant juste pour la petite explication de ton poste

Code :

~ $ route -n
Table de routage IP du noyau
Destination Passerelle Genmask Indic Metric Ref Use Iface
0.0.0.0 10.125.4.37 128.0.0.0 UG 0 0 0 tun0
0.0.0.0 192.168.0.1 0.0.0.0 UG 303 0 0 wlan0
10.125.0.1 10.125.4.37 255.255.255.255 UGH 0 0 0 tun0
10.125.4.37 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
85.203.13.5 192.168.0.1 255.255.255.255 UGH 0 0 0 wlan0
128.0.0.0 10.125.4.37 128.0.0.0 UG 0 0 0 tun0
192.168.0.0 0.0.0.0 255.255.255.0 U 303 0 0 wlan0

destination: 0.0.0.0 c'est ce qu'on appel la route par défaut, ou "route zéro". En gros c'est le reste du monde, donc pour toi Internet.

Là tu as donc une passerelle 10.125.4.37 qui te permet d'atteindre Internet sur le réseau 10.125.x.x
Tu as une seconde en dessous qui est une passerelle (gw) 192.168.0.1 pour le réseau 192.168.0.x; Si je comprends bien c'est ton trafic du wifi qui est redirigé sur ton VPN?

Maintenant tu peux faire un test tout bête: tu créés pour ton interface eth une route bidon. En gros imaginons que ton réseau pour l'eth est de type 10.10.0.x
on va faire un truc du genre (je ne suis plus sûr des commandes)

route add 10.10.0.0 netmask 255.255.255.0 12.34.56.78

en gros tu dis que ta passerelle pour le réseau 10.10.0.x est la 12.34.56.78, qui n'est pas joignable. Normalement dans ce cas ton interface pourra contacter ses potes sur le même réseau (masque /24) mais pas le reste du monde.

stefxg

Salut Geronimo

alors en fait j'ai avancé un peu j'ai trouvé un script qui lance la connection vpn et créé des règles iptables

voici le script

Code :

#!/bin/bash
if [[ $EUID -ne 0 ]]; then
echo "This script must be run as root" 1>&2
exit 1
fi
# name of primary network interface (before tunnel)
PRIMARY=wlan0
# address of tunnel server
SERVER=france-paris-2-ca-version-2.expressnetw.com
# address of vpn server
VPN_SERVER=france-paris-2-ca-version-2.expressnetw.com
# gateway ip address (before tunnel - adsl router ip address)
# automatically determine the ip from the default route
GATEWAY=`route -n | grep $PRIMARY | egrep "^0\.0\.0\.0" | tr -s " " | cut -d" " -f2`
# provided by pppd: interface name
TUNNEL=tun0
openvpn --config /etc/openvpn/expressvpn/monvpn.ovpn &
# iptables rules - important!
#LOCAL_NET=192.168.0.0/16
LOCAL_NET=$GATEWAY
# Flush all previous filter rules, you might not want to include this line if you already have other rules setup
iptables -t filter --flush
iptables -t filter -X MYVPN
iptables -t filter -N MYVPN
# Exceptions for local traffic & vpn server
iptables -t filter -A MYVPN -o lo -j RETURN
iptables -t filter -A MYVPN -o ${TUNNEL} -j RETURN
iptables -t filter -A MYVPN --dst 127.0.0.1 -j RETURN
iptables -t filter -A MYVPN --dst $LOCAL_NET -j RETURN
iptables -t filter -A MYVPN --dst ${SERVER} -j RETURN
iptables -t filter -A MYVPN --dst ${VPN_SERVER} -j RETURN
# Add extra local nets here as necessary
iptables -t filter -A MYVPN -j DROP
# MYVPN traffic leaving this host:
iptables -t filter -A OUTPUT -p tcp --syn -j MYVPN
iptables -t filter -A OUTPUT -p icmp -j MYVPN
iptables -t filter -A OUTPUT -p udp -j MYVPN
echo "nameserver 8.8.8.8" > /etc/resolv.conf

adapté avec mes variables

le site du script

https://www.inputoutput.io/hardenin [...] -iptables/

le lancement du script avec -x

Code :

