Linux Forum — Помогите разобраться с настройкой firewall под openvpn

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (kisil) — Tue, 28 Jan 2014 10:50:40 +0000

Не за что.

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (vassabi) — Tue, 28 Jan 2014 10:37:08 +0000

Спасибо, понятно.

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (kisil) — Tue, 28 Jan 2014 10:34:14 +0000

Это правило разрешает весь входной трафик который был иницыализирован на сервере и на него получен ответ от другой стороны. Тоисть сервер принимает весь трафик который он иницыализировал и получил на него ответ. По всем интерфейсам цепочки INPUT.

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (vassabi) — Tue, 28 Jan 2014 10:24:54 +0000

kisil пишет:

А сделайте на сервере вот так
Консоль:

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Правило помогло.
Если я правильно понимаю, в данном случае RELATED и ESTABLISHED соединение по тунелю tun0 ?

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (vassabi) — Tue, 28 Jan 2014 10:11:27 +0000

Проблема коннекта сервера к клиенту именно по ssh
При указанных правилах клиенты "видны" в openvpn и прингуются.

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (kisil) — Tue, 28 Jan 2014 10:11:13 +0000

А сделайте на сервере вот так

Консоль:

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (kisil) — Tue, 28 Jan 2014 10:09:00 +0000

Я вас не понял у вас проблема конекта из сервера на клиент или из клиента на сервер???

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (vassabi) — Tue, 28 Jan 2014 10:01:26 +0000

Подключаюсь так

ssh root@10.8.0.10

ssh начинает работать если на сервере есть правило

-A INPUT -i tun0 -p tcp -j ACCEPT

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (kisil) — Tue, 28 Jan 2014 09:42:29 +0000

А вы как подключаетесь, команду приведите. А на клиентах sshd хоть слушает адреса из сети 10.8.0.0

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (vassabi) — Tue, 28 Jan 2014 09:31:40 +0000

Так у меня есть это правило на клиенте (гляньте первый пост), только зацеплено на конкретный IP.
з.ы. пробовал по рекомендации (на любой IP сети) - не помогло.

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (kisil) — Tue, 28 Jan 2014 06:02:26 +0000

Добавте на клиенте вот такое правило

Консоль:

-A INPUT -p tcp -i tun0 --dport 22 -s 10.8.0.0/24 -j ACCEPT

Эта разрешыт на клиенте подключение к порту 22 с любого айпи сети 10.8.0.0

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (vassabi) — Mon, 27 Jan 2014 23:24:30 +0000

Нарисовалась еще одна проблемка - не могу достучаться к клиентам openvpn по ssh.
Настройки firewall`ов такие же как в первом поасте, только добавлена строка

iptables -A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT

Подскажите, плиз, в чем может быть дело?

==========
Добавил правило

-A INPUT -i tun0 -p tcp -j ACCEPT

ssh заработал, но подозреваю, что нужно как-то более аккуратно прописывать это правило

Вопрос актуален.

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (vassabi) — Wed, 22 Jan 2014 11:20:50 +0000

Понятно, спасибо еще раз.

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (kisil) — Wed, 22 Jan 2014 11:07:12 +0000

Вот
Поясню вам почему у вас

vassabi пишет:

-клиент видит сервер и пингует
-openvpn видит клиента, но клиент не пингуется

Клиент видит сервер и пингует потому что на сервере это правило

Консоль:

-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT

разрешало принимать --icmp-type 8 = Echo , тоисть эхо запрос. После этого сервер отправлял icmp-type=0 Echo Reply, тоисть ответ клиенту. Так как клиент был иницыатором соединения и в настройках клиента есть это правило

Консоль:

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

то клиент и видит ответ от сервера.
Сервер openvpn видит клиента, но клиент не пингуется, потому что, он не пропускает icmp-type=0 Echo Reply. И такого правила как на клиенте

Консоль:

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

у него нету. Потому то правило что я вам написал просто пропускает icmp-type=0 Echo Reply на ваш сервер.

Re: Помогите разобраться с настройкой firewall под openvpn

null@example.com (vassabi) — Wed, 22 Jan 2014 09:40:52 +0000

Добавил - все заработало, спасибо большое за помощь!
Так а тип 0 тоже пропускать или можно отфильтровывать?
Посто с проходу не удалось найти в чем разница у типов пакетов 0 и 8...

Текущие правила:

Chain INPUT (policy DROP 13 packets, 1478 bytes)
 pkts bytes target     prot opt in     out     source               destination
  344 41420 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:1194
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcpflags: 0x17/0x04 limit: avg 1/sec burst 5
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
   10   840 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 0
    3   252 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 8
    0     0 ACCEPT     tcp  --  eth0   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     all  --  eth0   tun0    0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     all  --  *      eth0    10.8.0.0/24          0.0.0.0/0

Chain OUTPUT (policy ACCEPT 366 packets, 45344 bytes)
 pkts bytes target     prot opt in     out     source               destination