1 Temat przez andrzejkor (edytowany przez andrzejkor 2025-01-05 18:45:50)

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Temat: PBR i VPN - przekierowanie domen

Cześć,
próbuje zastosować PBR. Korzystam z LUCI

1) Dodalem polaczenie VPN - status enabled - jest połączenie
2) Dodałem interfejs VPNPL jako unmanaged,tun0 a nastepnie w zakładce firewall settings przypisalem mu zone WAN
3) Utworzylem w Policy Routing kierującą przykładowe myip.com do interfejsu VPNPL, chain prerouting,  protocol ALL - polityka enabled
PBR Start, PBR Enabled

I teraz mam coś takiego że czasami działa czasami nie....np po restarcie routera każdorazowo wszystko potrafi wychodzic przez VPN niezalezenie od polityki. Wchodze w interfejsy robie restart na wszystkich (WAN,LAN,VPNPL) i polityka zaczyna działać.\
JAk probuje podniesc poprzeczke i dodac kolejne polaczenie inne VPN do innego kraju i tez zastosowac polityke to jeszcze bardziej sie komplikuje temat co do działania.
Co robię źle, czy potraficie pomóc?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: PBR i VPN - przekierowanie domen

Ustaw metryki na interfejsach żeby wiadomo było co jest domyślne a co nie.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez andrzejkor

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Odp: PBR i VPN - przekierowanie domen

Cezary napisał/a:

Ustaw metryki na interfejsach żeby wiadomo było co jest domyślne a co nie.

Na interfejsie WAN ustawilem metryke 10
Na interfejsie VPNPL ustawilem metryke 20
Restart....wszystko leci na VPNPL,
Restart interfejsów - działa zgodnie z PBR....

"Override IPv4 routing table" - może z tą opcją coś kombinować?

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: PBR i VPN - przekierowanie domen

Zrób restart, nie dotykaj niczego innego i nie restartuj interfejsów. Pokaż wynik

route -n

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez andrzejkor

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Odp: PBR i VPN - przekierowanie domen

Cezary napisał/a:

Zrób restart, nie dotykaj niczego innego i nie restartuj interfejsów. Pokaż wynik

route -n

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.22.14.1     128.0.0.0       UG    0      0        0 tun0
0.0.0.0         172.22.14.1     0.0.0.0         UG    0      0        0 tun0
0.0.0.0         192.168.1.1     0.0.0.0         UG    10     0        0 wan
128.0.0.0       172.22.14.1     128.0.0.0       UG    0      0        0 tun0
149.102.244.51  192.168.1.1     255.255.255.255 UGH   0      0        0 wan
172.22.14.0     0.0.0.0         255.255.255.0   U     0      0        0 tun0
192.168.1.0     0.0.0.0         255.255.255.0   U     10     0        0 wan
192.168.68.0    0.0.0.0         255.255.255.0   U     0      0        0 br-lan

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: PBR i VPN - przekierowanie domen

I teraz mi odpowiedź gdzie niby ustawiłeś te metryki skoro tun0 (vpn) masz metrykę 0 a nie 20 jak pisałeś, czyli jest ważniejsza i cały ruch idzie ci na trasę domyślną, czyli tun0 (vpn).

Stąd twój problem. VPN nie może panoszyć się jak chce i brać ci trasę domyślną bo tak mu się podoba. Opanuj go trochę.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez andrzejkor (edytowany przez andrzejkor 2025-01-05 19:14:08)

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Odp: PBR i VPN - przekierowanie domen

Cezary napisał/a:

I teraz mi odpowiedź gdzie niby ustawiłeś te metryki skoro tun0 (vpn) masz metrykę 0 a nie 20 jak pisałeś, czyli jest ważniejsza i cały ruch idzie ci na trasę domyślną, czyli tun0 (vpn).

Stąd twój problem. VPN nie może panoszyć się jak chce i brać ci trasę domyślną bo tak mu się podoba. Opanuj go trochę.

