前言 Network Topology RT-AC68U 使用PPPoE拨号上网，但是分配的IP是100.64.204.111, 看着像公网IP实际却是Carrier-grade NAT. 现在需要将RT-AC68U与一台在公网的EdgeRouter使用OpenVPN Site-to-Site连接起来，并在RT-AC68U端实现policy-based routing。 需要让RT-AC68U下的所有设备能访问EdgeRouter LAN的网络，并根据需求透过VPS访问指定互联网。 本实验参考下列文章： Set up OpenVPN Site-to-Site on UBNT EdgeRouter Lite EdgeRouter OpenVPN Connectivity Monitor EdgeRouter 策略路由实现分析 EdgeRouter Policy Based Routing Using DNSMASQ IPSET Incoming search terms:futureh1cleadp9hstripjqgLink to this post!
Search: “static route edgerouter”
We found 10 results for your search.
最近家里的路由规则越来越复杂，而且越来越好用。正好昨天跟朋友讨论他的家用路由改造方案，所以研究了一下EdgeRouter的策略路由（Policy-based Routing，PBR）的实现。 我家里的路由是EdgeRouter Lite，固件1.9.1.1，这个实现跟固件关系不大。 首先，我们可以参考一下官方的文档：EdgeRouter – Policy-based routing (source address based) Link to this post!
I have protocol config like
|
1 2 3 4 5 6 7 8 9 10 |
protocols { static { table 4 { route 0.0.0.0/0 { next-hop 192.168.10.1 { } } } } } |
SoftEther TAP device name is tap_se, local ip is 192.168.10.2, remote ip 192.168.10.1. Internet is connected via pppoe0. Policy-based routing modified to table 4 route traffic to pppoe0 rather than tap_se. Check current route table:
|
1 2 |
root@ubnt:/home/ubnt# show ip route table 4 default via 192.168.10.1 dev pppoe0 |
In my previous post, I added a softether start-up script in /config/scripts/post-config.d/. I […]
之前用SNIProxy按域名区分流量，着实麻烦。尤其是后期发现路由表莫名其妙出问题。 EdgeRouter的Policy Based Routing(PBR)使用的是自带配置语法的firewall modify功能。 官方有两篇教程： EdgeRouter – Policy-based routing for destination port EdgeRouter – Policy-based routing (source address based) 第二篇文章顺带提了network-group。之前在配置VPN时，使用过network-group，还比较过使用firewall modify + network-group 与配置一堆interface-route的区别。 而，这里的network-group的实现，使用了netfilter的ipset。Man pages可以看这里，命令在edgerouter上也附带了。 dnsmasq支持 ‘–ipset‘ 参数，把对配置域名解析的IP存入到指定的ipset。具体细节可以看dnsmasq的文档。 dnsmasq配置的语法比较简单。
|
1 |
--ipset=/<domain>/[domain/]<ipset>[,<ipset>] |
domain 部分参考 address 的语法。例如：
|
1 2 |
ipset=/.sskaje.me/MY_SET ipset=/test.com/MY_SET |
配置好所有自己需要的域名，重启dnsmasq即可。 ipset本身支持timeout，但是edge os的network-group不支持，所以在配置dnsmasq之前，最好创建一个新的network-group。 假定新建的ipset名叫 MY_SET，edge router的主要相关配置如下：
|
1 2 3 4 5 6 |
set firewall group network-group MY_SET set firewall modify AUTO_VPN rule 20 action modify set firewall modify AUTO_VPN rule 20 destination group network-group MY_SET set firewall modify AUTO_VPN rule 20 modify table 4 set firewall modify AUTO_VPN rule 20 protocol all |
其他诸如配置 static table, interface firewall 可以参考最前边的文档。 Link to this post!
This is a placeholder. And, this article won’t be public. You are not authorised to read all content in this post. Please login… Link to this post!