Permitir FTP somente através de VPN

Question

Eu passei por todos os tópicos e respostas possíveis e ainda não tenho certeza de como conseguir isso. O seguinte cenário é possível, em primeiro lugar?

Eu tenho o servidor ubuntu 16.04 que tem o OpenVPN instalado e rodando. Eu posso me conectar a esta VPN através do cliente Windows. O servidor também hospeda alguns arquivos que eu preciso acessar, e eu gostaria de usar o FTP por enquanto (SFTP é melhor, eu sei). Posso fazer isso, que a porta FTP só é acessível através da minha conexão VPN?

Porque eu não tenho certeza e essa mesma pergunta foi feita centenas de vezes, alguém poderia me apontar na direção certa?

    

Answer 1

Você tem várias opções.

1. Configure seu servidor FTP para ouvir apenas a interface / endereço do OpenVPN.

2. Use o iptables para filtrar o tráfego de outra interface além do OpenVPN. Se a sua política padrão for DROP e o nome da sua interface OpenVPN for tun0 para aceitar todo o tráfego da interface do OpenVPN:

   iptables -A INPUT -i tun0 -j ACCEPT
   

   ou, como alternativa, aceite a correspondência da sua rede OpenVPN, por exemplo, caso sua configuração do OpenVPN use endereços na rede 10.8.0.0/24:

   iptables -A INPUT -s 10.8.0.0/24 -j ACCEPT
   

   Se você quiser que regras mais específicas limitem as regras apenas para FTP, será necessário corresponder às portas FTP e, para o FTP passivo, também usar RELATED target. Uma explicação muito boa é fornecida por esta resposta na falha do servidor. Configurar a regra de correspondência por número de porta é mais simples para SSH (e SFTP), pois não usa nenhuma outra porta de entrada.

   Quando sua política padrão para a cadeia OUTPUT é DROP, você também precisa ter regras semelhantes para permitir o tráfego de saída ( -A OUTPUT -o tun0 -j ACCEPT e -A OUTPUT -d 10.8.0.0/24 -j ACCEPT , respectivamente)