Como os pacotes atravessam o tun + adaptador no firewall

Question

Estou familiarizado com o Iptables e, recentemente, queria criar um firewall com estado conectado a um servidor openvpn.

Se alguém estiver disposto a explicar como, por exemplo, eth0 (WAN), eth1 (LAN) e tun0 (VPN) passam os pacotes entre si?

Estou falando de FORWARD chain. Não tenho problemas para configurar um firewall com duas placas de rede, mas estou ficando confuso se tentar configurá-lo com o OpenVPN.

Obrigado!

    

Answer 1

Existem dois fluxos de pacotes independentes - um para os pacotes originais da LAN e outro para os pacotes encapsulados em direção à WAN.

Por exemplo, um cliente de rede local tenta acessar um host remoto através da VPN:

1. O pacote original passa por FORWARD e é encaminhado de eth1 para tun0 , onde é consumido pelo OpenVPN.
2. O OpenVPN envia um novo pacote "VPN", que passa por OUTPUT e é enviado do firewall para eth0 .

O mesmo para respostas de VPN para LAN:

1. Os pacotes de VPN são recebidos em eth0 , passam por INPUT e são recebidos pelo OpenVPN no firewall.
2. Os pacotes "originais" decapsulados aparecem como se fossem recebidos através de tun0 e passam por FORWARD para eth1 novamente.

Então, no que diz respeito ao iptables, tun0 é apenas uma interface de rede comum que está conectada a outra rede - não é diferente de, por exemplo, ter uma eth2 conectada fisicamente com um cabo muito longo.