Como bloquear o acesso aos serviços do servidor OpenVPN?

Question

Primeiro de tudo, eu sou um noob total com VPNs. Eu só consegui instalar o OpenVPN seguindo um tutorial. Os clientes podem ver uns aos outros e tudo parece estar funcionando sem problemas.

No entanto, a rede em questão destina-se exclusivamente ao uso cliente-cliente e gostaria muito de restringir o acesso à rede e aos serviços do próprio servidor (www, mysql, smb etc.). Em outras palavras, os clientes VPN só devem ter acesso uns aos outros por meio de VPN.

Eu nem tenho certeza se isso é completamente possível, mas eu acho que deve haver uma maneira melhor do que configurar cada serviço para bloquear um determinado intervalo de IPs ..?

Estou executando o Debian Wheezy com praticamente todas as configurações de rede padrão e OpenVPN.

    

Answer 1

Hmm, apenas fora do topo da minha cabeça ... e sem ler o Manual do OpenVPN ...

Eu colocaria todos os meus usuários em sua própria sub-rede. Se o seu servidor for 192.168.0.1, você poderá colocar seus usuários em sua própria sub-rede (por exemplo, 192.168.1.1-244).

você pode garantir que todos os seus serviços / daemons estejam vinculados a um endereço específico, e não a * ou a 0.0.0.0. normalmente é uma boa ideia saber quais interfaces seus serviços estão vinculados ao anways

contanto que o OpenVPN não envie uma rota para o cliente para atravessar essas sub-redes, elas não poderão se conectar aos seus serviços de back-end (até onde eu saiba)

além disso, o IPTables certamente poderia ser sua segunda linha de defesa -

você pode colocar uma regra no topo da sua cadeia INPUT que abandona todas as conexões de 10.8.0. *, e qualquer coisa que eles precisam acessam (isto é, squid), você pode simplesmente usar o comando IPTables "redirect" method

esperamos que isso ajude