Я пытаюсь направить трафик одного пользователя через openvpn. Их трафик должен быть запрещен, если vpn выходит из строя. Я хочу сделать это с помощью скрипта, прикрепленного к openvpn.
В моем тестировании это работает для маршрутизации пользователя через vpn, пока я не использую DROP iptable ... затем пользователь теряет все возможности подключения, а другие правила игнорируются.
это все на debian stretch.
Я нашел здесь хорошее подробное руководство: https://www.niftiestsoftware.com/2011/08/28/making-all-network-traffic-for-a-linux-user-use-a-specific-network-interface/comment-page-1/
и он работает, по большей части, хорошо, за исключением того, что у меня та же проблема, что и раньше. Я могу направлять трафик для пользователя на vpn, но если vpn отсутствует, он возвращается к eth0 или чему-то еще.
если я попытаюсь предотвратить это с помощью эквивалента "разрешить tun0, не позволяй eth0"Я блокирую tun0, а также eth0"
iptables -A OUTPUT -o eth0 -m owner --uid-owner $VPNUSER -j REJECT конфликтует с
iptables -A OUTPUT -o lo -m owner --uid-owner $VPNUSER -j ACCEPT
iptables -A OUTPUT -o tun0 -m owner --uid-owner $VPNUSER -j ACCEPT
что я здесь делаю не так?
ниже была моя первая попытка, но теперь я следую формату ссылки выше:
iptables -F OUTPUT
iptables -I OUTPUT -m owner --uid-owner foo -j MARK --set-mark 42
iptables -I OUTPUT -d 10.20.0.0/24 -m owner --uid-owner foo
iptables -I OUTPUT -d VPNSERVERIP -p udp -j ACCEPT -m owner --uid-owner foo
iptables -I OUTPUT -j DROP -m owner --uid-owner foo
iptables -t nat -I POSTROUTING -o tun0 -j MASQUERADE
а затем еще кое-что, чтобы заставить работать маршрутизацию ...
ip rule add fwmark 42 table 42
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
echo 0 > $f
done;
ip route add default via $(ifconfig -a tun0 | grep -o 'destination [^ ]*' | cut -d \ -f 2) table 42
после всего этого iptables -L OUTPUT выглядит так:
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
DROP all -- anywhere anywhere owner UID match foo
ACCEPT udp -- anywhere VPNSERVERIP owner UID match foo
all -- anywhere 10.20.0.0/24 owner UID match foo
MARK all -- anywhere anywhere owner UID match foo MARK set 0x2a
Я получил это, используя следующую конфигурацию:
-P INPUT DROP
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N f2b-sshd
-A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd
-A INPUT -i tun0 -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A INPUT -m pkttype --pkt-type broadcast -m comment --comment "Block Broadcast INPUT (No log)" -j DROP
-A INPUT -m pkttype --pkt-type multicast -m comment --comment "Block Multicast INPUT (No Log)" -j DROP
-A INPUT -i lo -m comment --comment "Accept localhost Input" -j ACCEPT
-A INPUT -p udp -m udp --sport 1194 -m state --state ESTABLISHED -m comment --comment "Allow the server to reply (related to lport)" -j ACCEPT
-A INPUT -p tcp -m multiport --dports 22,80,443 -j ACCEPT
