OpenVPN-访问内部设备

解决即便服务端下发了路由还是无法访问内部设备问题：
1. 开启路由转发
2. 添加 iptables规则

## 一键 启用路由转发+添加iptables规则
```bash
# 拉取并执行意见脚本
wget http://nas.918178.xyz:3000/WJ/Script/raw/branch/master/openvpn-iptables_zwzw.sh && bash openvpn-iptables_zwzw.sh
```
`openvpn-iptables_zwzw.sh` 自动执行脚本
```bash
#!/bin/bash

# 检查路由转发是否已启用，如果未启用则启用(不开启也无法访问内部网络)
if [ "$(sysctl -n net.ipv4.ip_forward)" != "1" ]; then
    echo "正在启用 IPv4 路由转发..."
    echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
    sysctl -p
fi
if [ "$(sysctl -n net.ipv6.conf.all.forwarding)" != "1" ]; then
    echo "正在启用 IPv6 路由转发..."
    echo "net.ipv6.conf.all.forwarding = 1" >> /etc/sysctl.conf
    sysctl -p
fi

# 检查是否安装 iptables，如果没有则自动安装
if ! command -v iptables &> /dev/null; then
    echo "未找到 iptables，正在安装..."
    if [[ -n $(command -v apt) ]]; then
        apt update
        apt install -y iptables
    elif [[ -n $(command -v yum) ]]; then
        yum install -y iptables
    else
        echo "无法自动安装 iptables，请手动安装后重新运行脚本。"
        exit 1
    fi
fi

# 获取内部IP地址
internal_ip=$(hostname -I | awk '{print $1}')

# 用户输入 VPN 地址池
read -p "OpenVPN 地址池 (默认: 10.8.0.0/24): " vpn_address_pool
vpn_address_pool=${vpn_address_pool:-10.8.0.0/24}

# 用户输入 VPN 端口,并进行输入限制
while true; do
    read -p "OpenVPN 端口 (默认: 1194): " vpn_port
    vpn_port=${vpn_port:-1194}
    if [[ "$vpn_port" =~ ^[1-9][0-9]{0,4}$ && "$vpn_port" -le 65535 ]]; then
        break
    else
        echo "端口输入无效,请输入1-65535之间的整数."
    fi
done

# 用户输入 VPN 协议,并进行大小写转换
while true; do
    read -p "OpenVPN 协议 (UDP/tcp): " vpn_protocol
    vpn_protocol=${vpn_protocol:-udp}  # 设置默认值为 udp
    if [[ "$vpn_protocol" == "udp" || "$vpn_protocol" == "tcp" ]]; then
        break
    else
        echo "协议输入无效,请输入 udp 或 tcp."
    fi
done

# 创建服务文件
cat <<EOF | tee /etc/systemd/system/openvpn-iptables.service
[Unit]
Before=network.target

[Service]
Type=oneshot
ExecStart=/sbin/iptables -t nat -A POSTROUTING -s $vpn_address_pool ! -d $vpn_address_pool -j SNAT --to $internal_ip
ExecStart=/sbin/iptables -I INPUT -p $vpn_protocol --dport $vpn_port -j ACCEPT
ExecStart=/sbin/iptables -I FORWARD -s $vpn_address_pool -j ACCEPT
ExecStart=/sbin/iptables -I FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

ExecStop=/sbin/iptables -t nat -D POSTROUTING -s $vpn_address_pool ! -d $vpn_address_pool -j SNAT --to $internal_ip
ExecStop=/sbin/iptables -D INPUT -p $vpn_protocol --dport $vpn_port -j ACCEPT
ExecStop=/sbin/iptables -D FORWARD -s $vpn_address_pool -j ACCEPT
ExecStop=/sbin/iptables -D FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

RemainAfterExit=yes

[Install]
WantedBy=multi-user.target
EOF

# 重新加载 systemd 配置
systemctl daemon-reload
# 启用并运行服务
systemctl enable --now openvpn-iptables.service
echo "OpenVPN iptables 服务已创建并启动"
```

## 手动添加 iptables 规则
```bash
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to 192.168.100.51
iptables -I INPUT -p udp --dport 1194 -j ACCEPT
iptables -I FORWARD -s 10.8.0.0/24 -j ACCEPT
iptables -I FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
```
`/etc/systemd/system/openvpn-iptables.service` 手动创建 iptables 服务
```bash
[Unit]
    Before=network.target
    # 在 network.target 之前启动，确保在网络服务启动之前执行。

[Service]
    Type=oneshot
    # 设置服务类型为 oneshot，表示服务将执行一次然后退出。

# ExecStart 命令集合，这些命令将在服务启动时执行。
    ExecStart=/sbin/iptables -t nat -A POSTROUTING -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to 192.168.100.51
    # 在 NAT 表中添加 POSTROUTING 规则，将源地址为 10.8.0.0/24 的流量进行 SNAT，将源地址改为 192.168.100.51。
    ExecStart=/sbin/iptables -I INPUT -p udp --dport 1194 -j ACCEPT
    # 在 INPUT 链中插入一条规则，允许 UDP 目标端口为 1194 的流量通过。
    ExecStart=/sbin/iptables -I FORWARD -s 10.8.0.0/24 -j ACCEPT
    # 在 FORWARD 链中插入一条规则，允许源地址为 10.8.0.0/24 的流量通过。
    ExecStart=/sbin/iptables -I FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
    # 在 FORWARD 链中插入一条规则，允许与已建立连接或相关状态的流量通过。

# ExecStop 命令集合，这些命令将在服务停止时执行。
    ExecStop=/sbin/iptables -t nat -D POSTROUTING -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to 192.168.100.51
    # 在 NAT 表中删除 POSTROUTING 规则，撤销对源地址为 10.8.0.0/24 的流量进行 SNAT 的设置。
    ExecStop=/sbin/iptables -D INPUT -p udp --dport 1194 -j ACCEPT
    # 在 INPUT 链中删除规则，拒绝 UDP 目标端口为 1194 的流量。
    ExecStop=/sbin/iptables -D FORWARD -s 10.8.0.0/24 -j ACCEPT
    # 在 FORWARD 链中删除规则，拒绝源地址为 10.8.0.0/24 的流量。
    ExecStop=/sbin/iptables -D FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
    # 在 FORWARD 链中删除规则，拒绝与已建立连接或相关状态的流量。

RemainAfterExit=yes
    # 在服务执行完毕后，保持服务的激活状态，即使服务退出也会保持状态。

[Install]
    WantedBy=multi-user.target
    # 将此服务配置为 multi-user.target（通常是默认的运行级别）的一部分，表示服务将在多用户模式下启动。

```