openvpn：从 LAN 内部连接时无法 ping 客户端

Question

我们有一个 openvpn 服务器（我相信我们的路由器），以及从很远的地方连接到互联网的移动客户端，但偶尔也会从我们的办公室内连接到互联网。这些系统是无头的，因此在连接到办公室网络之前以不同方式配置它们是行不通的——我们希望通过它们的 avahi 主机名通过 SSH 连接到它们，无论它们身在何处。

正确的，当它们连接到我们网络之外的互联网时，我们可以 ping 和 SSH。当它们从我们的 LAN 内部连接时，有时 hostname.local 解析为 192.168.10.3（ping 和 SSH 不起作用），有时解析为 192.168.1.211（ping 和 ssh 起作用）。

在移动端监控wireshark时，确实出现了对192.168.10.3地址的ping请求，但没有得到响应。

我们如何配置我们的客户端，以便在从我们的网络内部连接时可以联系到他们？

客户端 ifconfig 的输出（通过我们办公室的局域网连接到 VPN）：

eth0      Link encap:Ethernet  HWaddr 00:04:4b:a7:fa:e5  
          inet addr:192.168.1.223  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::7a45:f5b1:1b87:c6f0/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:8964 errors:0 dropped:0 overruns:0 frame:0
          TX packets:771 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1847719 (1.8 MB)  TX bytes:160760 (160.7 KB)
          Interrupt:42 

tap0      Link encap:Ethernet  HWaddr ce:d4:a6:18:48:21  
          inet addr:192.168.10.3  Bcast:192.168.10.255  Mask:255.255.255.0
          inet6 addr: fe80::ccd4:a6ff:fe18:4821/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1381 errors:0 dropped:0 overruns:0 frame:0
          TX packets:58 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:214474 (214.4 KB)  TX bytes:7149 (7.1 KB)

客户端route的输出（通过我们办公室的局域网连接到VPN）：

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         192.168.1.1     0.0.0.0         UG    0      0        0 eth0
default         192.168.10.1    0.0.0.0         UG    50     0        0 tap0
default         192.168.1.1     0.0.0.0         UG    100    0        0 eth0
link-local      *               255.255.0.0     U     1000   0        0 eth1
192.168.1.0     *               255.255.255.0   U     100    0        0 eth0
192.168.2.0     *               255.255.255.0   U     0      0        0 eth1
192.168.10.0    *               255.255.255.0   U     50     0        0 tap0

从同一 LAN 上的另一台机器到我们的移动客户端的背靠背 ping。无论出于何种原因，avahi .local 名称都无法预测地解析为 VPN IP 或其他。无论如何，对 VPN IP（第二个）的 ping 只是挂起：

[15:51:25]~$ ping liber0.local
PING liber0.local (192.168.1.223) 56(84) bytes of data.
64 bytes from 192.168.1.223: icmp_seq=1 ttl=64 time=4.00 ms
64 bytes from 192.168.1.223: icmp_seq=2 ttl=64 time=6.09 ms
64 bytes from 192.168.1.223: icmp_seq=3 ttl=64 time=38.8 ms
^C
--- liber0.local ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 4.003/16.302/38.805/15.935 ms
[15:51:29]~$ ping liber0.local
PING liber0.local (192.168.10.3) 56(84) bytes of data.
^C
--- liber0.local ping statistics ---
27 packets transmitted, 0 received, 100% packet loss, time 26629ms

OpenVPN 配置文件：

client
dev tap
proto udp
remote <redacted>
float
resolv-retry infinite 
nobind
persist-key 
persist-tun 
verb 3
ca <redacted>.pem 
cert <redacted>.pem
key <redacted>.key
cipher AES-256-CBC
auth SHA256

Answer 1

关键提示是 ICMP 数据包到达了 VPN 连接的客户端，但没有得到答复。原来默认的rp_filter（反向路径过滤器）是严格检查和丢弃数据包。将 net.ipv4.conf.default.rp_filter = 2 添加到 /etc/sysctl.conf 设置 rp_filter 以放松反向路径检查，并且一切正常。

openvpn：从 LAN 内部连接时无法 ping 客户端

openvpn: Can't ping client when it's connected from inside LAN

vpn

iptables

openvpn

ubuntu-16.04

networkmanager