iptables: VPN-Klienten nëmmen een Host erreechen loossen

D’Reegel, déi Dir braucht, steet an FORWARD, net an INPUT. Erlaabt eng Destinatioun fir de VPN-Pool, verwerft de Rescht, a beweise et duerno mat Zieler an engem Zréckroll-Kommando.

Zwou Support-Ticketen, déi onofhängeg ausgesinn, deelen am Endeffekt eng Ursaach. An der éischter wëllt en Administrateur, datt de Server Verbindungen nëmmen aus dem Tunnel unhëlt; an der zweeter sollen d’VPN-Benotzer een eenzegen internen Host erreechen an net méi. Béid Politike gehéieren an FORWARD, a béid ginn normalerweis an INPUT probéiert. D’Resultat gesäit aus wéi eng Firewall a behëlt sech wéi en Platzhalter.

Wéi eng Kette äntwert op Är Fro

Pakete, déi e VPN-Klient un en Host am LAN oder weider an d’Internet schéckt, ginn vum Kernel weidergeleet an an FORWARD evaluéiert. INPUT an OUTPUT gesinn nëmmen de Verkéier, deen um Server selwer ophält oder vun him aus geet. En Oflehnung fir alles, wat net iwwer tun0 ukommt, schützt dofir d’eegen Nolauschterer vum Server, an et wäert och Är SSH-Sessioun ophale mat, wann net als éischt etabléiert Flëss erlaabt ginn. Et ännert näischt drun, wou d’Klienten däerfen higoen.

Nennt d’Fro als éischt: wien däerf den Server erreechen, oder wou däerfen d’Klienten higoen. Déi meescht Netzwierker brauchen déi zwou Äntwerten, an ënnerschiddleche Ketten.

Als éischt den Zoustand, dann d’Erlaabnis, dann d’Oflehnung

Eng Erlaabnislëscht funktionéiert nëmmen, wann déi spezifesch Erlaabnis iwwer der allgemenger Oflehnung steet, an wann de Réckverkéier iwwer béide erlaabt ass. Setzt Reegelen op explizit Positiounen an, a listet dann d’Kette mam iptables -S FORWARD op, sou datt d’Reiefolleg sichtbar ass an net ugeholl.

POOL=10.99.0.0/24
iptables -I FORWARD 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -I FORWARD 2 -s "$POOL" -d 172.31.20.15 -p tcp -m multiport --dports 443,3389 -j ACCEPT
iptables -I FORWARD 3 -s "$POOL" -j REJECT

Zwou Detailer entscheeden, ob dëst den Kontakt mat richtegem Verkéier iwwerlieft. Ouni d’Zoustandsreegel ginn d’Äntwerten op déi Verbindungen, déi Dir just erlaabt hutt, selwer géint d’Oflehnung evaluéiert an erofgefall. Eng LOG-Reegel ouni Limite kann eng kleng Partitioun beim éischte Scan fëllen, dofir setzt -m limit --limit 10/min derbäi, ier Dir weider loggt. REJECT gëtt direkt e Feeler zréck, wat beim Ajutéiere vun der Lëscht méi frëndlech ass; DROP verwerft stëll, dofir presentéiert sech all Feeler als Zäitofleef. Wielt ee bewosst a schreift d’Wiel an den Ännerungsprotokoll.

Weiderleedung an NAT mussen schonn funktionéieren

Filteren kann net beweisen, datt e Wee existéiert. Bestätegt als éischt, datt de Kernel iwwerhaapt weiderleet, a maacht déi Astellung dauerhaft an net en eenzegaartege Shell-Kommando. De Filter ass déi lescht Schicht, net déi éischt.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s "$POOL" -o eth0 -j MASQUERADE

Wou d’Maskerade gehéiert, hänkt dovun of, wou d’Klienten erausginn. Wann si duerch den Tunnel Richtung engem wäitem Netz erausginn, steet d’NAT-Reegel op deem Interface an net op deem vum WAN. Kuckt dann op d’Zieler: wann den Ziler POSTROUTING ni bewegt, während d’Zuel vun den Erlaabnissen an FORWARD klëmmt, ass de Réckwee futti an de Filter ass a Ordnung. Dës Liesung spuert en Nomëtteg, fir Reegelen ëmzeschreiwen, déi ni de Problem waren.

De Mail-Block gehéiert eng Kette weider

De Port 25 an INPUT blockéieren hält just Mail op, déi un de VPN-Server adresséiert ass. E kompromittéierte Klient, deen duerch den Tunnel Mail schéckt, gëtt weidergeleet, dofir muss de Block an FORWARD nieft 465 a 587 stoen. Wann eng Applikatioun Mail legal weiderschéckt, setzt seng Destinatioun a säi Port iwwer där Reegel.

iptables -I FORWARD 2 -s "$POOL" -p tcp -m multiport --dports 25,465,587 -j REJECT

Loosst den Oflehnungsziler eng Woch lafen, ier Dir soss eppes méi streng setzt. D’Zuel, déi ophält ze klammen, ass de legitime Floss, deen Dir just gebrach hutt.

Liest et zréck a beweise et dann vun engem Klient

Liest de Reegelsatz sou wéi de Kernel en mëttelt, net sou wéi Äre Skript en geschriwwen huet. Fänkt mam iptables -S FORWARD un, dann d’NAT-Tabell mam iptables -t nat -L POSTROUTING -n -v, dann den conntrack-Antrag fir de Floss, deen Dir testt. Hält e Zréckroll-Kommando oder eng geplangte Leerung bereet, sou laang d’Aarbecht dauert. All Opruff brauch -w, soss kollidéieren zwee Administrateuren um xtables-Schloss. Näischt dovu ass wärend engem Ännerungsfenster fakultativ.

Schléisst of, andeems Dir vun engem Klient bannent dem Pool a vun engem dobaussen testt. Eng Reegel, déi just vun der Maschinn aus funktionéiert, op där Dir se getippt hutt, ass keng Politik.

Ähnlech Artikelen