[問題] 連上SSL VPN後如何讓VPN網域內電腦連入

[Adama (So Say We All.)]

各位好，我想請問一個問題

我有台電腦平時可讓公司電腦連入 (在數據機DMZ裡，數據機有public IP)

但如果用SSL VPN (Juniper)連入公司後，公司電腦就無法連到我的電腦了
連public IP: 不成功 (因為回程的route改走去VPN了所以交握不起來?!?)；
而VPN看起來像是NAT的架構，因此企圖連VPN配發的IP也不成功

據說SSL VPN是可以設定成雙向的，但要公司改設定有點難...
有client端能解決的辦法嗎？謝謝

--

    Nice to meld you.

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.171.72.27
※ 文章網址: https://www.ptt.cc/bbs/Linux/M.1466085737.A.CE6.html
推 soem: client端就調整routing，只讓特定的目的地走VPN tunnel
→ Adama: 可是如果要從"特定目的"連回client呢？應該沒辦法把同一目
→ Adama: 的地分別設給兩個介面eth0 & tun0 (VPN)吧？
→ danny8376: 你是說dest都一樣是公司電腦的public ip
→ danny8376: 但是route改走VPN的這種情況嗎?
公司電腦也有public IP但在防火牆後面 所以才需要VPN。
當公司電腦連我的public電腦，我在想連不上是不是handshake透過VPN回傳了，
因而被認作是VPN配發的IP (也是 tun0 得到的IP)，而不是我的public IP，
所以交握不起來。

→ danny8376: 是的話就 policy routing
謝謝，我看看這有沒有幫助

→ HamalAri: iptables 和 iproute2 對特定規則選 interface
→ HamalAri: 比如把從你 nat 進來的 port 的封包 mark 起來
謝謝，看來非得動iptables不可了
※ 編輯: Adama (1.171.71.48), 06/17/2016 12:19:59
→ HamalAri: 是說為何要這樣？vpn 連公司的目的是什麼？只是為了存取
→ HamalAri: 公司的某些機器嗎？
→ Adama: 是的，有些軟體認證需連VPN後才能使用
→ HamalAri: 那麼把 vpn 的 default route 刪掉設回來，讓那幾個軟體
→ HamalAri: 走 vpn 的介面就好，例如 iptables (uid)，應該會較省事