Комментарии

Спасибо за комментарий. Прикладываю конфиг со своего рабочего сервера:

interface=tap_soft,tap_soft2
dhcp-range=tap_soft,192.168.181.10,192.168.181.200,12h
dhcp-range=tap_soft2,192.168.182.10,192.168.182.200,12h
dhcp-option=3
dhcp-option=tap_soft,6,1.1.1.1,8.8.8.8
dhcp-option=tap_soft2,6,1.1.1.1,8.8.8.8
dhcp-option=tap_soft,121,10.0.0.0/8,192.168.181.1,172.16.0.0/12,192.168.181.1,1
92.168.0.0/16,192.168.181.1
dhcp-option=tap_soft2,121,0.0.0.0/0,192.168.182.1

В моём случае используется два локал бриджа на ВПН сервере. Один для внутрянки, а другой для выхода в инет.

Проблема была в том что клиенту не выдавался шлюз, в конфиге DHCP требовалось добавить шлюз

dhcp-option=3, 192.168.249.1

Да, если у вас один внешний IP адрес, то лучше использовать SNAT вместо MASQUERADE. Тем самым оптимизируете работу фаервола.

Спасибо, попробую ещё раз. Как я понимаю, если постоянный внешний IP на VPS то лучше использовать не MASQUERADE, а SNAT?

SecureNAT должен быть выключен, если вы настраиваете Local Bridge. 

Попробуйте проверить службу systemd-resolved, которая включена по умолчанию в дистрибутиве Ubuntu. Она должна быть выключена командой:

systemctl disable --now systemd-resolved.

P.S.

Проверил статью на свежоустановленной Ubuntu 20.04. Завелось без проблем. 

Можт быть дело в dnsmasq.service? Ошибка Failed to set DNS configuration: Unit dbus-org.freedesktop.network1.service not found.

Так и не получилось, работает только через SecureNat.

В момент подключения, DHCP сервер выдаёт вот так

DHCPDISCOVER(tap_soft) ca:47:e0:27:80:6e
DHCPOFFER(tap_soft) 192.168.249.29 ca:47:e0:27:80:6e
DHCPDISCOVER(tap_soft) ca:47:e0:27:80:6e
DHCPOFFER(tap_soft) 192.168.249.29 ca:47:e0:27:80:6e
DHCPDISCOVER(tap_soft) ca:47:e0:27:80:6e
DHCPOFFER(tap_soft) 192.168.249.29 ca:47:e0:27:80:6e
DHCPREQUEST(tap_soft) 192.168.249.29 ca:47:e0:27:80:6e
DHCPACK(tap_soft) 192.168.249.29 ca:47:e0:27:80:6e Keenetic-9964

Происходит L2TP коннект и клиент получает адресс 192.168.249.29

В правилах вот так
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -p tcp -m tcp --dport 1701 -j ACCEPT
-A INPUT -p udp -m udp --dport 1701 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 4500 -j ACCEPT
-A INPUT -p udp -m udp --dport 4500 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 500 -j ACCEPT
-A INPUT -p udp -m udp --dport 500 -j ACCEPT
-A OUTPUT ! -s 127.241.173.119/32 ! -d 127.3.125.203/32 -p icmp -m icmp --icmp-type 3/3 -m connmark ! --mark 0x59cb7b68 -j DROP
-A OUTPUT ! -s 127.207.242.177/32 ! -d 127.14.110.5/32 -p tcp -m tcp --sport 61001:65535 --tcp-flags RST RST -m connmark ! --mark 0x6830be11 -j DROP
COMMIT
#
*nat
:PREROUTING ACCEPT [621:144631]
:INPUT ACCEPT [538:139101]
:OUTPUT ACCEPT [850:176144]
:POSTROUTING ACCEPT [56:4833]
-A POSTROUTING -s 192.168.249.0/24 -o ens3 -j MASQUERADE
-A POSTROUTING -o ens3 -j MASQUERADE
-A POSTROUTING -s 192.168.249.0/24 -o ens3 -j MASQUERADE
COMMIT

Интерфейс смотрящий наружу - ens3
Интерфейс SE:
tap_soft: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.249.1 netmask 255.255.255.0 broadcast 192.168.249.255
inet6 fe80::5c78:b2ff:fec6:c937 prefixlen 64 scopeid 0x20<link>
ether 06:63:1d:a5:71:39 txqueuelen 1000 (Ethernet)

Попробуйте проверить правила фильтрации трафика в таблице filter, цепочке forward, может у вас фаервол блочит. Также проверьте доступность виртуального tap интерфейса с помощью команды ping.

Спасибо за статью. Остальные статьи что находил либо старые, либо неполные. Всё вышло только при подключении нет Интернета на устройстве. Комманду iptables давал, сетевой интерфейс смотрящий в сеть - eth0, фовардинг пакетов делал. Пробовал и iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE, всё равно Интернета нет, куда ещё нужно посмотреть?

Салом, можно ещё создать файл в /etc/nginx/proxy_params, a потом добавить туда следующие строки: 

proxy_set_header Host $http_host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

после просто подключить в конфиге nginx: 

proxy_pass https://your_backend;

include proxy_params;

на Ubuntu такой файл уже существует можно просто подключить 

Можно ещё так:

1. Создаем отдельную сеть для наших контейнеров

docker network create zbx-net

2. Указываем сеть по умолчанию в docker-compose.yml

networks:
  default:
    name: zbx-net
    external: true

Спасибо за отзыв, написал отдельную статью по установке и настройке Ansible