Óstach iptables VPN-amháin: ainmnigh an gléas tun, ní tun+

Braitheann scríobh -o tun+ ar nós treoireach beacht agus go bunúsach is ionadaí feadh gach tolláin atá ag an eithne é. Sásaíonn dara cliant VPN, droichead coimeádán nó comhéadan a d'fhág seisiún a thit as é go léir, agus ansin ceadaíonn an t-óstach trácht a raibh an pholasaí ceaptha chun é a chosc. Socraíonn an nós imeachta thíos ainm gléis amháin, ordaíonn sé na heisceachtaí ionas gur féidir leis an tollán foirmiú i ndáiríre, agus fágann sé bealach ar ais agat má thiteann na rialacha go dona. Tá gach céim gearr go leor le cur ar ais léi féin.

Céim 1: taifead na rialacha atá agat anois

Sula n-athraíonn tú polasaí réamhshocraithe, sábháil an staid reatha ionas gur ordú é an t-aisiompú seachas cuimhne. Scríobhann iptables-save > /root/iptables.pre gach tábla chuig comhad ar féidir leat é a athchóiriú, agus ní paranóia é dara teirminéal le seisiún root oscailte nuair a scaoileann an polasaí atá tú ar tí a shocrú an nasc a iompraíonn é. Má tá tú ag obair go cianda, sceidealaigh flush mar mhúchtóir éigeandála freisin.

Ansin liostaigh na comhéadain, mar is ainm ar chóir duit a bheith léite é ainm a ghlac tú leis: taispeánann ip -br link a bhfuil ann anois díreach, agus ní bheidh an tollán le feiceáil go dtí go mbeidh sé suas. Scríobh síos ainmneacha na nglaiseanna agus tú á léamh.

Céim 2: tabhair a ainm féin don tollán

Glacann OpenVPN le dev tun_work i gcumraíocht an chliaint, agus ansin cruthaíonn Linux comhéadan a bhfuil an ainm sin go beacht air in áit tun0 a leithdháileadh. Fanann an t-ainm cobhsaí thar athnascanna chomh fada agus nach n-éilíonn aon rud eile é, agus sin a dhéanann rialáil a ainmníonn an gléas bríoch.

Nuair nach féidir an t-ainm a rialú, déan meaitseáil ar sheoladh an tolláin nó ar chomhartha paicéid ina áit. Oibríonn an dá rud, tá an dá rud níos deacra le léamh, agus teipeann ar an dá rud níos ciúine nuair a dhéanann an tollán uimhriú nua. Cibé scéal é, déan meaitseáil ar rud amháin agus bí soiléir faoi cé acu.

Céim 3: scríobh an pholasaí leis an eisceacht endpoint ar dtús

Is óstach diúltú réamhshocraithe é óstach VPN-amháin le liosta gearr eisceachtaí, agus is í an eisceacht is tábhachtaí an ceann a ligeann don tollán a bheith ann. Tóg é san ord seo, le riail an endpoint roimh riail ghléas an tolláin, ionas go mbeidh áit éigin ag an gcroitheadh láimhe le dul:

# allow the tunnel to be built, then everything the tunnel carries
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 1194 -j ACCEPT
iptables -A OUTPUT -o tun_work -j ACCEPT
iptables -A INPUT  -i tun_work -j ACCEPT
iptables -A INPUT  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Baineann seoladh agus port litriúil an endpoint le do sholáthraí, ní leis an leathanach seo. Más ainm óstaigh é an endpoint, réitigh uair amháin é agus socraigh an toradh, mar ní féidir le riail ainm a chuardach agus brisfidh freagra rothlach an pholasaí go ciúin tar éis an chéad athraithe DNS eile. Seiceáil an port freisin, mar beidh riail nach scríobh aon duine ag teastáil ó sholáthraithe a bhogann tú go TCP 443 mura ndéantar amhlaidh. Is é an easnamh seo go hiondúil a bhíonn i dtollán nach n-oibríonn ach ar phrotacal amháin, ní locht balla dóiteáin.

Ar ródaire téann an chruth chéanna isteach sa slabhra FORWARD do na cliaint taobh thiar de, agus teastaíonn a rialacha féin ó thrácht an ródaire féin. Fágann sraith rialacha nach gclúdaíonn ach paicéid a sheoltar ar aghaidh SSH agus DNS ar an seanchosán, agus is mar sin a éiríonn ródaire dosháraithe an nóiméad a éiríonn an tollán.

Céim 4: seiceáil an t-ord, ní hamháin an láithreacht

Meastar rialacha in ord, mar sin ní cheiltíonn ACCEPT a thagann níos luaithe ach an REJECT a chuireas tú leis ina dhiaidh sin. Is é meaitseáil established agus related a ligeann freagraí ar d'iarratais amach féin filleadh gan cosán isteach ginearálta a oscailt, agus má chuirtear é tar éis ghlacadh an tolláin ciallaíonn sé go nglacann tollán atá tite fós le trácht fillte ar a chomhéadan féin.

Coinnigh líon na rialacha beag go leor le léamh ar aon scáileán amháin. Is í sraith rialacha nach féidir leat iniúchadh a dhéanamh uirthi an cheann a phaistí tú trí eisceachtaí a chur leis ag an mbarr, agus is mar sin a fhaigheann polasaithe diúltú réamhshocraithe imeall ceada réamhshocraithe de réir a chéile. Comhair na ACCEPTanna roimh an athrú agus ina dhiaidh.

Céim 5: déan cinnte go maireann sé an tosú agus an teaghlach seoltaí

Imíonn rialacha a iontráladh de láimh ag an atosú, mar sin lódáil iad ó sheirbhís balla dóiteáin an dáileacháin nó ó aonad a ritheann tar éis don chomhéadan tolláin a bheith ann. Is bealach coitianta chun lúb tosaithe de thrácht caite a chruthú é tagairt a dhéanamh do tun_work i script a ritheann sula dtosaíonn OpenVPN.

Ansin seiceáil IPv6 ar leithligh, mar ní deir polasaí maith diúltú réamhshocraithe do IPv4 aon rud faoin teaghlach eile. Inseoidh ip -6 route duit an bhfuil bealach ag an óstach a d'fhéadfadh trácht a iompar timpeall tolláin nach láimhseálann ach IPv4, agus teastaíonn a rialacha coibhéiseacha féin ó ip6tables nó nftables. Tástáil le ceann scríbe IPv6-only seachas muinín a chur i siméadracht na sraithe rialacha.

Céim 6: fíoraigh agus bí réidh le hathchóiriú

Ardaigh an tollán, deimhnigh go n-oibríonn an tseirbhís atá beartaithe agat, agus ansin bain triail as rud ar cóir don pholasaí é a dhiúltú. Athchóirigh le iptables-restore < /root/iptables.pre má chuireann an freagra iontas ort, agus ansin amháin tosaigh ag cur rialacha in eagar. Is é marthanacht móide cosán athchóirithe tástáilte a dhéanann athrú de seo ar féidir leat a dhéanamh faoi dhó.