请教openwrt里的OPEN-V-PN转发问题

gua***

网络结构图如下：

情况说明：
1、OPEN-V-PN服务器使用centos搭建，有公网IP，虚拟IP为：10.8.0.1
2、OPEN-V-PN客户端1使用K2 openwrt搭建，通过LAN口连接在网关下，禁用了WAN口，虚拟IP：10.8.0.2，在网关1做了静态路由，访问10.100.1.0/24通过192.168.1.2；
3、OPEN-V-PN客户端2使用centos搭建，无公网IP，虚拟IP：10.8.0.3，在网关2做了静态路由，访问192.168.1.0/24通过10.100.1.2；


现状：
1、OPEN-V-PN客户端1、客户端2都可以与OPEN-V-PN服务器连接上，10.8.0.1/2/3互ping都通；
2、PC1：192.168.1.3能访问10.100.1.0/24所有的机器；
3、已经将K2 openwrt里的IP转发功能打开，即net.ipv4.ip_forward = 1，并在iptables规则里做了地址伪装，规则如下：
iptables -I FORWARD -obr-lan -j ACCEPT #允许br-lan端口流量被转发
iptables -I FORWARD -o tun0 -j ACCEPT #允许tun0端口流量被转发
iptables -t nat -I POSTROUTING -o tun0 -j MASQUERADE #tun0出口的流量SNAT出去

4、PC2：10.100.1.3只能ping通192.168.1.2和10.8.0.2，ping不通192.168.1.0/24里的其它机器；
5、如果将K2替换为centos搭建的OPEN-V-PN客户端，则PC2：10.100.1.3可以能访问192.168.1.0/24所有的机器；
百思不得其解，请各位大神指点一二，非常感谢！

stevemo***

如果用静态路由:在10.8.0.1机器上要加10.100.1.0/24指向10.8.0.3;192.168.1.0/24指向10.8.0.2. 如果动态路由,当我没说

stevemo***

traceroute（pc上是tracert命令）查，结果发出来看看

gua***

stevemorrislian 发表于 2017-7-23 13:45
如果用静态路由:在10.8.0.1机器上要加10.100.1.0/24指向10.8.0.3;192.168.1.0/24指向10.8.0.2. 如果动态路 ...

在10.8.0.1机器有到10.100.1.0/24的路由，在10.8.0.1上可以ping通10.8.0.3；
192.168.1.0/24能ping通10.8.0.2。

gua***

stevemorrislian 发表于 2017-7-23 13:48
traceroute（pc上是tracert命令）查，结果发出来看看

从10.100.1.2上tracert192.168.1.10的结果：


可以看出来，从10.100.1.2到192.168.1.2之间是没问题的， 我觉得问题是不是openwrt没把10.8.0.0/24的地址伪装成192.168.1.0/24从br-lan口出去。同样的网络环境，只要把openwrt换成了centos客户端，问题立马就解决了。

wolo***

单独将k2的openvirtual**连接的防火墙设置为独立zone，这个zone开始转发，关闭伪装

gua***

wolong_gl 发表于 2017-7-23 15:39
单独将k2的openvirtual**连接的防火墙设置为独立zone，这个zone开始转发，关闭伪装

你刷的是什么版本固件，我刷的固件没有设置防火墙的选项。
我刷的固件是：PandoraBox-ralink-mt7620-phicomm-k2-2017-01-03-git-6c24a7a-squashfs-sysupgrade.bin

wolo***

openwrt类型路由器防火墙配置界面必有吧

gua***

wolong_gl 发表于 2017-7-23 15:51
openwrt类型路由器防火墙配置界面必有吧

我刷的版本没有防火墙的配置界面。

huaxi***

你都做nat了。肯定不能直接访问nat内的啊

huaxi***

要不做端口映射，要不就取消nat

gua***

huaxie1988 发表于 2017-7-23 23:14
你都做nat了。肯定不能直接访问nat内的啊

openwrt那端没有公网IP，做nat从外面访问不进来啊。

stevemo***

guangzi 发表于 2017-7-23 14:59
从10.100.1.2上tracert192.168.1.10的结果：

加了以后还是这样吗？

stevemo***

192.168.1.2和192.168.1.3之间，是可以直接通，也可能进过192.168.1.1做了nat后才通。所以必须有静态路由，并在某些情况下（目标10.0.0.0/8时）去掉nat地址转换

gua***

stevemorrislian 发表于 2017-7-24 20:28
192.168.1.2和192.168.1.3之间，是可以直接通，也可能进过192.168.1.1做了nat后才通。所以必须有静态路由， ...

方便私信下联系方式吗？