Login
解决在 Openvpn 客户端中部署的 Web 服务不可用的问题
遇到这样一个蛋疼的问题，我有一台服务器，上面部署了一个 web 服务，同时我也想把这个服务器作为客户端连入一个 OpenVPN 虚拟网络，并且我希望服务器上的程序能够通过 OpenVPN 的网关来访问外部网络，这主要是为了隐藏服务器的身份。但是在 OpenVPN 连接之后，原有的 Web 服务将无法访问。通过调试分析可以法线，造成这一现象的原因是 Web 服务的响应包也被路由配置路由到 OpenVPN 的 tun0 接口中。这导致响应无法返回给原来的请求服务器。如何解决这个问题呢？
如果你在网络上搜索这类问题你会发现各种文章给出的方案一般都是为 OpenVPN 的配置文件添加 route-nopull 选项来阻止 OpenVPN 设置客户端路由，但是这会导致客户端的对外访问无法通过 VPN 进行。事实上，从 IP 路由的角度来看，如果我的服务器是 A，而某个访问 Web 服务的 IP 是 B，同时 B 也可能是 A 试图访问的外部的目标服务提供者。对传输层路由而言，A 给 B 的 Web 服务响应和 A 主动发往 B 的请求是无法区分的。从这个角度来看，要达成 inbound 和 outbound 流量分别路由似乎是不可能的。
但是其实我们有一个突破点：那就是 Web 服务总是在本机使用固定的端口和请求者通信，我们可以通过端口来区分 inbound 和 outbound 流量。首先我们输入下面的命令：
1 | iptables -t mangle -A OUTPUT -p tcp -m multiport --sports 80,443 -j MARK --set-mark 1 |
在这个命令中，我们会让路由表观察从本地的 80 和 443 端口发出的包，并给这些包打上一个特定的标签（--set-mark 1 的作用）。然后输入下面的命令：
1 | ip route add default via [gateway addr of eth0] dev eth0 table 100 |
这个命令会创建一个新的路由表 table 100，然后在这个表中加入一个默认路由，将流量送往原有的网关。然后再运行下面的命令：
1 | ip rule add fwmark 1 table 100 |
这个命令会让带有标记 1 的包使用 table 100 路由表进行路由。运行完上面的配置后，web 服务就可以正常访问呢了。
以上方法是在 ChatGPT 的协助下摸索出来的，我的提问是：
如何通过 iptables 或者 route 命令，让访问 80 与 443 端口的包使用 tun0 接口，而访问其他端口的包使用 eth0 接口？
GPT 的回答是
可以使用iptables和route命令结合起来实现此目的。具体操作如下：
首先需要添加一条规则，将访问80和443端口的包标记为一个特定的标记值（比如"1"），使用tun0接口发送出去。iptables规则如下：
1 | iptables -t mangle -A OUTPUT -p tcp -m multiport --dports 80,443 -j MARK --set-mark 1 |
接着需要添加一条规则，将标记为"1"的包使用tun0接口发送出去。route命令如下：
1 | ip route add default dev tun0 table 100 |
最后需要添加一条规则，将所有未被标记的包使用eth0接口发送出去。route命令如下：
1 | ip route add default dev eth0 |
以上三个步骤分别实现了：将访问80和443端口的包标记，并使用tun0接口发送出去；将标记为"1"的包使用tun0接口发送出去；将所有未被标记的包使用eth0接口发送出去。这样就实现了访问80和443端口的包使用tun0接口，访问其他端口的包使用eth0接口的效果。
