如何通过VPN将传入的请求转发到IP

问题描述

我正在从事一个项目，该项目要求通过VPN连接到客户的网络（我们正在发送HTTP请求并连接到其本地服务器上的数据库）。

我要实现的目标是：

我在AWS上有一组实例，但是我不想在每个实例上都建立VPN连接，实际上，我宁愿完全不要更改它们。 （我们叫这些应用程序实例。）

所以我想我会做的是设置每个客户端具有VPN连接的其他实例。 （我们叫这些vpn实例。）

这个想法是，应用程序实例将具有一个vpn实例的DNS（例如：myclient.vpn.myservice），并将其用于通过VPN的所有流量。

示例：应用程序实例＃1向http://myclient.vpn.myservice:1234发送HTTP请求，vpn实例接收该请求，将其转发到1.2.3.4:1234（在客户端的本地网络上），并将响应返回给应用程序实例＃ 1，因此从应用程序实例的角度来看，这就像向myclient.vpn.myservice发送常规HTTP请求（旁注：这也应与常规tcp和udp连接一起使用）。

我尝试过的是在vpn实例上启用ip转发并设置iptables规则，如下所示：

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -t nat -A PREROUTING -p tcp --dport 1234 -j DNAT --to-destination 1.2.3.4:1234
iptables -t nat -A PREROUTING -p udp --dport 1234 -j DNAT --to-destination 1.2.3.4:1234
iptables -t nat -A POSTROUTING -j MASQUERADE

但这似乎不起作用（至少对于HTTP请求而言）。

所有服务器都在Ubuntu 20.04上运行。

我不确定这个想法是否全错，而且我在Ubuntu方面没有特别丰富的经验，因此我愿意接受建议，唯一重要的是我真的不想改变应用实例。

解决方法

有一种在AWS上设置VPN的最简单方法。

您可以create a VPN in your VPC（还需要一个客户网关和虚拟专用网关）并更改现有的路由表，以将连接从客户VPN CIDR范围路由到AWS VPN资源。

这样，您的实例连接将无需VPN实例即可转到VPN。

,

好的，所以我知道了。首先，我在上面编写的所有步骤都不能从vpn实例本身运行，而不能从它确实可以运行的应用程序实例运行，但是这些iptables规则太宽松了，它们弄乱了系统的内部主机解析，并且sudo命令变得非常慢应用后。

所以这就是我最后的内容（保留问题中的示例）：

在vpn实例上：

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 1234 -j DNAT --to-destination 1.2.3.4:1234
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 1234 -j DNAT --to-destination 1.2.3.4:1234
iptables -t nat -A OUTPUT -o lo -p tcp --dport 1234 -j DNAT --to-destination 1.2.3.4:1234
iptables -t nat -A OUTPUT -o lo -p udp --dport 1234 -j DNAT --to-destination 1.2.3.4:1234
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

其中eth0是实例的公用网络接口，而tun0是vpn附加的网络接口。

按照这些规则，我可以从所有实例中curl http://myclient.vpn.myservice:1234并接收来自VPN另一端的响应。