Gwesteiwr iptables VPN-yn-unig: enwch y ddyfais tun, nid tun+

Mae ysgrifennu -o tun+ yn teimlo fel cyfarwyddyd manwl ac mewn gwirionedd mae’n gard gwyllt dros bob twnnel sydd gan y cnewyllyn. Mae ail gleient VPN, pont cynhwysydd, neu rwydwaith a adawyd gan sesiwn wedi chwalu i gyd yn ei fodloni, ac yna mae’r gwesteiwr yn caniatáu traffig yr oedd y polisi wedi’i ysgrifennu i’w atal. Mae’r llawlyfr isod yn pinnio un enw dyfais, yn trefnu’r eithriadau fel y gall y twnnel ffurfio o ddifrif, ac yn gadael ffordd yn ôl i chi os bydd y rheolau’n glanio’n wael. Mae pob cam yn ddigon byr i’w ddad-wneud ar ei ben ei hun.

Cam 1: cofnodwch y rheolau sydd gennych nawr

Cyn newid polisi rhagosodedig, arbedwch y cyflwr presennol fel bod y dad-droi’n orchymyn yn hytrach na chof. Mae iptables-save > /root/iptables.pre yn ysgrifennu pob tabl i ffeil y gallwch ei hadfer, ac nid yw ail derfynell â sesiwn root agored yn baranoia pan fydd y polisi rydych ar fin ei osod yn gollwng y cysylltiad sy’n ei gario. Os ydych yn gweithio o bell, trefnwch flush fel allwedd dyn marw hefyd.

Yna rhestrodd y rhyngwynebau, oherwydd enw a gymerwyd yn ganiataol yw enw y dylech fod wedi’i ddarllen: mae ip -br link yn dangos beth sy’n bodoli nawr, ac ni fydd y twnnel yn ymddangos nes ei fod i fyny. Ysgrifennwch enwau’r dyfeisiau wrth eu darllen.

Cam 2: rhowch ei enw ei hun i’r twnnel

Mae OpenVPN yn derbyn dev tun_work yng nghyfluniad y cleient, ac yna mae Linux yn creu rhyngwyneb gyda’r union enw hwnnw yn lle dyrannu tun0. Mae’r enw’n aros yn sefydlog ar draws ailgysylltiadau cyhyd ag nad oes dim arall yn ei hawlio, a dyna sy’n gwneud rheol sy’n enwi’r ddyfais yn ystyrlon.

Lle na ellir rheoli’r enw, cyfatebwch i gyfeiriad y twnnel neu i farc pecyn yn lle hynny. Mae’r ddau yn gweithio, mae’r ddau yn anos eu darllen, ac mae’r ddau yn methu’n fwy tawel pan fydd y twnnel yn ail-rifo. Beth bynnag, cyfatebwch i un peth a byddwch yn glir pa un.

Cam 3: ysgrifennwch y polisi gyda’r eithriad endpoint yn gyntaf

Mae gwesteiwr VPN-yn-unig yn westeiwr gwrthod rhagosodedig â rhestr eithriadau fer, a’r eithriad sy’n bwysicaf yw’r un sy’n caniatáu’r twnnel i fodoli. Adeiladwch ef yn y drefn hon, gyda rheol yr endpoint o flaen rheol y ddyfais twnnel, fel bod gan yr ysgwyd llaw rywle i fynd:

# allow the tunnel to be built, then everything the tunnel carries
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 1194 -j ACCEPT
iptables -A OUTPUT -o tun_work -j ACCEPT
iptables -A INPUT  -i tun_work -j ACCEPT
iptables -A INPUT  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Mae cyfeiriad a phorth endpoint llythrennol yn perthyn i’ch darparwr, nid i’r dudalen hon. Os mai enw gwesteiwr yw’r endpoint, datryswch ef unwaith a phinnwch y canlyniad, oherwydd ni all rheol chwilio enw a bydd ateb sy’n cylchdroi yn torri’r polisi’n dawel ar ôl y newid DNS nesaf. Gwiriwch y porth hefyd, oherwydd bydd darparwyr sy’n eich symud i TCP 443 fel arall angen rheol na ysgrifennodd neb hi. Mae twnnel sy’n gweithio ar un protocol yn unig fel arfer yn golygu’r esgeulustod hwn yn hytrach na nam mur gwarchod.

Ar lwybrydd mae yr un siâp yn mynd i’r gadwyn FORWARD ar gyfer y cleientiaid y tu ôl iddo, ac mae angen ei reolau ei hun ar draffig y llwybrydd ei hun. Mae set rheolau sy’n cwmpasu pecynnau a anfonwyd ymlaen yn unig yn gadael SSH a DNS ar yr hen lwybr, a dyna sut y daw llwybrydd yn anghyrraeddadwy yr eiliad y bydd y twnnel yn codi.

Cam 4: gwiriwch y drefn, nid y presenoldeb yn unig

Mae rheolau’n cael eu gwerthuso mewn dilyniant, felly mae ACCEPT sy’n dod yn gynt yn cuddio’r REJECT a ychwanegwyd ganddoch wedyn. Y gyfatebiaeth established a related sy’n gadael i atebion i’ch ceisiadau allan eich hun ddychwelyd heb agor llwybr mewnol cyffredinol, ac mae’i osod ar ôl derbyn y twnnel yn golygu bod twnnel a ollyngwyd yn dal i basio traffig dychwelyd ar ei ryngwyneb ei hun.

Cadwch nifer y rheolau’n ddigon bach i’w ddarllen ar un sgrin. Mae set rheolau na allwch ei harchwilio yn un y byddwch yn ei chlytio trwy ychwanegu eithriadau ar y brig, a dyna sut y mae polisïau gwrthod rhagosodedig yn ennill ymyl caniatáu rhagosodedig yn raddol. Cyfrwch yr ACCEPTau cyn ac ar ôl y newid.

Cam 5: gwnewch iddo oroesi’r cychwyn a’r teulu cyfeiriadau

Mae rheolau a roddwyd â llaw yn diflannu wrth ailgychwyn, felly llwythwch hwy o wasanaeth mur gwarchod y dosbarthiad neu o uned sy’n rhedeg ar ôl i ryngwyneb y twnnel fodoli. Mae cyfeirio at tun_work mewn sgript sy’n rhedeg cyn i OpenVPN gychwyn yn ffordd gyffredin o gynhyrchu dolen gychwyn o draffig a ollyngwyd.

Yna gwiriwch IPv6 ar wahân, oherwydd nid yw polisi gwrthod rhagosodedig da ar gyfer IPv4 yn dweud dim am y teulu arall. Bydd ip -6 route yn dweud wrthych a oes gan y gwesteiwr lwybr a allai gario traffig o amgylch twnnel sy’n trin IPv4 yn unig, ac mae angen ei reolau cyfatebol ei hun ar ip6tables neu nftables. Profwch â chyrchfan IPv6-only yn hytrach na thybio cymesuredd y set rheolau.

Cam 6: gwiriwch a byddwch yn barod i adfer

Codwch y twnnel, cadarnhewch fod y gwasanaeth rydych yn bwriadu ei gael yn gweithio, yna rhowch gynnig ar rywbeth y dylai’r polisi ei wrthod. Adferwch gyda iptables-restore < /root/iptables.pre os bydd yr ateb yn eich synnu, a dim ond yna dechreuwch olygu rheolau. Mae dyfalbarhad ynghyd â llwybr adfer wedi’i brofi’n gwneud hwn yn newid y gallwch ei wneud ddwywaith.