LINUX.ORG.RU
Форум — Admin  

Как запретить трафик в обход wireguard vpn на linux?

 , , , ,


1

1

Моё подключение к vpn серверу частенько рвётся. Сервер мой, стоит wg. Как настроить киллсвитч на моём debian? Как сделать так, чтобы не шёл голый траффик в промежутки обрыва связи с впн сервером? Объясните, пожалуйста, пошагово



Последнее исправление: Tomohyeah (всего исправлений: 3)
← Почему journalctl потребляет так много места
Список учетных записей AD →
Ответ на: комментарий от Dimez

Та тема посвящена настройке на роутере. Здесь стоит вопрос о настройке на самом линуксе

Tomohyeah
() автор топика
Ответ на: комментарий от Dimez

Использовать отдельный роутер, если он слабый, очень неудобно для этой цели. В моём случае перепробовал несколько – на всех соединение отлетает намертво после перезапуска роутера/переподключения шнура. Приходится сбрасывать к заводу, и вновь ставить пакет вайргварда, а после всё это дело конфигурировать, только так срабатывает снова. Иногда мне нужно взять с собой ноутбук в гости, тащить каждый раз роутер с такими приколами это слишком. Хороший роутер в ближайшее время позволить себе не смогу.

Tomohyeah
() автор топика
Ответ на: комментарий от Tomohyeah

Добавить маршрут до впн сервера, удалить дефолтный маршрут. Все. Как это делать - Зависит от того, чем поднимается сеть. А всякие киллсвитчи не надежные костыли.

anonymous
()

Добавляешь в пакетный фильтр правило, разрешающее прохождение пакетов с адресом назначения до твоего wireguard сервера и физическим выходным интерфейсом, остальные исходящие пакеты с выходным физическим интерфейсом блокируешь.

Можешь добавить обратные правила от ip адреса сервера.

kostik87 ★★★★★
()
Последнее исправление: kostik87 (всего исправлений: 1)

Через IP tables сделал фильтрацию по UID. По добавленным правилам один пользователь может ходить в сеть только через интерфейс t+ (tunN/tapN), другой через все прочие интерфейсы кроме t+.

Aber ★★★★★
() 
iptables -F OUTPUT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT
iptables -A OUTPUT -d <my-vpn-server> -j ACCEPT
iptables -A OUTPUT -d <my-lan-subnet> -j ACCEPT
iptables -A OUTPUT -p udp --dport 67 -j ACCEPT
iptables -A OUTPUT -j REJECT
no-dashi-v2 ★★★★
()

я делаю вот так

sudo ufw default deny outgoing
sudo ufw default deny incoming
sudo ufw allow out on wg0
sudo ufw allow in from 192.168.0.0/16
sudo ufw allow out to 192.168.0.0/16
sudo ufw allow out to <serverip> port <serverport> proto udp
sudo ufw enable
anonymous
()
Ответ на: комментарий от no-dashi-v2

OUTPUT может оказаться недостаточно я бы ещё и в FORWARD тоже запретил, даже если оно сейчас вроде как не используется.

anc ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Почему journalctl потребляет так много места
Admin
Список учетных записей AD →