OpenVPN转发报文封装

一、组网信息

        PC Client （20.1.0.2）   ----  （20.1.0.1）FW（10.1.0.1） ---- （10.1.0.2）内网PC  

        PC Client拨号成功后的地址信息：

        拨号的虚拟IP是16.16.0.6，OpenVPN保护网段即10.1.0.0/24,拨号成功后的PC端地址

        

        路由信息：

        

二、报文封装过程

以ping报文为例，从PC Client端ping内网地址10.1.0.2

1、PC Client -->FW

以太头      IP首部                      UDP首部                  OpenVPN封装| MAC 头 | SIP 20.1.0.2 DIP 20.1.0.1 | SPort 2343 DPort 1194 | OpenVPN加密 |

PC发出的ping报文使用PC的实际物理IP地址进行封装，IP的源地址是PC的物理地址，目的地址是OpenVPN配置的服务器地址，虚拟地址在OpenVPN中进行了加密处理，无法看到icmp报文。

2、FW --> 内网PC

以太头     IP首部                         ICMP报文| MAC头 | SIP 16.16.0.6  DIP 10.1.0.2 |  ICMP | 

FW收到PC Client报文后剥掉IP头，进行OpenVPN解密和解封装，露出原始ping报文内容。

3、内网PC --> FW回城报文

以太头     IP首部                          ICMP报文| MAC头 | SIP  10.1.0.2  DIP 16.16.0.6 |  ICMP |

4、FW-->PC Client

以太头      IP首部                          UDP首部                   OpenVPN封装| MAC 头 | SIP  20.1.0.1  DIP 20.1.0.2  | SPort 1194  DPort 2343  | OpenVPN加密 |

FW收到ping echo报文后进行加密和openvpn封装，发到公网。

（完）