Блокировка любого трафика не через VPN

Question

[Kolger]

Здравствуйте!

Задача следующая. Есть рабочая станция на винде, которая подключена к интернету и OpenVPN. Необходимо закрыть доступ всем программам, кроме OpenVPN к основному сетевому интерфейсу, а остальные — пускать только через VPN интерфейс. Соответственно, при не подключенном (или упавшем) VPN-соединении доступа в интернет на машине быть не должно, однако, OpenVPN должна иметь возможность законнектится.

Какой Firewall под виндами лучше использовать для решения подобной задачи?

Под Linux такая задача была бы решаема с помощью пары-тройки правил iptables, а вот под виндой не знаю даже куда и копать.

Заранее спасибо за ответ!

Answer 1

[Rulin]

Элементарно можно сделать без всяких фаирволов (я исхожу из того что интернет у вас раздается через роутер, и на компьютере указан статический локальный адрес), в настройках сетевого интерфейса убираем все данные кроме ip адреса компьютера и маски сети, т.е. дефолтный шлюз должен отсутствовать и dns не должно быть, дальше необходимо прописать роутинг только до сервера vpn, комманду привожу из линукса (т.к. на венде подобные вещи неприятно делать), но ее легко можно адаптировать под винду т.к. там тоже есть комманде route. Сама комманда выглядит так: route add -host <ip адрес vpn сервера в интернете> gw <ip адрес локального роутера который раздает интернет (то что было указанно в дефолтном шлюзе)>

Все, в итоге мы имеем компьютер который подключен к локальной сети и не знает ничего про интернет, но знает где находиться vpn сервер. Далее подключаемся по vpn и получаем интернет.

p.s.
Как доберусь до компа с виндой напишу точно как команда выглядит на винде.

Comments

[Kolger]

Все гениальное просто! Огромное спасибо!

[Kolger]

Команда, кстати, выглядит просто: route add xx.xx.xx.xx 192.168.1.1 (адрес шлюза)

[Rulin]

Рад что вы дальше сами разобрались

[Константин]

Только вы забыли про момент, когда опенвпн сервер не выдаёт дефолтные маршруты, тогда интернет не работает. Как раз столкнулся с таким случаем. Если кто знает как решить такой вопрос, подскажите пожалуйста.

[Rulin]

vebmaster: Если OpenVPN не пушит дефолтный гетвей, то можно его самостоятельно прописать в файле конфига клиента:
redirect-gateway def1
dhcp-option DNS 8.8.8.8
dhcp-option DNS 8.8.4.4

либо после соединения, сделать роутинг:
route add default gw tun0

[Rulin]

усп, парсер съел чать комманды:
route add default gw {ip адрес openvpn сервера через tun интерфейс} tun0

[Константин]

Rulin: в том то и дело, что надо сначала вытащить/найти этот ип адрес, а потом уже добавить :) даже батником по быстрому не сделать. Речь идёт о windows8

[Rulin]

vebmaster: В чем проблема прописать роутинг в конфиге опенвпн клиента, как выше описал? для этого не нужно адрес "вытаскивать"

[Константин]

Rulin: "redirect-gateway def1" не помогает.
Если в настройках tcp/ip сетевого интерфейса прописать вручную ип/маску без шлюза, то дефолтного маршрута при поднятом openvpn нет.
Выставляю настройки tcp в "автоматически", то openvpn прописывает дефолтные маршруты.

[Константин]

может кому пригодится. С n-го раза получилось с помощью браудмауэра windows.
Решение - https://zorrovpn.com/articles/windows-firewall-vpn-only
+ ru.d-ws.biz/articles/windows-8-change-lan-type.shtml

[Rulin]

vebmaster: так должно помочь:
redirect-gateway def1 bypass-dhcp
route 0.0.0.0 0.0.0.0

[Константин]

Rulin: Спасибо, работает. РЕШЕНИЕ №2 см выше!

Answer 2

[Sergey]

Закрыть все порты, кроме DNS и VPN.

Comments

[Sergey]

Для интерфейса физического интерфейса, конечно. Делается практически на любой версии win, даже на 2000 есть пакетный фильтр (не путать с брандмауэром).

[Kolger]

Не подскажете, с помощью какого инструмента это лучше всего сделать? Сейчас пытаюсь с помощью встроенного брандмауера, но как-то не очень получается :)

[Sergey]

мне сейчас и негде посмотреть даже. В параметрах сетевого интерфейса (в свойствах tcp/ip вроде) где-то прячется пакетный фильтр.

[Константин]

Sergey: вы ничего не путаете? Не нашёл ничего, связанного с "пакетным фильтром"

[Sergey]

vebmaster: что с чем я путаю и где не нашёл?

[Константин]

Sergey: видимо имелось ввиду
> В параметрах сетевого интерфейса (в свойствах tcp/ip вроде) где-то прячется пакетный фильтр.

Answer 3

[Vitaliy]

учитывая, что я совсем не виндузятник, то просто сделал за минуту «хак» — поставил ipfw для win, запретил выход трафика через карту Кроме адреса випиэн сервера. и разрешил все через виртуальный поднимающийся интерфейс.

Answer 4

[smartlight]

помоему тут можно проще.
в настройках «локального соединения via NIC» не прописывать default getway. оставить моршрут для локалки и всё.
а на сервере OpenVPN сделать чтобы он клиентам выдавал default getway.
при подключенном vpn весь траффик будет идти через vpn сервер, при упавшем vpn соединении будет доступна локалка.

это сработает, если vpn сервер находится в локалке с win клиентом.

Comments

[Kolger]

Это у меня работает даже на удаленных серверах. Читайте ответ «решение».