iptables-hýsill aðeins með VPN: nefndu tun-tækið, ekki tun+

Að skrifa -o tun+ virðist nákvæm fyrirmæli en er í raun algildistákn yfir hver göng sem kjarninn hefur. Annar VPN-klíent, gámabrú eða tengi sem hrunin seta skildi eftir uppfylla það öll, og hýsillinn leyfir þá umferð sem stefnunni var ætlað að koma í veg fyrir. Verklagið hér að neðan festir eitt tækjanafn, raðar undantekningunum þannig að göngin geti raunverulega myndast og skilur þér eftir leið til baka ef reglurnar falla illa. Hvert skref er nógu stutt til að afturkalla það eitt og sér.

Skref 1: skráðu reglurnar sem þú hefur núna

Áður en þú breytir sjálfgefinni stefnu skaltu vista núverandi ástand svo afturköllunin sé skipun en ekki minni. iptables-save > /root/iptables.pre skrifar hverja töflu í skrá sem þú getur endurheimt, og annar flugstöðvarþjónn með opnu root-setu er ekki ofsóknaræði þegar stefnan sem þú ert að setja sleppir tengingunni sem ber hana. Ef þú vinnur úr fjarlægð skaltu líka tímasetja flush sem neyðarrof.

Listaðu síðan tengin, því nafn sem þú gerðir ráð fyrir er nafn sem þú hefðir átt að lesa: ip -br link sýnir hvað er til núna, og göngin birtast ekki fyrr en þau eru uppi. Skrifaðu niður tækjanöfnin um leið og þú lest þau.

Skref 2: gefðu göngunum eigið nafn

OpenVPN samþykkir dev tun_work í stillingum klíentsins, og þá býr Linux til tengi með nákvæmlega því nafni í stað þess að úthluta tun0. Nafnið helst stöðugt milli endurtenginga svo lengi sem ekkert annað gerir tilkall til þess, og það er það sem gerir reglu sem nefnir tækið merkingarbæra.

Þar sem ekki er hægt að stjórna nafninu skaltu í staðinn passa við vistfangið á göngunum eða pakkamerki. Bæði virka, bæði er erfiðara að lesa, og bæði mistakast hljóðlátar þegar göngin endurnúmerast. Hvort sem er, passaðu við eitt atriði og segðu skýrt hvert.

Skref 3: skrifaðu stefnuna með endpoint-undantekninguna fyrst

Hýsill sem er aðeins með VPN er hýsill með sjálfgefna synjun og stuttan undantekningalista, og undantekningin sem skiptir mestu máli er sú sem leyfir göngunum að vera til. Byggðu hana í þessari röð, með reglu endpointsins á undan reglu göngutækisins, svo handabandið hafi eitthvað kam að fara:

# allow the tunnel to be built, then everything the tunnel carries
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 1194 -j ACCEPT
iptables -A OUTPUT -o tun_work -j ACCEPT
iptables -A INPUT  -i tun_work -j ACCEPT
iptables -A INPUT  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Bókstaflegt vistfang endpointsins og gáttin tilheyra þjónustuveitandanum þínum, ekki þessari síðu. Ef endpointið er hýsilnafn skaltu leysa það einu sinni og festa niðurstöðuna, því regla getur ekki flett upp nafni og svar sem snýst mun hljóðlaust brjóta stefnuna eftir næstu DNS-breytingu. Athugaðu gáttina líka, því veitendur sem flytja þig yfir á TCP 443 munu annars þurfa reglu sem enginn skrifaði. Göng sem virka aðeins á einni samskiptareglu eru venjulega þessi vanræksla en ekki bilun í eldveggnum.

Á beini fer sama lögun í FORWARD-keðjuna fyrir klíentana á bak við hann, og eigin umferð beinisins þarf eigin reglur. Reglusafn sem nær aðeins yfir framsend pökk lætur SSH og DNS vera á gömlu leiðinni, og þannig verður beini óaðgengilegur á þeirri stundu sem göngin fara upp.

Skref 4: athugaðu röðina, ekki bara tilvistina

Reglur eru metnar í röð, svo ACCEPT sem kemur fyrr felur einfaldlega REJECT sem þú bættir við síðar. established og related samsvörunin er það sem lætur svör við þínum eigin útleiðandi beiðnum koma til baka án þess að opna almenna innleið, og að setja hana eftir samþykki ganganna þýðir að fallin göng hleypa enn afturumferð á eigin tengi.

Haltu reglufjöldanum nógu litlum til að lesa á einum skjá. Reglusafn sem þú getur ekki endurskoðað er það sem þú munt bæta með því að setja undantekningar efst, og þannig öðlast sjálfgefna synjunarstefnur smám saman sjálfgefna leyfisbrún. Teldu ACCEPT fyrir og eftir breytinguna.

Skref 5: láttu það lifa af ræsinguna og vistfangafjölskylduna

Reglur sem slegnar eru inn fyrir hönd hverfa við endurræsingu, svo hladdu þeim úr eldveggsþjónustu dreifingarinnar eða úr einingu sem keyrir eftir að tengi ganganna er til. Að vísa í tun_work í skriftu sem keyrir áður en OpenVPN byrjar er algeng leið til að búa til ræsingarlykkju af felldri umferð.

Athugaðu svo IPv6 sérstaklega, því góð sjálfgefna synjunarstefna fyrir IPv4 segir ekkert um hina fjölskylduna. ip -6 route segir þér hvort hýsillinn hafi leið sem gæti borið umferð í kringum göng sem sjá aðeins um IPv4, og ip6tables eða nftables þarf eigin samsvarandi reglur. Prófaðu með IPv6-only áfangastað í stað þess að treysta samhverfu reglusafnsins.

Skref 6: staðfestu og vertu tilbúinn að endurheimta

Ræstu göngin, staðfestu að þjónustan sem þú ætlar þér virki, og prófaðu svo eitthvað sem stefnan ætti að synja. Endurheimtu með iptables-restore < /root/iptables.pre ef svarið kemur þér á óvart, og byrjaðu fyrst þá að breyta reglum. Þrautseigja ásamt prófaðri endurheimtarleið er það sem gerir þetta að breytingu sem þú getur gert tvisvar.