Problema com marcação de pacotes e OpenVPN [RESOLVIDO]

diiegosantos90
(usa Debian)

Enviado em 22/02/2017 - 07:31h

Galera, bom dia.
Tenho um servidor de internet com debian que hoje roda, squid, iptable, openvpn e sarg, porem precisei colocar mais um link de internet nele para uso da exclusivo dessa VPN, depois de muita pesquisa com iptable e iproute2, achei um belo artigo mostrando a forma correta do tratamento dos pacotes, muitos fóruns mostram apenas o tratamento de saída dos pacotes, mas o tratamento de entrada não, fazendo o pacote entrar pelo LINK secundário e sair pelo link default.
Fiz um teste de acesso em meu segundo link pelo ssh, no começo não conseguia fazer o pacote entrar e sair pelo link secundário, ai consegui achar esse tutorial que explicava e detalhava cada comando, não deu outra o trem funcionou com o SSH porta 22 tcp.
O problema foi quando fui fazer em minha VPN, alterei a porta para 1194 e selecionei os protocolos tcp e udp, porem o trem continua entrando pelo link secundário e saindo pelo default.
Segue lista dos comandos que consegui e que funcionaram na porta 22, quando fiz para openvpn usei o mesmo script porem alterei a porta para 1194 e usei tcp e udp, segue.

#!/bin/bash

ip route flush table 200




iptables -t mangle -A PREROUTING -i eth2 -p tcp --sport 22 -s 0/0 -j MARK --set-mark 2
iptables -t mangle -A PREROUTING -i eth2 -p tcp --dport 22 -j MARK --set-mark 2
iptables -t mangle -A INPUT -p tcp --dport 22 -j MARK --set-mark 2
iptables -t mangle -A OUTPUT -p tcp --sport 22 -s 0/0 -j MARK --set-mark 2
iptables -t mangle -A FORWARD -p tcp --sport 22 -s 0/0 -j MARK --set-mark 2
iptables -t mangle -A FORWARD -p tcp --dport 22 -j MARK --set-mark 2



ip rule add fwmark 2 table 200 prio 20



ip route add default via GWLINK2 dev eth0 table 200

diiegosantos90
(usa Debian)

Enviado em 23/02/2017 - 10:29h

Galera consegui resolver o problema da seguinte forma, tive que alterar o protocolo de minha Openvpn em meu servidor, eu usava porta 1194 UDP em minhas configurações da openvpn, alterei elas para porta 1194 TCP, ai os pacotes foram marcados e roteados corretamente em meu firewall, com isso entrando e saindo pelo link correto.