Cliant OpenVPN amháin a bhlocáil ón LAN gan an tollán a stopadh

Caithfidh cliant amháin ar do fhreastalaí OpenVPN rochtain LAN a chailleadh agus gach tollán eile fós ina sheasamh. Má chuardaíonn tú é sin, deir an freagra is fearr de ghnáth nach féidir leis an daemon é a dhéanamh, rud atá leathfhíor amháin: níl balla dóiteáin in aghaidh an chliaint ag OpenVPN, ach déanann an t-óstach a chríochnaíonn an tollán paicéid a scagadh cheana féin. Is iad an dá chinneadh a bhfuil tábhacht leo an fhéiniúlacht a bhlocálann tú agus suíomh na rialach. Déan iad seo i gceart agus ní bheidh sa athrú ach líne amháin ar féidir leat í a thástáil agus a bhaint.

Pionnáil an cliant sula scríobhann tú an riail

Léasann OpenVPN seoltaí tolláin ó linn, mar sin is suíochán é 10.8.0.6, ní duine. Nuair a chríochnaíonn an seisiún filleann an léas agus féadtar é a thabhairt don chéad nasc eile, rud a chiallaíonn go leanann riail a scríobhtar i gcoinne an tseolaidh sin an suíochán, ní an t-úsáideoir. Socraigh ar dtús mar sin cad atá á bhlocáil agat i ndáiríre: seoladh le haghaidh turgnamh gearr, nó deimhniú do dhuine ar mhaith leat a choinneáil amuigh.

Chun an seoladh a cheangal leis an deimhniú, cruthaigh comhad sa chomhadlann a n-ainmníonn client-config-dir agus tabhair common name an deimhnithe go beacht don chomhad. Cuir treoir amháin ann, ifconfig-push 10.8.0.6 255.255.255.0, agus coinníonn an cliant sin an seoladh tolláin céanna thar athnaisc. Caithfidh dhá shocrú a bheith ann chun go n-oibreodh sé seo: caithfear client-config-dir a dhearbhú i gcumraíocht an fhreastalaí, agus caithfidh an seoladh a bhrúitear a bheith i bhfo-líonra is féidir leis an bhfreastalaí a ródú. Má chailleann tú ceann acu, déantar neamhaird den chomhad gan earráid, rud a fhágann an chéad tástáil balla dóiteáin eile míthreorach.

Is féidir le bloc sealadach seoladh linne a úsáid, chomh fada agus a thaifeadann an ticéad cén seisiún a bhí aige ag an am.

Cinneann an t-ordú an ritheann an t-íslithe

Ar gheata Linux a sheolann ar aghaidh idir an tollán agus an LAN, téann paicéid trí shlabhra FORWARD. Léigh an ordú thíos mar abairt: cuir isteach ag ceann FORWARD, déan trácht a thagann isteach ó tun0, ón aon óstach sin, dírithe ar fho-líonra an LAN, a mheaitseáil agus a chaitheamh.

iptables -I FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP

Is é an -I a chuireann an riail ag rith. Nuair a chuirtear leis -A é, tagann sé faoi aon ghlacadh leathan don fho-líonra tolláin agus ní fheiceann sé paicéad riamh. Fíoraigh an suíomh le iptables -vnL FORWARD --line-numbers, agus léigh na cuntair freisin: ciallaíonn íslithe ag an mbarr nach gcuntaíonn aon rud go bhfuil an trácht ag teacht ar bhealach eile.

Is bealach eile é seoladh LAN an gheata féin. Téann paicéid a sheoltar chuig an mbosca féin chuig INPUT, ní chuig FORWARD, mar sin is féidir le cliant óstach LAN a chailleadh agus leathanach riaracháin an ródaire a oscailt fós. Cuir an riail INPUT chomhfhreagrach leis nuair a bhíonn tábhacht leis sin.

An rud nach féidir leis an scagaire a fheiceáil

Tarlaíonn scagadh nuair a mheastar paicéad, mar sin is féidir le seisiún TCP bunaithe leanúint go dtí go ndúnann sé nó go n-athshocraítear é. Mura mór don bhloc greim a fháil láithreach, glan na sreafaí rianaithe don fhoinse sin le conntrack -D -s 10.8.0.6 tar éis an riail a chur isteach. Má tá cúpla soicind de fhorluí inghlactha, taifead an rogha sin in ionad í a fhágáil intuigthe. Ar aon chaoi, caithfidh an chéad duine eile a fháil amach an stopann an riail trácht beo nó na naisc nua amháin.

Ní bhaineann trácht piaraí le balla dóiteáin an óstaigh riamh. Agus client-to-client cumasaithe, seolann OpenVPN na paicéid sin laistigh den daemon, mar sin ní fheiceann FORWARD ná INPUT iad. Is iad na haon réitigh client-to-client a mhúchadh nó glacadh leis gur féidir le piaraí a chéile a bhaint amach; ní fheicfidh riail iptables an trácht sin.

IPv6, firmware agus marthain tar éis atosaithe

Ní deir riail IPv4 aon rud faoi IPv6. Má iompraíonn an tollán agus an LAN an dá theaghlach, caithfidh an riail choibhéiseach a bheith in ip6tables, nó sa tsraith rialacha nftables a shealbhaíonn an beartas ar an óstach sin. Is minic a cheileann firmware an ródaire netfilter taobh thiar dá dhealú féin, mar sin b'fhéidir nach mbaineann comhréir agus ainmneacha táblaí a chóipeáiltear ó fhóram.

Ar OpenWrt, is iontráil chumraíochta balla dóiteáin an cosán doiciméadaithe seachas líne iptables scríofa de láimh, agus féadann líne scríofa de láimh imeacht nuair a athlódáiltear an balla dóiteáin. Athchóiríonn dáiltí eile rialacha trí netfilter-persistent, aonad tosaithe nó stór díoltóra, agus níl na meicníochtaí sin idirmhalartaithe. Cruthaigh an ceann a roghnaigh tú le hatosú, mar feidhmíonn athlódáil cosán difriúil.

Fíoraigh de réir cosáin, ansin rollaigh siar go glan

Tástáil gach cosán ar leithligh, mar cheileann seiceáil rathúil amháin na cinn eile. Ba chóir do chliant blocáilte an t-idirlíon a bhaint amach fós tríd an tollán agus teip i gcoinne óstach LAN, ba chóir don dara cliant an t-óstach céanna a bhaint amach, agus teastaíonn a bhreathnóireacht féin ó sheoladh an gheata agus ó chosán na bpiaraí araon. Scríobh na torthaí in aice na rialach ionas go mbeidh bunlíne ag an athrú eile. Is é an tábla thíos an tsraith ar fiú í a choinneáil sa ticéad.

Is scriosadh de réir sonraíochta é rollú siar, ní flush: bainfidh iptables -D FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP an iontráil sin go beacht agus fágann sé an chuid eile den slabhra slán. Bain an líne chéanna as cibé comhad a athchóiríonn na rialacha ag tosú, athlódáil é, agus deimhnigh go mbaineann an cliant an t-óstach LAN amach arís. Chuirfeadh flush ar FORWARD rialacha ar ceal freisin nár scríobh tú, rud a dhéanann rollú siar ina dhara teagmhas.

Sula ndúnfaidh tú an ticéad, deimhnigh trí rud: meaitseálann an seoladh pionnáilte an deimhniú, tá an riail os cionn na nglacadh le cuntar nach bhfuil nialasach, agus tá an riail chéanna a thástáil tú sa chomhad marthanachta. Má tá aon cheann acu ar iarraidh, is illusion seisiún shell é an bloc.