VPN Kill Switch
-
- Beiträge: 4
- Registriert: 23.12.2016 13:11:29
VPN Kill Switch
Hi, wenn ein Abbruch der VPN Verbindung eintritt, wie kann man dann ein Leak verhindern? Unter Windows gibt es ja zahlreiche Programme die das übernehmen können (vpnnetmon z.b.) oder der vom VPN-Anbieter bereitgestellte Client. Aber wie am besten bei Debian? Hab openvpn drauf.
- heisenberg
- Beiträge: 3566
- Registriert: 04.06.2015 01:17:27
- Lizenz eigener Beiträge: MIT Lizenz
Re: VPN Kill Switch
Was meinst Du mit Leck?
Ich gehe mal davon aus, dass Du möchtest, dass die VPN-Verbindung nach einer Trennung automatisch wieder neu gestartet werden soll.
Die primäre Diensteverwaltung bei der aktuellen Debianversion heisst systemctl. Das automatische neustarten vom VPN-Dienst ist vorgesehen und braucht nur für Deine jeweiligen VPNs aktiviert werden.
Das geht so:
Jetzt kannst Du noch schauen, ob dieser OpenVPN auch wirklich läuft und ggf. Protokollmeldungen dazu anschauen mit:
...und was hat es denn mit diesem "Kill-Switch" auf sich, der im Betreff des Beitrages steht?
Ich gehe mal davon aus, dass Du möchtest, dass die VPN-Verbindung nach einer Trennung automatisch wieder neu gestartet werden soll.
Die primäre Diensteverwaltung bei der aktuellen Debianversion heisst systemctl. Das automatische neustarten vom VPN-Dienst ist vorgesehen und braucht nur für Deine jeweiligen VPNs aktiviert werden.
Das geht so:
- Eine Konfiguration anlegen z. B. /etc/openvpn/meins.conf
- Den Dienst aktivieren mit systemctl enable openvpn@meins.service
- Den Dienst starten mit systemctl start openvpn@meins.service
Jetzt kannst Du noch schauen, ob dieser OpenVPN auch wirklich läuft und ggf. Protokollmeldungen dazu anschauen mit:
Code: Alles auswählen
systemctl status openvpn@meins.service
Jede Rohheit hat ihren Ursprung in einer Schwäche.
-
- Beiträge: 4
- Registriert: 23.12.2016 13:11:29
Re: VPN Kill Switch
Ok mein Fehler, hab mich nicht präzise genug ausgedrückt.
Ich meinte das so: wenn ich mit dem VPN verbunden bin und plötzlich die VPN Verbindung abbricht (warum auch immer) dann wäre ich ja "nackig".
Ich würde in dem Moment ja mit meiner realen IP surfen oder Programme kommunizieren mit der echten IP im Internet.
Für solch einen Fall hätte ich gern eine Art "Kill Switch" der das verhindert! Mit der ufw Firewall könnte man das wohl realisieren oder gibt noch ne bessere Lösung?
Gruß blademaster177
![Very Happy :D](./images/smilies/icon_biggrin.gif)
Ich meinte das so: wenn ich mit dem VPN verbunden bin und plötzlich die VPN Verbindung abbricht (warum auch immer) dann wäre ich ja "nackig".
Ich würde in dem Moment ja mit meiner realen IP surfen oder Programme kommunizieren mit der echten IP im Internet.
Für solch einen Fall hätte ich gern eine Art "Kill Switch" der das verhindert! Mit der ufw Firewall könnte man das wohl realisieren oder gibt noch ne bessere Lösung?
Gruß blademaster177
Re: VPN Kill Switch
VPN ist keine Anonymisierung. Ob du mit deiner "realen" IP-Adresse surfst oder mit der IP-Adresse des VPN-Endpunkts, ist egal. Wenn nötig, bist du zurück verfolgbar.blademaster177 hat geschrieben:Ich würde in dem Moment ja mit meiner realen IP surfen oder Programme kommunizieren mit der echten IP im Internet.
-
- Beiträge: 34
- Registriert: 06.01.2017 05:41:47
Re: VPN Kill Switch
Du möchtest also, dass jeglicher (ausgehender) Traffic deines Rechners ausschließlich übers VPN geht? Ich habe das auf meinem Rechner mit iptables gelöst. Nämlich so:
Die erste Zeile erlaubt dem Rechner, sich mit dem VPN-Server übers herkömmliche Interface auf dem UDP-Port 20000 zu verbinden.
Die zweite Zeile erlaubt alle Pakete, die über den VPN-Tunnel (das Output-Interface tun0) gehen.
Die dritte Zeile verwirfte alle übrigen Pakete, die über OUTPUT gehen.
Das Tunnel-Interface tun0 kann bei dir natürlich anders heißen.
speichert die angelegten Regeln dann und kann über wieder eingelesen werden.
Dabei bin ich von einer leeren Regelliste für OUTPUT und ausgeschaltetem Forwarding ausgegangen, wenn iptables noch anderweitig genutzt wird, müssen die Regeln halt passend eingebaut oder modifiziert werden.
Code: Alles auswählen
iptables -A OUTPUT -d (ip_des_vpn_servers) -p udp --dport 20000 -j ACCEPT
iptables -A OUTPUT -o tun0 -j ACCEPT
iptables -A OUTPUT -j DROP
Die zweite Zeile erlaubt alle Pakete, die über den VPN-Tunnel (das Output-Interface tun0) gehen.
Die dritte Zeile verwirfte alle übrigen Pakete, die über OUTPUT gehen.
Das Tunnel-Interface tun0 kann bei dir natürlich anders heißen.
Code: Alles auswählen
iptables-save > iptables.rules
Code: Alles auswählen
iptables-restore < iptables.rules
Dabei bin ich von einer leeren Regelliste für OUTPUT und ausgeschaltetem Forwarding ausgegangen, wenn iptables noch anderweitig genutzt wird, müssen die Regeln halt passend eingebaut oder modifiziert werden.
-
- Beiträge: 34
- Registriert: 06.01.2017 05:41:47
Re: VPN Kill Switch
Interessant ist in diesem Zusammenhang auch noch der IPv6-Traffic. Der lässt sich über ip6tables kontrollieren. Z.B. so:
.
Wenn sowieso nur IPv4 genutzt wird, kann er abgeschaltet werden.
Code: Alles auswählen
ip6tables -P OUTPUT DROP
Wenn sowieso nur IPv4 genutzt wird, kann er abgeschaltet werden.