Как ограничить доступ к локальным подсетям для разных клиентов OpenVPN?

Question

[greensid]

Openvpn сервер развернут на linux-машине на сервере, который напрямую подключен к L3 коммутатору. На коммутаторе созданы несколько сетей (например 10.200.3.1, 10.200.99.1 и 10.90.0.1). ВПН-сервер находится в сети .99.1 и раздает для клиентов отдельную сеть 10.8.0.1/24. На данный момент клиенты могут ходить в любую сеть на коммутаторе (маршрутизация включена). Мне необходимо чтобы клиент мог ходить, например, только в 10.90.0.1, а в остальные сети нет. Я планировал это сделать за счет назначения статических айпишников клиентам и прописать для каждого правила. На коммутаторе я этого сделать не могу, т.к. пакеты уже приходят со шлюза 10.8.0.1 и соответственно можно ограничить доступ только для всей сети, а не для конкретного клиента. Соответственно я попытался сделать это непосредственно на самом сервере через настройку iptables.
Пример:
iptables -A OUTPUT -s 10.8.0.10 -d 10.90.0.0/24 -j ACCEPT
iptables -A OUTPUT -s 10.8.0.10 -d 0.0.0.0/0 -j DROP
Пробовал аналогичные варианты и с INPUT и с FORWARD, однако ни до ни после ничего не изменилось. Клиенты по прежнему спокойно ходят в любую сеть как ни в чем не бывало.

Конфиг сервера:

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key # This file should be kept secret
dh none
server 10.8.0.0 255.255.255.0
topology subnet
push "redirect-gateway def1"
client-config-dir /usr/local/etc/ccd
keepalive 10 120
tls-crypt ta.key
cipher AES-256-GCM
auth SHA256
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
verb 3
explicit-exit-notify 1

Никак не могу понять в чем проблема и какие есть варианты решения?
Перекопал уже кучу примеров и статей, но так и не смог получить желаемый результат.
Буду очень признателен за помощь!

Comments

[res2001]

Можно убрать из конфига сервера:
push "redirect-gateway def1"
В ccd файле клиентов добавить директивы
push "route ..."
для каждой сети в которую должен попадать клиент.

Это, конечно, не гарантирует, что клиент не добавит маршруты руками, но хоть что-то.
К сожалению не силен в iptables.

[ValdikSS]

На коммутаторе я этого сделать не могу, т.к. пакеты уже приходят со шлюза 10.8.0.1

Вероятно, у вас включён NAT для VPN-клиентов? Отключите его.

попытался сделать это непосредственно на самом сервере через настройку iptables

Необходимо оперировать в таблице FORWARD.

[Valentin Barbolin]

> push "redirect-gateway def1"
Обязательно клиентам дефол отдавать?

Можно в ccd создать отдельный конфиг для каждого клиента и пушить только нужные ему маршруты.

cat /usr/local/etc/ccd/admin1
push-reset
push "dhcp-option DNS 10.11.10.5"
push "dhcp-option DOMAIN example.com"
push "route 172.16.16.0 255.255.255.255"
push "route 10.0.0.0 255.0.0.0"

https://openvpn.net/community-resources/configurin...

[greensid]

Andrey Barbolin, Да, действительно не подумал что и правда можно пушить маршруты для конкретного клиента через конфиг в ccd, спасибо за совет! Хот в этом случае клиент может себе при желании вручную маршрутов накидать, а это уже как то не очень секьюрно получается. Хотелось бы все таки как то ограничить это дело на уровне сервера, а не в конфиге клиента.

[greensid]

ValdikSS, если под "включен NAT" вы имеете в виду что то вроде этого:

firewall-cmd --permanent --direct --passthrough ipv4 -t nat -A POSTROUTING -s 10.8.0.0/24 -o $DEVICE -j MASQUERADE

то нет не использую, iptables пустой.
Через форвардинг тоже пробовал:

iptables -A FORWARD -i tun0 -s 10.8.0. 10 -d 10.90.0.0/24 -j ACCEPT
iptables -A FORWARD -i tun0 -s 10.8.0.10 -d 0.0.0.0/0 -j DROP

не цепляет он пакеты с этого адреса.
Думаю попробовать через PREROUTING прописать, может чего выйдет из этого.

