Tham gia Đăng nhập
Điểm:1
avatar Server

iptables - chỉ cho phép truy cập vào một cổng duy nhất trên mạng con khác nhau

lá cờ in
Turnspit

Tôi đã thiết lập và chạy một máy chủ OpenVPN, hiện đang cho phép định tuyến tất cả lưu lượng giữa mạng VPN (10.8.0.0/24) và mạng LAN (192.168.2.0/24). Iptables của tôi trông như sau:

iptables -t bộ lọc -F
iptables -t nat -F
iptables -A FORWARD -m state --state LIÊN QUAN, THÀNH LẬP -j CHẤP NHẬN
iptables -A FORWARD -i tun0 -j CHẤP NHẬN
iptables -A CHUYỂN ĐI -i eth0 -j CHẤP NHẬN
iptables -A FORWARD -j TỪ CHỐI
iptables -t nat -A POSTROUTING -s '10.8.0.0/24' -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j SNAT --to-source 192.168.2.26
iptables -t nat -A POSTROUTING -s '192.168.2.0/24' -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o tun0 -j SNAT --to-source 10.8.0.1

192.168.2.26 & 10.8.0.1 là các giao diện trên VPN-Server.

Tôi hiện đang tìm cách thu hẹp nó xuống một chút và chỉ cho phép nhắm mục tiêu cụ thể cho những người dùng cụ thể. Một ví dụ:

Tôi muốn người dùng có IP 10.8.0.10 chỉ có quyền truy cập vào 192.168.2.100 trên cổng 8080 và không có gì khác trong mạng con LAN. Sau hàng tấn googling, tôi đã thử một số kết hợp hoang dã giữa SNAT và DNAT, nhưng không tìm ra giải pháp.

Làm cách nào tôi có thể thực hiện kịch bản trên?

139
1 + 0
Điểm:1
avatar Server
lá cờ in
Turnspit

Vì vậy, tôi đã tìm ra giải pháp cho vấn đề của mình, nếu có ai cần và vấp phải điều này:

Tôi đã bỏ iptables và chuyển sang ufw.

/etc/sysctl.conf:

net.ipv4.ip_forward=1

/etc/default/ufw:

DEFAULT_FORWARD_POLICY="DROP"

/etc/ufw/b Before.rules:

# BẮT ĐẦU QUY TẮC OPENVPN
# Quy tắc bảng NAT
* tự nhiên
:POSTROUTING CHẤP NHẬN [0:0]
# Cho phép lưu lượng giữa OpenVPN và LAN
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.2.0 -o tun0 -j MASQUERADE
LÀM
# KẾT THÚC QUY TẮC MỞVPN

Bằng cách này, mọi thứ được thiết lập để định tuyến và chuyển tiếp mà chưa chuyển tiếp bất kỳ thứ gì do chính sách "thả" mặc định.

Để định tuyến một IP đến một Cổng trên một IP khác của một mạng con khác như được mô tả trong câu hỏi, tôi chỉ cần chạy bộ quy tắc sau:

sudo ufw route allow in on tun0 out on eth0 đến 192.168.2.100 proto tcp port 8080 từ 10.8.0.10
0 + 0
lá cờ VietNam
Phan Văn Trường
Câu hỏi này là trong các ngôn ngữ khác:

Đăng câu trả lời

Hầu hết mọi người không hiểu rằng việc đặt nhiều câu hỏi sẽ mở ra cơ hội học hỏi và cải thiện mối quan hệ giữa các cá nhân. Ví dụ, trong các nghiên cứu của Alison, mặc dù mọi người có thể nhớ chính xác có bao nhiêu câu hỏi đã được đặt ra trong các cuộc trò chuyện của họ, nhưng họ không trực giác nhận ra mối liên hệ giữa câu hỏi và sự yêu thích. Qua bốn nghiên cứu, trong đó những người tham gia tự tham gia vào các cuộc trò chuyện hoặc đọc bản ghi lại các cuộc trò chuyện của người khác, mọi người có xu hướng không nhận ra rằng việc đặt câu hỏi sẽ ảnh hưởng—hoặc đã ảnh hưởng—mức độ thân thiện giữa những người đối thoại.