+ PRIMARY=wlan0
+ SERVER=france-paris-2-ca-version-2.expressnetw.com
+ VPN_SERVER=france-paris-2-ca-version-2.expressnetw.com
+ cut -d -f2
+ tr -s
+ egrep ^0\.0\.0\.0
+ grep wlan0
+ route -n
+ GATEWAY=192.168.0.1
+ TUNNEL=tun0
+ LOCAL_NET=192.168.0.1
+ iptables -t filter --flush
+ iptables -t filter -X MYVPN
+ openvpn --config /etc/openvpn/expressvpn/monvpn.ovpn
iptables: No chain/target/match by that name.
+ iptables -t filter -N MYVPN
+ iptables -t filter -A MYVPN -o lo -j RETURN
+ iptables -t filter -A MYVPN -o tun0 -j RETURN
+ iptables -t filter -A MYVPN --dst 127.0.0.1 -j RETURN
+ iptables -t filter -A MYVPN --dst 192.168.0.1 -j RETURN
+ iptables -t filter -A MYVPN --dst france-paris-2-ca-version-2.expressnetw.com -j RETURN
+ iptables -t filter -A MYVPN --dst france-paris-2-ca-version-2.expressnetw.com -j RETURN
+ iptables -t filter -A MYVPN -j DROP
+ iptables -t filter -A OUTPUT -p tcp --syn -j MYVPN
+ iptables -t filter -A OUTPUT -p icmp -j MYVPN
+ iptables -t filter -A OUTPUT -p udp -j MYVPN
+ echo nameserver 8.8.8.8

les iptables créées

Code :

sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
MYVPN tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/SYN
MYVPN icmp -- anywhere anywhere
MYVPN udp -- anywhere anywhere
Chain MYVPN (3 references)
target prot opt source destination
RETURN all -- anywhere anywhere
RETURN all -- anywhere anywhere
RETURN all -- anywhere localhost
RETURN all -- anywhere 192.168.0.1
RETURN all -- anywhere 85.203.13.4
RETURN all -- anywhere 85.203.13.5
RETURN all -- anywhere 85.203.13.21
RETURN all -- anywhere 85.203.13.5
RETURN all -- anywhere 85.203.13.21
RETURN all -- anywhere 85.203.13.4
DROP all -- anywhere anywhere

des fois ca fonctionne et des fois pas

un preobleme de resolution de nom

Code :

Wed Oct 18 14:52:47 2017 RESOLVE: Cannot resolve host address: france-paris-2-ca-version-2.expressnetw.com:1195 (Temporary failure in name resolution)
Wed Oct 18 14:52:47 2017 RESOLVE: Cannot resolve host address: france-paris-2-ca-version-2.expressnetw.com:1195 (Temporary failure in name resolution)
Wed Oct 18 14:52:47 2017 Could not determine IPv4/IPv6 protocol
Wed Oct 18 14:52:47 2017 SIGUSR1[soft,init_instance] received, process restarting
Wed Oct 18 14:52:47 2017 Restart pause, 5 second(s)

peut etre une protection de vpnexpress, sur une reconnection trop rapide je sais pas

mon soucis c'est que je ne sais pas interpreter les iptables, je vois bien que ca fait quelque chose mais je sais pas ce que ca veut dire

Message édité par stefxg le 18-10-2017 à 16:55:13

stefxg

Je suis sur un RPI3 tournant sur Raspbian

J'ai fait quelques changements au script, de cette façons ca gère deux cartes réseaux.
Les changements sont en rouge, j'ai aussi rajouté 3 minutes de temporisation pour laisser le temps à openvpn de derouler son script.

