VPN und IPTABLES

Gemeinsam ins Internet mit Firewall und Proxy.
Antworten
heinzelrumpel
Beiträge: 149
Registriert: 26.07.2004 20:07:58

VPN und IPTABLES

Beitrag von heinzelrumpel » 28.03.2017 10:52:25

Hallo,

ich baue mir gerade einen kleinen Router/Firewall auf Debian Basis. Darauf läuft u.A OpenVPN- Dieses verbindet sich mit einem kostenpflichtigen VPN Dienst. Beim Start wird der gesamte Datenverkehr über den Dienst geleitet. Ich nehme an, dass serverseitig die Option "push-redirect-gateway" gesetzt ist. Nun möchte ich aber vermeiden, dass alle Clients aus dem LAN über diesen VPN geroutet werden. Z.B. die FireTV BOX sollte das nicht machen, da sonst das Blocking von Amazon wirkt.

Nun meine Frage. Wenn ein Client nun die Firewall/Router nutzt, wird dann auch der Forwarding Traffic automatisch durch das VPN geroutet? Ich vermute mal JA. Wie kann ich es hinbekommen, mit IPTABLES, dass Datenverkehr von einer MAC-Adresse am VPN vorbei geht? Die WAN-Schnittstelle liegt hinter einer FritzBOX, die sich mit dem ISP verbindet.

Könnte dies funktionieren?

FRITZ=192.168.1.1
WAN= 192.168.1.27
LAN=192.168.178.200
TUN0=10.30.1.29
FIRETV=XX:XX:XX:XX:A0

Code: Alles auswählen

iptables -t nat -A PREROUTING -i $LAN -m --mac-source $FIRETV --DNAT --to-destination $FRITZ
Eine generelle Masquerading rule, dass alles maskiert, was aus WAN rausgeht existiert bereits

Ciao, Heinzelrumpel

Benutzeravatar
orcape
Beiträge: 1305
Registriert: 07.11.2008 18:37:24
Wohnort: 12°10'08,01"E / 50°36'28,15"N
Kontaktdaten:

Re: VPN und IPTABLES

Beitrag von orcape » 29.03.2017 12:15:20

Hi,
der Client sendet normalerweise seine Anfrage ins Netz und sollte somit trotz Iptables eine Antwort erhalten.
Beim Server sehe das anders aus, der braucht ein Portforwarding für den OpenVPN-Port.
Gruss orcape

mat6937
Beiträge: 563
Registriert: 09.12.2014 10:44:00

Re: VPN und IPTABLES

Beitrag von mat6937 » 29.03.2017 13:12:36

heinzelrumpel hat geschrieben:.... Z.B. die FireTV BOX sollte das nicht machen,... Die WAN-Schnittstelle liegt hinter einer FritzBOX, die sich mit dem ISP verbindet.
Konfiguriere in der FireTV BOX, die FritzBox als gateway für die default route (... evtl. mit einer besseren metric als es die aktuelle default route der FireTV BOX z. Zt. hat).

Ist z. Zt. die FritzBox, von der FireTV BOX aus, erreichbar?

heinzelrumpel
Beiträge: 149
Registriert: 26.07.2004 20:07:58

Re: VPN und IPTABLES

Beitrag von heinzelrumpel » 30.03.2017 19:13:54

Hi
ich glaube ich hab das Szenario nicht richtig skizziert.

ISP --> Fritzbox(192.168.1.1) <------->[192.168.1.27 Firewall 192.168.178.200]<--->FireTV(192.168.178.47)

Das FireTV hat keinen direkten Zugriff auf FritzBox und soll es auch nicht. Die Firewall stellt eine Verbindung per OpenVPN mit einem VPM-Dienst her und der gesamte Verkehr geht von der Firewall durch diesen Tunnel. Bisher habe ich nur den lokalen Verkehr getestet. Ich weiss halt nicht, ob Pakete, die geforwarded werden, auch automatisch durch den Tunnel gehen. Falls ja, dann würde ich mit einer DNAT Regel an der Firewall die Pakete des FireTV an 192.168.1.1 umleiten, um VPN zu umgehen.

sdh82
Beiträge: 160
Registriert: 07.10.2006 22:39:04

Re: VPN und IPTABLES

Beitrag von sdh82 » 10.05.2017 08:57:09

Evtl. hilft dir Policy Based Routing.
"Wenn ein Paket in Firewall aus FireTV kommt, dann leite es via FritzBox weiter."

Benutzeravatar
heisenberg
Beiträge: 945
Registriert: 04.06.2015 01:17:27

Re: VPN und IPTABLES

Beitrag von heisenberg » 10.05.2017 09:20:50

Ich habe das zwar selbst noch nicht so oft verwendet, aber mit iproute2(Befehle ip route und ip rule) kannst Du für verschiedene Quell-IP-Adressen verschiedene Routen setzen.

D. h. im Zusammenhang mit einer festen IP des FireTV ist das eine mögliche Lösung.

Benutzeravatar
orcape
Beiträge: 1305
Registriert: 07.11.2008 18:37:24
Wohnort: 12°10'08,01"E / 50°36'28,15"N
Kontaktdaten:

Re: VPN und IPTABLES

Beitrag von orcape » 05.06.2017 14:05:43

Hi,
da Du mit Fritzbox und nachgeschalteter Firewall eigentlich eine Routerkaskade mit 2 separaten Netzen (192.168.1.0/192.168.178.0) betreibst, würde ich einfach den auf der Firewall terminierten OpenVPN-Client nur für alles nutzen, was an privatem, über VPN zu sichernden Hardware vorhanden ist. Was hindert Dich daran, z.B. die FireTV BOX ins Netz der Fritte zu stellen, die dann noch nicht einmal mitbekommt, das es einen VPN-Service gibt.
Somit hättest Du, die für Dein Sicherheitsverlangen beste Lösung, in der Hoffnung, das auf Deinen VPN-Provider Verlass ist. ;-)
Gruß orcape

Antworten

Wer ist online?

Mitglieder in diesem Forum: 0 Mitglieder und 1 Gast