Как запретить выход в интернет VPN-клиентам, оставив доступ только от заданного ip?

krosh, это да. Но текущее решение обладает дополнительным плюсом. Фильтрация идет не по статическому ip, а по имени клиента (сертификата), что позволяет не думать о динамическом ip адресе у клиента.

Как запретить выход в интернет VPN-клиентам, оставив доступ только от заданного ip?

Денис Базарнов, спасибо. Так и поступил.
Использовал диапазон ip, чтобы каждый раз не лезть к iptables.

iptables -t nat -A POSTROUTING -m iprange --src-range 10.8.0.100-10.8.0.254 -o eth0 -j MASQUERADE

Хотел настраивать только с помощью iptables, получилось наоборот, хоть и больше движений по настройке конкретного пользователя, но решение рабочее.

Как запретить выход в интернет VPN-клиентам, оставив доступ только от заданного ip?

krosh, спасибо. Вопрос решил, пошел немного другим путем.
1. Командой разбил пул на два диапазона с "доступом в интернет" и "без доступа"

iptables -t nat -A POSTROUTING -m iprange --src-range 10.8.0.100-10.8.0.254 -o eth0 -j MASQUERADE

2. Привязал клиента к конкретному локальному адресу из нужного диапазона через конфигурацию openVPN.

Как запретить выход в интернет VPN-клиентам, оставив доступ только от заданного ip?

krosh, да, ключ -s с самого начала заметил.
При вводе команды
iptables --policy FORWARD ACCEPT
все начинает работать.

Как запретить выход в интернет VPN-клиентам, оставив доступ только от заданного ip?

@krosh
На ваше решение и смотрел в другом обсуждении Как запретить выход в интернет VPN-клиентам, оставив доступ только к заданному ip (либо домену)?
Именно так и пытался решить вопрос, но не получается.
Про днс не лишнее, днс запросы пробрасываются через впн.
В вопросе забыл уточнить, впн настроен на работу через tcp.

Как запретить выход в интернет VPN-клиентам, оставив доступ только от заданного ip?

Денис Базарнов , могу ошибаться но:
1) Либо отменяй маскарадинг для всей OpenVPN сети и прописывай маскарадинг для конкретного ip-адреса

iptables -t nat -A POSTROUTING <b>-s 10.8.0.0/24</b> -o eth0 -j MASQUERADE

Маскарадинг задается для посети впн подключения, в этом случае надо разбираться как привязывать конкретного клиента к конкретному локальному адресу, но возможно существует решение "одна команда для iptables"
2) Либо играй с цепочкой OUTPUT для сети/интерфейса интернета. Запрещай всем, но разрешай конкретному ip.
Как я понимаю, ситуация та же, цепочка OUTPUT не видит внешний статический ip клиента.

Смотрел в сторону решения указанного в Как запретить выход в интернет VPN-клиентам, оставив доступ только к заданному ip (либо домену)?.
Работать с цепочкой FORWARD, но в последней команде заменить -d yandex.ru на -s ip у меня не работает. Дополнительно, впн настроен на протокол tcp.

Могу ошибаться, с iptables я знаком поверхностно. Если у вас есть возможность написать команды для iptables, буду благодарен.

Как запретить выход в интернет VPN-клиентам, оставив доступ только от заданного ip?

АртемЪ,
OpenVPN сервер своими настройками позволяет либо всем открыть доступ в интернет, либо всем закрыть.
Для выборочного контроля доступа остается iptables, а для идентификации клиента подходит статический ip-адрес пк клиента.

Как запретить выход в интернет VPN-клиентам, оставив доступ только к заданному ip (либо домену)?

krosh Здравствуйте, буду очень благодарен за помощь.
Вопрос похожий, но как запретить выход в интернет VPN-клиентам, оставив доступ только от заданного ip?