☰

別のコンピュータのインターフェイスで2番目のIPアドレスをpingできません。

tag-icon • tag-icon iptables openvpn ping ip-address virtual-interface
別のコンピュータのインターフェイスで2番目のIPアドレスをpingできません。

OpenVPN クライアントが OpenVPN サーバーに接続されています。

サーバーには次のパスがあります。

default via 10.109.185.65 dev eth0 proto dhcp src 10.109.185.84 metric 100
10.8.0.0/24 dev tun0 proto kernel scope link src 10.8.0.1
10.109.185.64/27 dev eth0 proto kernel scope link src 10.109.185.84
10.109.185.65 dev eth0 proto dhcp scope link src 10.109.185.84 metric 100

tun0クライアントは、OpenVPNによって生成された仮想インターフェイスに次のアドレスを持ちます。

11: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 100
link/none
    inet 10.8.0.3/24 brd 10.8.0.255 scope global tun0
       valid_lft forever preferred_lft forever
    inet6 fe80::3c55:91d1:e8cf:7c55/64 scope link flags 800
      valid_lft forever preferred_lft forever

サーバーからクライアントにpingを送信するとping 10.8.0.3正常に動作します。

tun0次に、次のようにしてクライアントに2番目のIPアドレスを追加しましたip addr add 10.100.1.2/24 dev tun0。インターフェイスには次tun0のように表示されます。

inet 10.100.1.2/24 scope global tun0
   valid_lft forever preferred_lft forever

サーバーで、以下を実行してそのサブネットへのパスを追加しましたip route add 10.100.1.0/24 dev tun0。ルートリストには次のように表示されます。

10.100.1.0/24 dev tun0 scope link

ping 10.100.1.2ただし、サーバーでは試行に失敗しました。

その後、サーバーとクライアントの両方に、次の iptables FORWARD ルールがあることを確認しました。

ACCEPT     all  --  10.8.0.0/24          anywhere

iptables -A FORWARD -s 10.100.1.0/24そのため、サーバーとクライアントの両方でこれを実行して、10.100.1.0サブネットの別のFORWARDルールを追加しました。

ping 10.100.1.2しかし、サーバーで試すことはまだ失敗します。

サーバーから10.100.1.2にpingを送信するために実行する必要がある他のタスクはありますか？

ベストアンサー1

考慮すべき3つの点：

1. ルーティング

2番目のIP範囲（）はインターフェイス10.100.1.0/24に直接接続されます。したがって、コンピュータは静的ルーティングステートメントを挿入せずにネットワークにtun0アクセスする方法を知ります。10.100.1.0/242番目のIPを追加した直後に次のコマンドを実行すると、そのルートがテーブルに動的に追加されたことを確認できます。

$ sudo ip route show

2. P2Pネットワーク

tun0VPNトンネルを作成するときは、VPNサーバーとクライアントの間に仮想ネットワークアダプタ（この場合）を使用してポイントツーポイントネットワークを作成します。このインターフェイスに 2 番目または 3 番目以上の IP アドレスを割り当てると、ポイントツーポイント操作が複雑になります。

3. ソリューション

選択した2番目のIPアドレスを割り当てる新しい仮想ネットワークアダプタを作成します。必要でない限り、パス宣言は必要ありません。また、追加のiptablesルールは必要ありません。 （以前に作成した静的パスを削除し、添付されたiptablesルールを削除する必要があります。タスクを実行するためにこれらのいずれも必要ありません。）

VPNサーバーから：

$ lsmod | grep dummy

上記のコマンドは、「ダミー」ネットワークドライバ（モジュール）がカーネルにロードされていることを確認します。ロードされない場合は、マニュアルを確認してください。ここ

$ sudo ip link add tun99 type dummy
$ sudo ip link set dev tun99 up

上記のコマンドは、次の新しい仮想ネットワークアダプタを作成します。tun99

$ sudo ip address change dev tun99 10.100.1.1

10.100.1.1/32上記のコマンドは、新しく作成されたネットワークアダプタにIPアドレスを割り当てます。tun99

ポイントツーポイントネットワークなので、パス宣言は必要ありません。

VPNクライアントから：

$ sudo ip link add tun99 type dummy
$ sudo ip link set dev tun99 up
$ sudo ip address change dev tun99 10.100.1.2

VPNクライアントからVPNサーバーのIPにping要求を送信して接続をテストします。 10.100.1.1

$ ping 10.100.1.1

おすすめ記事