Answer 1

[greensid]

Видимо вся проблема заключалась именно в push "redirect-gateway def1". После того как начал пушить конкретные маршруты push "route 10.90.0.10 255.255.255.0" через конфиги в ccd, то и форвардинг

iptables -A FORWARD -i tun0 -s 10.8.0. 10 -d 10.90.0.0/24 -j ACCEPT
iptables -A FORWARD -i tun0 -s 10.8.0.10 -d 0.0.0.0/0 -j DROP

сразу начал отрабатывать как надо. Так и не понял по какой причине он не срабатывал из за push "redirect-gateway def1", но благо проблема решилась.
Всем спасибо за помощь!

Comments

[res2001]

сразу начал отрабатывать как надо

Как вы это узнали?
У вас же клиенты теперь на эти сети не передают пакеты в ВПН. Они теряются где-то там на стороне клиента, уходя на его шлюз по умолчанию.
Чтоб понять, что "начал отрабатывать", надо добавить на клиент маршрут на не маршрутизируемую сеть вручную (только для теста) и проверить.
Так что думаю iptables у вас не починился, скорее всего. Пробуйте другие варианты с правилами, т.к. по уму все таки блочить на этом уровне, не надеясь на маршрутизацию.

[greensid]

res2001, полностью согласен что на маршрутизацию полагаться не стоит (писал об этом в комментах) и разумеется проверил как отрабатывают iptables. Не думаю что так уж обязательно прямо на клиенте вручную добавлять. Например я для проверки добавил push "route 10.200.0.0 255.255.0.0" в конфиг клиента в ccd (по идее это аналогично тому что я вручную его пропишу), а

iptables -A FORWARD -i tun0 -s 10.8.0.10 -d 0.0.0.0/0 -j DROP

соответственно запрещает трафик в эти сети. Без этого правила все сети спокойно пингуются с клиента, а с ним пингуется только 10.90.0.0. Вот так и узнал)

[greensid]

res2001, для успокоения совести прописал маршрут прямо на самом клиенте и результат аналогичный, так что iptables действительно начали отрабатывать как надо))

[res2001]

greensid, Что-то у вас путаница в показаниях :)
В push route адрес 10.200, а пингуете 10.90.

На сколько я могу судить, если бы это правило работало, то оно бы вообще весь входящий транзитный трафик с 10.8.0.10 на tun0 прибивало. Не зависимо от того как у клиента настроена таблица маршрутизации.
Как-то это все не стыкуется.
Возможно надо использовать не FORWARD, а PREROUTING или POSTROUTING.

10.8.0.10 - это адрес тестируемого клиента?

[greensid]

res2001, в конфиге клиента я для теста прописал push "route 10.90.0.10 255.255.255.0" и push "route 10.200.0.0 255.255.0.0", мне же никто не запрещает 2 маршрута добавить? В iptables я прописываю

iptables -A FORWARD -i tun0 -s 10.8.0.10 -d 10.90.0.0/24 -j ACCEPT
iptables -A FORWARD -i tun0 -s 10.8.0.10 -d 0.0.0.0/0 -j DROP

соответственно пакет сначала проверяется на первое правило, если по нему не проходит (тобишь адрес назначения не из 10.90.0.0/24), то проверяется уже по второму правилу и дропается. Если бы у меня хотя бы одно из этих правил не срабатывало, то я бы мог пинговать либо все, либо ничего. 10.8.0.10 - адрес одного из клиентов. Для другого клиента с адресом 10.8.0.20 я добавил соответствующий маршрут до 10.200.2.0 и правило в iptables. На нем все также прекрасно работает и кроме 10.200.2.0 другие сети не пингуются.

[res2001]

greensid, Убедил :)