iptables: VPN క్లయింట్లను ఒకే హోస్ట్‌కు మాత్రమే చేరనివ్వండి

సంబంధం లేనట్టు కనిపించే రెండు మద్దతు టికెట్లు చివరికి ఒకే కారణాన్ని పంచుకుంటాయి. మొదటిదానిలో, నిర్వాహకుడు సర్వర్ టన్నెల్ నుండి మాత్రమే కనెక్షన్లను అంగీకరించాలని కోరుకుంటాడు; రెండవదానిలో, VPN వినియోగదారులు ఒక అంతర్గత హోస్ట్‌ను చేరుకోవాలి, అంతకంటే ఎక్కువ కాదు. రెండు విధానాలు FORWARD లో ఉన్నాయి, మరియు రెండూ సాధారణంగా INPUT లో ప్రయత్నించబడతాయి. ఫలితం ఫైర్‌వాల్ లాగా కనిపిస్తుంది మరియు ప్లేస్‌హోల్డర్ లాగా ప్రవర్తిస్తుంది.

ఏ గొలుసు మీ ప్రశ్నకు సమాధానం ఇస్తుంది

VPN క్లయింట్ LAN హోస్ట్‌కు లేదా ఇంటర్నెట్‌కు పంపే ప్యాకెట్లను కెర్నల్ ఫార్వార్డ్ చేస్తుంది మరియు అవి FORWARD లో మూల్యాంకనం చేయబడతాయి. INPUT మరియు OUTPUT సర్వర్‌లోనే ముగిసే లేదా అక్కడి నుండి ప్రారంభమయ్యే ట్రాఫిక్‌ను మాత్రమే చూస్తాయి. అందువల్ల tun0 కు రాని ప్రతిదాన్ని తిరస్కరించడం సర్వర్ యొక్క స్వంత శ్రోతలను రక్షిస్తుంది, మరియు స్థాపించిన ప్రవాహాలు మొదట అనుమతించకపోతే మీ SSH సెషన్‌ను కూడా ముగిస్తుంది. క్లయింట్లు ఎక్కడికి వెళ్లవచ్చనే దానిలో ఇది ఏమీ మార్చదు.

మొదట ప్రశ్నకు పేరు పెట్టండి: ఎవరు సర్వర్‌ను చేరుకోవచ్చు, లేదా క్లయింట్లు ఎక్కడికి వెళ్లవచ్చు. చాలా నెట్‌వర్క్‌లకు రెండు సమాధానాలు అవసరం, వేర్వేరు గొలుసులలో.

మొదట స్థితి, తర్వాత అనుమతి, తర్వాత తిరస్కారం

అనుమతి జాబితా నిర్దిష్ట అనుమతి సాధారణ తిరస్కారం పైన ఉన్నప్పుడు మరియు తిరిగి వచ్చే ట్రాఫిక్ రెండింటి పైన అనుమతించబడినప్పుడు మాత్రమే పనిచేస్తుంది. నియమాలను స్పష్టమైన స్థానాల్లో చొప్పించి, తర్వాత iptables -S FORWARD తో గొలుసును డంప్ చేయండి, తద్వారా క్రమం ఊహించబడకుండా కనిపిస్తుంది.

POOL=10.99.0.0/24
iptables -I FORWARD 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -I FORWARD 2 -s "$POOL" -d 172.31.20.15 -p tcp -m multiport --dports 443,3389 -j ACCEPT
iptables -I FORWARD 3 -s "$POOL" -j REJECT

నిజమైన ట్రాఫిక్‌తో ఢీకొన్నప్పుడు ఇది నిలబడుతుందా అనేది రెండు వివరాలు నిర్ణయిస్తాయి. స్థితి నియమం లేకుంటే, మీరు ఇప్పుడే అనుమతించిన కనెక్షన్లకు వచ్చే ప్రతిస్పందనలు తామే తిరస్కారానికి వ్యతిరేకంగా మూల్యాంకనం చేయబడి పడవేయబడతాయి. పరిమితి లేని LOG నియమం మొదటి స్కాన్ రాగానే చిన్న విభజనను నింపవచ్చు, కాబట్టి లాగింగ్ కొనసాగించే ముందు -m limit --limit 10/min జోడించండి. REJECT వెంటనే లోపాన్ని తిరిగి ఇస్తుంది, ఇది జాబితాను సర్దుబాటు చేసేటప్పుడు మరింత స్నేహపూర్వకం; DROP నిశ్శబ్దంగా పడవేస్తుంది, కాబట్టి ప్రతి పొరపాటు సమయం ముగిసినట్టు కనిపిస్తుంది. ఉద్దేశపూర్వకంగా ఒకదాన్ని ఎంచుకుని, ఎంపికను మార్పు రికార్డులో రాయండి.

