Openvpn: Iptables: Alles blocken

[wegsehen]

Hey,

ich benutze einen VPN und möchte dass sämtlicher Internetverkehr nur noch über den VPN geht und bei einem Ausfall alle Pakete fallen gelassen werden.

Meine Grundüberlegung ist, erst mal sämtlichen ausgehenden Verkehr zu blockieren mit:

Code: Alles auswählen

iptables -A OUTPUT -j DROP

Und dann nur noch Verkehr über mein tun0 Interface laufen zu lassen:

Code: Alles auswählen

iptables -A OUTPUT -o tun+ -j ACCEPT

Diese Überlegung erscheint mir schlüssig, jedoch muss ich ja erst mal eine Verbindung zu meinem VPN aufbauen.
Dafür würde ich wieder die jeweilige IP Range zulassen, z.B.

Code: Alles auswählen

iptables -A OUTPUT -d 46.246.40.0/24 -j ACCEPT

Nur die letzten beiden Zahlenblöcke scheinen immer zu variieren (in diesem fall ist es z.B. 46.246.37... 46.246.41...) . Wie finde ich heraus, welchen Bereich ich zulassen muss bzw. passt meien Überlegung überhaupt?

[Cae]

Zunaechst wird eine -j ACCEPT-Regel, die per -A hinter einer -j DROP-Regel eingereiht wird, nie erreicht werden. Muss also andersrum sein.

Welche Ziel-IPs freizuschalten sind, solltest du entweder selbst wissen oder kannst du im DNS per dig nachschlagen (falls du zu einem FQDN verbindest). Ausserdem solltest du an dieser Stelle --dport verwenden.

Gruss Cae

[wegsehen]

Und wie soll ich das selbst wissen? Darauf bezieht sich ja meine Frage.

Ich benutze IPredator, und ein dig pw.openvpn.ipredator.se
(das ist bei openvpn als remote eingetragen) liefert eine ganze Reihe von IP's die auch immer variieren.

Code: Alles auswählen

pw.openvpn.ipredator.se. 126	IN	A	46.246.43.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.38.130
pw.openvpn.ipredator.se. 126	IN	A	46.246.47.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.44.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.40.130
pw.openvpn.ipredator.se. 126	IN	A	46.246.36.130
pw.openvpn.ipredator.se. 126	IN	A	46.246.44.130
pw.openvpn.ipredator.se. 126	IN	A	46.246.37.130
pw.openvpn.ipredator.se. 126	IN	A	46.246.49.130
pw.openvpn.ipredator.se. 126	IN	A	46.246.34.130
pw.openvpn.ipredator.se. 126	IN	A	46.246.49.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.48.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.33.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.37.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.38.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.43.130
pw.openvpn.ipredator.se. 126	IN	A	46.246.45.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.33.130
pw.openvpn.ipredator.se. 126	IN	A	46.246.32.2
pw.openvpn.ipredator.se. 126	IN	A	46.246.42.130

[uname]

Kann man nicht einfach das Default-GW über VPN leiten. Solltest du OpenVPN nutzen (sieht ja so aus) suche mal nach

Code: Alles auswählen

push "redirect-gateway"

[wanne]

Typicherweise Konfiguriert OpenVPN das netzwerk so, dass bei einer üblichen Konfiguration (/24 er Netz mit Standard-Gateway) sowieso alles, was nicht lokal läuft über das VPN läuft. Es ist also sinnlos da nochmal eine Firewall drüber zu stecken.
Aber du kannst in IP-Tables auch volle Namen (pw.openvpn.ipredator.se) einsetzen.

[wegsehen]

Das ist mir schon klar. Das Ding ist nur, wenn es einen Abbruch gibt und der VPN ausgeht, schnappen sich laufende Programme doch die direkte Verbindung oder nicht?

Ich habs:

Code: Alles auswählen

iptables -A OUTPUT -o tun+ -j ACCEPT
iptables -A OUTPUT -d 89.233.43.71 -j ACCEPT
iptables -A OUTPUT -d pw.openvpn.ipredator.se -p udp -j ACCEPT
iptables -A OUTPUT -j DROP

Die 89..IP ist mein DNS. Ich überleg nur gerade: Wenn ich die per default laufen lasse bei Systemstart, kann das doch nicht funktionieren. Um das pw.openvpn... zuzulassen, muss doch der DNS-Request erst mal aufgelöst werden. Oder wird dann so lange gewartet, bis er das pw.open... aufgelöst hat?

[Cae]

Um das pw.openvpn... zuzulassen, muss doch der DNS-Request erst mal aufgelöst werden. Oder wird dann so lange gewartet, bis er das pw.open... aufgelöst hat?

Nein, das fliegt dir um die Ohren. Vielleicht ist ein statischer Eintrag in der /etc/hosts eine Loesung, oder ein kurzzeitiges Zulassen von DNS-Anfragen. Wobei letzteres natuerlich mit entsprechendem Timing zu einem Datenleck fuehren kann.

Gruss Cae

[porcu]

wenn es einen Abbruch gibt und der VPN ausgeht, schnappen sich laufende Programme doch die direkte Verbindung oder nicht?

Probier es doch mal aus. Bei mir nicht. Bei der Zwangstrennung zum Beispiel kommen bei mir keine ausgehenden Verbindungen zustande, ssh oder rdp Verbindungen reißen ab und es geht erst wieder Traffic rein oder raus, wenn openvpn sich automatisch neu verbunden hat.