CentOS 6双网卡环境下ocserv VPN路由配置求助：无法向VPN客户端暴露192.168.0.0网段

看起来你的基础ocserv配置已经跑通了，客户端能正常上网，现在就差打通VPN客户端到192.168.0.0网段的通路，咱们一步步来排查解决：

第一步：确认ocserv的路由推送是否生效 #

先把你的路由配置改成更简洁的CIDR格式（和子网掩码效果完全一致），在/etc/ocserv/ocserv.conf里确保这两行存在：

route = 192.168.10.0/24
route = 192.168.0.0/24

然后重启ocserv服务让配置生效：

service ocserv restart

接下来在VPN客户端上检查路由表：

• Windows：打开命令提示符，输入route print，找有没有目标为192.168.0.0的路由，下一跳是VPN虚拟网卡的地址
• Linux/macOS：终端输入ip route show，找类似192.168.0.0/24 via <VPN网关IP> dev <VPN虚拟网卡>的条目

如果客户端看不到这条路由，说明ocserv没推送成功，去看日志tail -f /var/log/ocserv.log有没有相关报错，或者确认配置文件里有没有不小心注释掉路由参数。

第二步：检查iptables转发规则（最可能的问题） #

CentOS 6默认启用iptables，哪怕你开了ipv4.ip_forward，默认规则也可能会阻止VPN客户端和192.168.0.0网段的流量转发。

首先先确认你的ocserv分配给客户端的子网（看配置文件里的ipv4-network参数，默认是192.168.12.0/24），然后添加以下iptables规则：

1. 允许VPN客户端子网和192.168.0.0网段的双向转发：

iptables -A FORWARD -s <VPN客户端子网> -d 192.168.0.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.0.0/24 -d <VPN客户端子网> -j ACCEPT

比如用默认子网的话就是：

iptables -A FORWARD -s 192.168.12.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.0.0/24 -d 192.168.12.0/24 -j ACCEPT

2. 解决回包问题（二选一即可）：
   • 方案A（推荐，适合有网段路由器管理权限的情况）：在192.168.0.0网段的核心路由器上加一条静态路由：192.168.12.0/24 下一跳 192.168.0.190，这样192.168.0.0的设备就能直接找到VPN客户端的子网路由。
   • 方案B（适合没有路由器权限的情况）：在服务器上做SNAT，让发往192.168.0.0的流量源地址替换成eth1的IP，这样回包会回到服务器再转发给客户端：

   iptables -t nat -A POSTROUTING -s <VPN客户端子网> -d 192.168.0.0/24 -o eth1 -j SNAT --to-source 192.168.0.190
   

最后保存iptables规则，防止重启后丢失：

service iptables save

第三步：确认服务器本身的路由表 #

执行ip route show，检查是否有192.168.0.0网段的直连路由，正常应该有类似这样的条目：

192.168.0.0/24 dev eth1 proto kernel scope link src 192.168.0.190

如果没有的话，手动添加这条路由：

ip route add 192.168.0.0/24 dev eth1

可以把这条命令加到/etc/rc.local里，开机自动执行。

第四步：测试连通性 #

让VPN客户端连接后，先ping 192.168.0.190（服务器eth1的IP），如果能通，再ping 192.168.0.0网段里的其他设备。如果ping不通服务器eth1，检查VPN客户端的路由和服务器的iptables规则；如果能通服务器但不通其他设备，检查192.168.0.0网段设备的防火墙，或者上面的回包路由/SNAT配置。

备注：内容来源于stack exchange，提问作者minicooper