[Zentyal, VPN, virtuelle NIC] - kann nicht auf virtuelle Netzwerkkarte von VPN-Client auf PORT X zugreifen

Hallo zusammen,

ich habe auf meinem Neptun ein Zentyal installiert. Es ist also eine sehr spezielle Frage.

So weit so gut. Zur Absicherung läuft ein VPN Server. Der ließ sich auch wunderbar einrichten und funktioniert.
Da der Server nur eine Netzwerkkarte hat, habe ich kurzer Hand eine virtuelle erstellt.

Ja, das ist ein Crosspost, aber ich denke, Zentyal könnte für einige Leute interessant sein (Zentyal - Knowledge Base )

Das Szenario ist hier dargestellt
* Can't reach zentyal webadmin via vpn network on virtual nic from vpn client pc

Nun wollte ich gerne das Administrationsinterface (ein spezieller Port) nur noch via VPN zugänglich machen, komme aber vom VPN-Client PC einfach nicht auf das virtuelle Interface.

Hier sind die NAT / iptables Gurus gefragt, denke ich.
Irgendwelche Ideen? Im o.g. Thread ist die iptable-save gepostet.

Grüße
Axel

Quote from RayMD

Wie sehen die Einträge in iptables aus?

Siehe Anhang im Link oben (das ist mein Post, auf Englisch eben).

Danke für den Hint. Ich probier das bei Gelegenheit mal aus.

Meinst du mit $ETH das virtuelle Netzwerk Device oder das reale?

Die iptable-rules kann man unter Zentyal sehr einfach in einen Hook packen:

vim / etc/zentyal/hooks/firewall.postservice

#!/bin/bash




VPN_SUBNET="192.168.50.0/24"
ETH0_VIRT_SUBNET="192.168.55.0/24"
ETH0_VIRT_DEV="eth0:vpn"




iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s ${VPN_SUBNET} -j ACCEPT
iptables -A FORWARD -j REJECT




iptables -t nat -A POSTROUTING -s ${VPN_SUBNET} -o ${ETH0_VIRT_DEV} -j MASQUERADE
iptables -t nat -A POSTROUTING -s ${VPN_SUBNET} -d ${ETH0_VIRT_SUBNET} -j MASQUERADE

service zentyal firewall restart;

iptables -nvL -t nat --line-number




Chain PREROUTING (policy ACCEPT 23 packets, 1220 bytes)
num   pkts bytes target 	prot opt in 	out 	source           	destination
1   	24  1262 premodules  all  --  *  	*   	0.0.0.0/0        	0.0.0.0/0




Chain INPUT (policy ACCEPT 21 packets, 1116 bytes)
num   pkts bytes target 	prot opt in 	out 	source           	destination




Chain OUTPUT (policy ACCEPT 62 packets, 4320 bytes)
num   pkts bytes target 	prot opt in 	out 	source           	destination




Chain POSTROUTING (policy ACCEPT 62 packets, 4320 bytes)
num   pkts bytes target 	prot opt in 	out 	source           	destination
1   	62  4320 postmodules  all  --  *  	*   	0.0.0.0/0        	0.0.0.0/0
2    	0 	0 SNAT   	all  --  *  	eth0   !MY.SERVER.IP.49     	0.0.0.0/0        	to:MY.IP.SERVER.49
3    	0 	0 MASQUERADE  all  --  *  	eth0:vpn  192.168.50.0/24  	0.0.0.0/0
4    	0 	0 MASQUERADE  all  --  *  	*   	192.168.50.0/24  	192.168.55.0/24




Chain postmodules (1 references)
num   pkts bytes target 	prot opt in 	out 	source           	destination




Chain premodules (1 references)
num   pkts bytes target 	prot opt in 	out 	source           	destination

Leider kein Durchkommen

Irgendwo mach ich wohl einen Denkfehler ...

Hi,

wollte mal meine Post updaten, denn mittlerweile habe ich eine ganz einache KISS***-Lösung gefunden und mich wieder an diese Frage erinnert:

*** keep it simple and stupid

Für die Greenhorns: der

SSH server auf dem Host sollte natürlich nur über Zertifikate erreichbar sein

(sshd_config: PasswordAuthentication no, UsePAM no). Das entspricht dann in etwa einer VPN Verbindung.

Auf einer lokalen Konsole den SSH Tunnel etablieren:

ssh -L 9000:IP_OF_SERVER:8443  loginname@IP_OF_SERVER

wobei

• 8443 der Port des Zentyal Web Interface auf dem Server ist
• 9000 der lokale Port im Browser ist, unter dem man nun das Web Interface aufrufen kann

... und zwar so:

https://localhost:9000

Tja, das Leben kann so einfach sein

P.S.: Es is ist nicht möglich ohne Eingriffe ins KVM Host System ins innere der Maschine zu kommen. Zum Hintergrund und wie man das realisieren kann, hier ein paar Artikel. I

• Networking - KVM
• [ubuntu] KVM: can't access VM from another computer in same LAN
• networking - Dial into virt-manager created bridge network with OpenVPN - Stack Overflow
• virtual machine - How to share a VPN connection in a VMWare Guest VM with the Host - Super User

Ich selbst mache das auf einem eigenen KVM-Root Server mit IPtables (siehe hier: KVM - Knowledge Base) - und das ist echt Arbeit Mein zugehöriger Zentyal Thread auf Englisch ist hier: [url=https://forum.zentyal.org/index.php/topic,20028.msg98671.html#msg98671]Can't reach zentyal webadmin via vpn network on virtual nic from vpn client pc[/url]