如何在VPN NAT上进行转发？

Question

我有一个多站点虚拟专用网，目前运行与pfSense盒和目前使用OpenVPN。但是，如果需要的话，我可以更改OS和VPN类型。

主路由器有10.13.0.0/16子网和一系列公共IP

例如，分支有一个10.12.1.0/24子网

如何将主路由器的公共IP上的NAT流量转发到第二个NAT后的服务器？例如，分配给主路由器的公共IP上的端口95在另一个路由器上转发到10.12.1.102。

这有可能吗？目前，我的设置很好，但只适用于间通信。

Answer 1

您将使用1:1 NAT将公共IP映射到私有IP。理论上，您可以叠加1:1 NAT的多个层。例如：

1.1.1.1 ---[1:1 NAT]---> 2.2.2.2 ---[1:1 NAT]---> 3.3.3.3

或者，如果您只希望两个路由器后面有一个端口，那么使用简单的端口转发规则也是可能的。示例：

1.1.1.1:95 ---[port forward]---> 2.2.2.2:95 ---[port forward]---> 3.3.3.3:95

pfSense框将维护会话表，并通过多个转发准确地来回移动通信量。

Answer 2

你所需要做的就是从你的两个路由器转发一个端口。

让我们为您的路由器接口命名，以便于解释。

10.12.0.0/16 router : Router-1
    WAN interface: Router-1-ext (this should have a public IP)
    LAN interface: Router-1-int (this should have a 10.13.x.x IP)

10.12.1.0/16 router : Router-2
    WAN/NAT interface: Router-2-ext (this should have a 10.13.x.x IP) * *
    LAN interface: Router-2-int (this should have a 10.12.x.x IP)

路由器-1

pf.conf添加以下端口转发规则

pass in on <Router-1-ext> proto tcp from any to any port 90 rdr-to <Router-2-ext IP>

路由器-2

pf.conf添加以下端口转发规则

pass in on <Router-2-ext> proto tcp from any to any port 90 rdr-to 10.12.1.102

端口转发方式(更容易)

您也可以在pfsense接口中完成它，官方指令是这里。

思想是一样的，路由器-1端口转发到路由器-2，路由器-2端口转发到目标服务器.

PS:如果您的路由器-2到路由器-1 VPN是在互联网上，上面的路由器-2-ext接口应该指VPN点对点接口，而不是物理广域网接口与公共IP。