Ce qu'il manque c'est de rajouter une entrée dans l'iptables pour laisser passer la resolution de nom de domaine sur le lan.
pour l'instant je n'ai pas encore trouvé comment faire.

exemple:

Code :

ping -c 3 drivebox.local
ping: drivebox.local: Nom ou service inconnu
pi@seedbox:~ $ ping -c 3 192.168.0.35
PING 192.168.0.35 (192.168.0.35) 56(84) bytes of data.
64 bytes from 192.168.0.35: icmp_seq=1 ttl=64 time=5.38 ms
64 bytes from 192.168.0.35: icmp_seq=2 ttl=64 time=5.12 ms
64 bytes from 192.168.0.35: icmp_seq=3 ttl=64 time=5.16 ms
--- 192.168.0.35 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2002ms
rtt min/avg/max/mdev = 5.127/5.226/5.382/0.111 ms

Code :

#!/bin/bash
if [[ $EUID -ne 0 ]]; then
echo "This script must be run as root" 1>&2
exit 1
fi
# name of primary network interface (before tunnel)
PRIMARY=wlan0
SECONDARY=eth0
# address of tunnel server
SERVER=france-paris-2-ca-version-2.expressnetw.com
# address of vpn server
VPN_SERVER=france-paris-2-ca-version-2.expressnetw.com
# gateway ip address (before tunnel - adsl router ip address)
# automatically determine the ip from the default route
GATEWAY=`route -n | grep $PRIMARY | egrep "^0\.0\.0\.0" | tr -s " " | cut -d" " -f2`
NTW_PRI=`ip route show | grep $PRIMARY | egrep "scope" | tr -s " " | cut -d" " -f1`
NTW_SEC=`ip route show | grep $SECONDARY | egrep "scope" | tr -s " " | cut -d" " -f1`
# provided by pppd: interface name
TUNNEL=tun0
openvpn --config /etc/openvpn/expressvpn/monvpn.ovpn &
date
echo "////////////////////////////" ;
echo "// //" ;
echo "// //" ;
echo "// Connection Express vpn //" ;
echo "// //" ;
echo "// //" ;
echo "////////////////////////////" ;
sleep 3m
date
echo "////////////////////////////" ;
echo "// //" ;
echo "// //" ;
echo "// modification iptables //" ;
echo "// //" ;
echo "// //" ;
echo "////////////////////////////" ;
# iptables rules - important!
#LOCAL_NET=192.168.0.0/16
LOCAL_NET=$NTW_PRI
LOCAL_NET2=$NTW_SEC
# Flush all previous filter rules, you might not want to include this line if you already have other rules setup
iptables -t filter --flush
iptables -t filter -X MYVPN
iptables -t filter -N MYVPN
# Exceptions for local traffic & vpn server
iptables -t filter -A MYVPN -o lo -j RETURN
iptables -t filter -A MYVPN -o ${TUNNEL} -j RETURN
iptables -t filter -A MYVPN --dst 127.0.0.1 -j RETURN
iptables -t filter -A MYVPN --dst ${LOCAL_NET} -j RETURN
iptables -t filter -A MYVPN --dst ${LOCAL_NET2} -j RETURN
iptables -t filter -A MYVPN --dst ${SERVER} -j RETURN
iptables -t filter -A MYVPN --dst ${VPN_SERVER} -j RETURN
# Add extra local nets here as necessary
iptables -t filter -A MYVPN -j DROP
# MYVPN traffic leaving this host:
iptables -t filter -A OUTPUT -p tcp --syn -j MYVPN
iptables -t filter -A OUTPUT -p icmp -j MYVPN
iptables -t filter -A OUTPUT -p udp -j MYVPN
echo "nameserver 8.8.8.8" > /etc/resolv.conf

Message édité par stefxg le 19-10-2017 à 00:13:11

geronimoo0

les requetes DNS c'est UDP (tu peux ouvrir TCP aussi) sur le port 53

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

RPI3 routage wifi -> vpn / eth -> lan

Sujets relatifs
clef ou carte wifi pour ordissimo V1	wifi/bluetooth sur AR9462
Pb install après update noyau : pas de dossier build dans /lib/modules	débit WiFi AC pas top même en LAN
perte de reseaux WIFI	routage sous linux
Newbie Linux : Installation Dropbox user comment ?	Installer un drivers wifi manuellement?
Plus de Wifi sur mon PC portable Linux [Résolu]	Déconnexions intempestives WiFi - Elementary OS - BCM4313
Plus de sujets relatifs à : RPI3 routage wifi -> vpn / eth -> lan

Page générée en 0.127 secondes