Po restarcie interfejsów:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.1.1     0.0.0.0         UG    10     0        0 wan
172.22.14.0     0.0.0.0         255.255.255.0   U     0      0        0 tun0
192.168.1.0     0.0.0.0         255.255.255.0   U     10     0        0 wan
192.168.68.0    0.0.0.0         255.255.255.0   U     0      0        0 br-lan

Metryka jest ustawiona w LUCI na interfejsie VPNPL - tun0 - 3x sprawdzalem:)
Use gateway metric 20

8 Odpowiedź przez andrzejkor

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Odp: PBR i VPN - przekierowanie domen

Dodatkowo
cat /etc/config/network

config interface 'vpnpl'
        option proto 'none'
        option device 'tun0'
        option metric '20'

9 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: PBR i VPN - przekierowanie domen

Nie działa. Po restarcie nadal nie masz metryki, tyle że nie masz trasy domyślnej przez vpn'a.

Proponuję żebyś do konfiga openvpn dodał opcję route-noexec lub route_noexec (zależy gdzie ten konfig masz, w pliku czy uci), wtedy nie zrobi się trasa domyślna przez openvpn.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

10 Odpowiedź przez andrzejkor

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Odp: PBR i VPN - przekierowanie domen

Cezary napisał/a:

Nie działa. Po restarcie nadal nie masz metryki, tyle że nie masz trasy domyślnej przez vpn'a.

Proponuję żebyś do konfiga openvpn dodał opcję route-noexec lub route_noexec (zależy gdzie ten konfig masz, w pliku czy uci), wtedy nie zrobi się trasa domyślna przez openvpn.

Wygląda że to właśnie to co napisałeś, domyślny plik konfigu VPN zawierał odwrotność "route-method exe "

11 Odpowiedź przez andrzejkor

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Odp: PBR i VPN - przekierowanie domen

Teraz dodałem drugie połączenie VPN z innym krajem, metrykę dałem 30. Czyli mam tun0 vpnpl i tun1 vpnpl2. Dopisalem route-noexec, zrobilem drugą aktywną politykę w PBR.
Zgodnie z polityką przykładowy adres myip.com ma kierowac do tun0....a kieruje do tun1
Druga polityka przykłądowy adres ipcost.com ma kierowac do tun1....a kieruje do tun0
Nie objęte politykami lecą normalnie na WAN.

12 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: PBR i VPN - przekierowanie domen

Pytanie czy tun0 i tun1 należą do tych tuneli co myślisz. Bo który się pierwszy uruchomi to bierze pierwszy interfejs.

Zmień sobie w konfigu jawnie dev tun0, dev tun1 itd.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

13 Odpowiedź przez andrzejkor

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Odp: PBR i VPN - przekierowanie domen

Cezary napisał/a:

Pytanie czy tun0 i tun1 należą do tych tuneli co myślisz. Bo który się pierwszy uruchomi to bierze pierwszy interfejs.

Zmień sobie w konfigu jawnie dev tun0, dev tun1 itd.

Dziekuje, naprowadziles mnie na błąd jaki popelnilem...dwa pliki konfiguracyjne ovpn...dwa mialy wpis dev tun...dopiero jak wprowadzilem do kazdego z nich identyfikator tun w ovpn to pomoglo.

14 Odpowiedź przez andrzejkor

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Odp: PBR i VPN - przekierowanie domen

A tak jeszcze jeden temat....Korzystam z ADGuardHome pod OpenWRT, od razu nadmienie ze nie korzystalem nigdy z ipset.
1) Przy ustawieniach PBR - pisze "The dnsmasq.nftset is not supported on this system." i wyłącznie mam DISABLED opcje.
Jak rozumiem nie można tego pogodzić z ADGuardHome?
2) Z ciekawosci probowałem jedna stacje i netflixa puscic przez VPN, jesli robie to bez ograniczen domenowych to otwiera sie strona netflixa w danej lokalizacji i języku odpowiadającym VPN, natomiast jak próbuję wprowadzać domenowo np. "nflxso.net ichnaea.dradis.netflix.com netflix.com push.prod.netflix.com netflix.net" to otwiera mi się zgodnie z lokalizacją WAN. Można to jakoś pokonfigurować?

15 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,356

Odp: PBR i VPN - przekierowanie domen

1. Nie, chyba że sobie sam pbr'a przepiszesz
2. Tego nie robiłem, nie wiem.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

16 Odpowiedź przez andrzejkor

  • Zarejestrowany: 2025-01-05
  • Posty: 10

Odp: PBR i VPN - przekierowanie domen

Cezary napisał/a:

1. Nie, chyba że sobie sam pbr'a przepiszesz
2. Tego nie robiłem, nie wiem.

ok, AD1 dziekuje, myslalem ze cos zle robie...:)
AD2 - pewnie domeny sa zmienne u nich itp...zostawiam