Forum Debian Users Gang

Obecnie trza myśleć za ludzi, dlatego też nie dziwi mnie fakt, że ta appka od vpn manipuluje FW.

Problem w tym, by zadziałał VPN to potrzebne jest zwykłe połączenie sieciowe -- inaczej się nie połączysz z providerem VPN. Można natomiast sobie zrobić taki poniższy filtr reguł:

#!/usr/sbin/nft -f

flush ruleset

create table inet filter

create chain inet filter INPUT { type filter hook input priority 0; policy drop; }
create chain inet filter OUTPUT { type filter hook output priority 0; policy drop; }

create chain inet filter state-check

add rule inet filter state-check ct state { established, related } counter accept
add rule inet filter state-check ct state invalid counter drop

add rule inet filter INPUT counter jump state-check
add rule inet filter INPUT iifname "lo" counter accept
add rule inet filter INPUT counter drop

add rule inet filter OUTPUT counter jump state-check
add rule inet filter OUTPUT oifname "lo" counter accept
add rule inet filter OUTPUT meta l4proto icmp counter counter accept
add rule inet filter OUTPUT ip6 nexthdr icmpv6 counter counter accept
add rule inet filter OUTPUT oifname "tun*" counter accept
add rule inet filter OUTPUT tcp dport { 1194 } ip daddr 198.252.153.226 counter accept comment "riseup"
add rule inet filter OUTPUT counter drop

W INPUT w zasadzie cała komunikacja jest zablokowana poza przepuszczaniem pakietów z nawiązanych połączeń + przepuszczony ruch na pętli zwrotnej. W OUTPUT jest dokładnie to samo, z tym że widnieją tam jeszcze regułki od protokołu ICMP (dla łatwiejszego debugowania). Kolejna reguła (ta oifname "tun*") ma za zadanie przepuścić nowe połączenia ale jedynie na interfejs VPN, w tym przypadku tun0. Przedostatnia reguła zaś ma na celu umożliwić nawiązanie połączenia z serwerem VPN -- to połączenie jest nawiązywane przed zestawieniem tunelu VPN i puszczeniem całego ruchu przez niego. Dlatego też określony jest port, protokół i adres ip.

Po załadowaniu tych reguł dobrze jest jeszcze wyczyścić tablicę conntrack'a:

# conntrack -F

Przy położonym VPN, komunikacja ze światem nie jest możliwa (działa jedynie ping, jak komuś przeszkadza, może usunąć stosowne reguły). Net pojawia się w momencie podpięcia VPN. Osobno trzeba podejść jeszcze do kwestii adresacji kompa od ISP -- chodzi o protokół DHCP, najlepiej jest skonfigurować sobie adresację statycznie.

Ostatnio edytowany przez morfik (2019-10-30 20:18:21)