ఫార్వార్డింగ్ మరియు NAT ఇప్పటికే పనిచేయాలి

ఫిల్టరింగ్ మార్గం ఉందని నిరూపించలేదు. మొదట కెర్నల్ అసలు ఫార్వార్డ్ చేస్తుందా అని నిర్ధారించి, ఆ సెట్టింగ్‌ను షెల్ యొక్క ఒకసారి ఆదేశంగా కాకుండా శాశ్వతం చేయండి. ఫిల్టర్ చివరి పొర, మొదటిది కాదు.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s "$POOL" -o eth0 -j MASQUERADE

మాస్కరేడ్ ఎక్కడ ఉండాలి అనేది క్లయింట్లు ఎక్కడ నుండి బయటకు వెళ్తారనే దానిపై ఆధారపడి ఉంటుంది. వారు టన్నెల్ ద్వారా దూర నెట్‌వర్క్‌కు వెళ్తే, NAT నియమం WAN ఇంటర్‌ఫేస్‌పై కాకుండా ఆ ఇంటర్‌ఫేస్‌పై ఉంటుంది. తర్వాత కౌంటర్లను చూడండి: FORWARD అనుమతుల సంఖ్య పెరుగుతుండగా POSTROUTING కౌంటర్ ఎప్పుడూ కదలకపోతే, తిరిగి వచ్చే మార్గం విరిగింది మరియు ఫిల్టర్ సరిగ్గా ఉంది. ఆ పఠనం ఎప్పుడూ సమస్య కాని నియమాలను తిరిగి రాయడంలో సగం రోజు ఆదా చేస్తుంది.

మెయిల్ బ్లాక్ ఒక గొలుసు ఆవల ఉంది

INPUT లో పోర్ట్ 25 బ్లాక్ చేయడం VPN సర్వర్‌కు చిరునామా చేసిన మెయిల్‌ను మాత్రమే ఆపుతుంది. టన్నెల్ ద్వారా మెయిల్ పంపే రాజీ పడిన క్లయింట్ ఫార్వార్డ్ అవుతుంది, కాబట్టి బ్లాక్ 465 మరియు 587 పక్కన FORWARD లో ఉండాలి. ఒక అప్లికేషన్ చట్టబద్ధంగా మెయిల్‌ను రిలే చేస్తే, దాని గమ్యాన్ని మరియు పోర్ట్‌ను ఆ నియమం పైన ఉంచండి.

iptables -I FORWARD 2 -s "$POOL" -p tcp -m multiport --dports 25,465,587 -j REJECT

మరేదైనా బిగించడానికి ముందు తిరస్కార కౌంటర్‌ను ఒక వారం నడవనివ్వండి. పెరగడం ఆపే సంఖ్యే మీరు ఇప్పుడే విరిచిన చట్టబద్ధమైన ప్రవాహం.

దాన్ని తిరిగి చదివి, తర్వాత క్లయింట్ నుండి నిరూపించండి

నియమ సముదాయాన్ని కెర్నల్ నివేదించినట్టు చదవండి, మీ స్క్రిప్ట్ రాసినట్టు కాదు. iptables -S FORWARD తో ప్రారంభించి, తర్వాత iptables -t nat -L POSTROUTING -n -v తో NAT పట్టిక, తర్వాత మీరు పరీక్షిస్తున్న ప్రవాహం యొక్క conntrack నమోదు. పని కొనసాగుతున్నంత కాలం రోల్‌బ్యాక్ ఆదేశం లేదా షెడ్యూల్ చేసిన క్లియరింగ్ ఉంచుకోండి. ప్రతి పిలుపుకు -w అవసరం, లేకపోతే ఇద్దరు నిర్వాహకులు xtables లాక్‌పై ఢీకొంటారు. మార్పు విండోలో వీటిలో ఏదీ ఐచ్ఛికం కాదు.

పూల్ లోపలి క్లయింట్ మరియు దాని బయటి క్లయింట్ నుండి పరీక్షించి ముగించండి. మీరు టైప్ చేసిన యంత్రం నుండి మాత్రమే పనిచేసే నియమం విధానం కాదు.