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 8.8.8.8/32 -p udp -m udp --sport 53 -m state --state ESTABLISHED -m comment --comment "Allow the DNS1 to answer" -j ACCEPT
-A INPUT -s 8.8.4.4/32 -p udp -m udp --sport 53 -m state --state ESTABLISHED -m comment --comment "Allow the DNS2 to answer" -j ACCEPT
-A INPUT -m limit --limit 10/min -m comment --comment "Log Input" -j LOG --log-prefix "FW DROP INPUT: " --log-level 7
-A INPUT -i tun+ -m comment --comment "Accept TUN Input" -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m limit --limit 10/min -m comment --comment "Log Forward" -j LOG --log-prefix "FW DROP FORWARD: " --log-level 7
-A OUTPUT -o lo -m owner --uid-owner 1001 -j ACCEPT
-A OUTPUT -o tun0 -m owner --uid-owner 1001 -j ACCEPT
-A OUTPUT ! -s $EXTERNALIP -o $EXT_INT -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o lo -m owner --uid-owner 1002 -j ACCEPT
-A OUTPUT -o tun0 -m owner --uid-owner 1002 -j ACCEPT
-A OUTPUT ! -s $EXTERNALIP/32 -o $EXT_INT -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o lo -m owner --uid-owner 1003 -j ACCEPT
-A OUTPUT -o tun0 -m owner --uid-owner 1003 -j ACCEPT
-A OUTPUT ! -s $EXTERNALIP/32 -o $EXT_INT -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o lo -m comment --comment "Accept localhost Output" -j ACCEPT
-A OUTPUT -p udp -m udp --dport 1194 -m comment --comment "Allow my computer to query the DNS server" -j ACCEPT
-A OUTPUT -p tcp -m multiport --sports 22,80,443 -j ACCEPT
-A OUTPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o $EXT_INT -p tcp -m multiport --dports 80,443 -m state --state NEW -j ACCEPT
-A OUTPUT -o $EXT_INT -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A OUTPUT -d 8.8.8.8/32 -p udp -m udp --dport 53 -m state --state NEW,ESTABLISHED -m comment --comment "Allow my machine to connect to the DNS1" -j ACCEPT
-A OUTPUT -d 8.8.4.4/32 -p udp -m udp --dport 53 -m state --state NEW,ESTABLISHED -m comment --comment "Allow my machine to connect to the DNS2" -j ACCEPT
-A OUTPUT -m limit --limit 10/min -m comment --comment "Log Output" -j LOG --log-prefix "FW DROP OUTPUT: " --log-level 7
-A OUTPUT -p icmp -m icmp --icmp-type 0 -m state --state RELATED,ESTABLISHED -m comment --comment "Allow ping to Outside" -j ACCEPT
-A OUTPUT -o tun+ -m comment --comment "Accept TUN Output" -j ACCEPT
-A f2b-sshd -j RETURN
Это может помочь:
Они заблокировали весь трафик на eth0, а затем разрешили ему пройти позже (DNS, ping)
Goldsztajn
Август 2014 г. в Общем обсуждении конфиденциальности
Сообщений: 4
(ОБНОВЛЕНО)
Привет всем,
Я попытался создать решение, которое преобразует машину Debian или Ubuntu для доступа к Интернету ТОЛЬКО через VPN (чтобы избежать ошибок, если вы отключены или если OpenVPN выйдет из строя).
К вашему сведению, я использую OpenVPN, настроенный с помощью файлов конфигурации PIA, и предполагаю, что на вашем компьютере есть только eth0.
1 / Когда интерфейсы работают, отключите трафик
/ и т.д. / сеть / интерфейсы
auto eth0 iface eth0 inet dhcp pre-up iptables-restore < /etc/iptables.rulesЗатем: /etc/iptables.rules
*filter # Default Policy :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT DROP [0:0] # Broadcast without logging -A INPUT -m pkttype --pkt-type broadcast -j DROP -m comment --comment "Block Broadcast INPUT (No log)" -A INPUT -m pkttype --pkt-type multicast -j DROP -m comment --comment "Block Multicast INPUT (No Log)" # Allow localhost -A INPUT -i lo -m comment --comment "Accept localhost Input" -j ACCEPT -A OUTPUT -o lo -m comment --comment "Accept localhost Output" -j ACCEPT ## Allow to connect to upd 1194 (openvpn) -A OUTPUT -p udp --dport 1194 -j ACCEPT -m comment --comment "Allow my computer to query the DNS server" -A INPUT -p udp --sport 1194 -m state --state ESTABLISHED -j ACCEPT -m comment --comment "Allow the server to reply (related to lport)" # Allow DNS -A OUTPUT -p udp -d 209.222.18.222 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT -m comment --comment "Allow my machine to connect to the DNS1" -A INPUT -p udp -s 209.222.18.222 --sport 53 -m state --state ESTABLISHED -j ACCEPT -m comment --comment "Allow the DNS1 to answer" -A OUTPUT -p udp -d 209.222.18.218 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT -m comment --comment "Allow my machine to connect to the DNS2" -A INPUT -p udp -s 209.222.18.218 --sport 53 -m state --state ESTABLISHED -j ACCEPT -m comment --comment "Allow the DNS2 to answer" # Logging -A INPUT -m limit --limit 10/min -j LOG --log-prefix "FW DROP INPUT: " --log-level 7 -m comment --comment "Log Input" -A FORWARD -m limit --limit 10/min -j LOG --log-prefix "FW DROP FORWARD: " --log-level 7 -m comment --comment "Log Forward" -A OUTPUT -m limit --limit 10/min -j LOG --log-prefix "FW DROP OUTPUT: " --log-level 7 -m comment --comment "Log Output" # Ping -A OUTPUT -p icmp --icmp-type 0 -m state --state ESTABLISHED,RELATED -j ACCEPT -m comment --comment "Allow ping to Outside" COMMITТогда, если вы не запустите свой VPN, у вас ... ничего, кроме localhost, DNS и OpenVPN
Чтобы применить изменения:
# ifdown eth0 # ifup eth0Когда вы запускаете свой VPN, чтобы избежать утечки DNS, я запускаю скрипт
Мне пришлось «взломать» файл / etc / default / openvpn, чтобы добавить поверх:
# A pre script for Private Internet Access/etc/openvpn/before_start.sh
Этот /etc/openvpn/before_start.sh содержит:
#!/bin/bash DNS1=209.222.18.222 DNS2=209.222.18.218 ## Change the DNS to avoid DNS Leak echo "nameserver $DNS1" > /etc/resolv.conf echo "nameserver $DNS2" >> /etc/resolv.confЗатем в /etc/openvpn/vpn.conf, я добавил в конце (не забудьте удалить nobind, потому что я принудительно использую локальный порт)
lport 1194 ipchange up_script.sh down down_script.shПосмотрите up_script.sh (я улучшил его с помощью журналов и удаления всех широковещательных адресов, но сейчас у меня нет файла). Правила брандмауэра существуют, потому что я раньше не знал публичный IP. Пропуск на шлюз предназначен только для моих личных нужд, вы можете его удалить
#!/bin/bash # Firewall Rules IP=$(echo $1 | sed 's/\[AF_INET\]//g') GW=$(/sbin/ip route | awk '/default/ { print $3 }') IPT=iptables # Start logger "ovpn: Got public IP $IP" # tun interfaces (VPN) $IPT -A INPUT -i tun+ -j ACCEPT -m comment --comment "Accept TUN Input" $IPT -A OUTPUT -o tun+ -j ACCEPT -m comment --comment "Accept TUN Output" # Allow traffic with my VPN server $IPT -A INPUT -s $IP -j ACCEPT -m comment --comment "Accept PIA Input" $IPT -A OUTPUT -d $IP -j ACCEPT -m comment --comment "Accept PIA Output" # Allow my gateway on eth0 $IPT -A OUTPUT -d $GW -o eth+ -j ACCEPT -m comment --comment "Accept My Gateway"Затем down_script.sh
#!/bin/bash GW=$(/sbin/ip route | awk '/default/ { print $3 }') IPT=iptables # Push DNS again echo "nameserver 127.0.0.1" > /etc/resolv.conf # Restart my interface ! ifdown -a ifup -aТак что ты об этом думаешь?
ГРАММ.