Wird die ausgehende Verbindung von einem OpenVPN-Client zu einem LAN hinter einem OpenVPN-Server vom Serverkernel weitergeleitet?

Question

Der Datenverkehr zwischen dem VPN und dem Rest des Netzwerks läuft natürlich über tun0. Für diesen Datenverkehr FORWARDwird wie üblich die Kette konsultiert und Sie können steuern, wer sich wo verbinden kann. Wenn ip_forwardnicht aktiviert ist, wird der Datenverkehr nicht weitergeleitet.

Wenn client-to-clientnicht verwendet wird, verwendet der Datenverkehr zwischen den Clients den gleichen Pfad: Er erscheint in der tun0Schnittstelle des Server-Betriebssystems, wird mithilfe der Routing-Tabelle des Betriebssystems richtig geroutet, durchquert die Firewall und der einzige Unterschied besteht darin, dass entschieden wird, dass das Ziel hinter liegt tun0, sodass das Paket dort ausgegeben wird.

Dies ist nicht sehr effizient, da sich der OpenVPN-Prozess im Benutzerbereich befindet, während sich tun0 im Kernelbereich befindet und dies zu mindestens zwei Kontextänderungen für jedes Paket führt.

Wenn client-to-clientjedoch verwendet wird, erscheinen Pakete zwischen Clients nicht auf tun0, und die Firewall- FORWARDKette des Servers wird nicht konsultiert und die ip_forwardSteuerung beeinflusst ihre Weiterleitung nicht. Der OpenVPN-Prozess selbst wird zu einem Router mit eigener Routing-Tabelle, unabhängig vom Host-Betriebssystem. Sie können es mit dem statusBefehl der Verwaltungsschnittstelle anzeigen oder in die Statusdatei übertragen. Sie können Routen innerhalb dieses „Routers“ mit der Direktive steuern (ich glaube, das steht für „interne Route“), die nur in der Datei des Clients oder in der per Skript generierten dynamischen Konfiguration iproutegültig ist .client-config-dir

Am einfachsten ist es, VPN nicht als etwas Besonderes zu betrachten. Sobald der Tunnel eingerichtet ist, vergessen Sie ihn. Er ist jetzt nur noch eine zusätzliche reguläre Schnittstelle in jedem Computer (Server und Clients), wobei alle diese Schnittstellen mit einem normalen, einfachen Router verbunden sind. Und denken Sie an das übliche Routing und die Firewall.

Ich habe endlich bemerkt, dass Sie die Adresse von pingender VPN-Server selbstwenn auch einer anderen Schnittstelle zugewiesen. Dieses Paket istwird nicht weitergeleitetda sein Ziel der Server selbst ist, ip_forwardhat es keinen Einfluss darauf, wie dieses Paket verarbeitet wird, und es durchläuft INPUTdie Firewall-Kette und die Antwort wird durchlaufen OUTPUT(also nicht FORWARDdie Kette, wie es der Fall wäre, wenn sie nicht für das System selbst bestimmt wäre). Das Paket gelangt von dort in das System tun0(und wird dort gesehen), aber Sie werden es nicht auf dem sehen, eth0da es nicht weggeschickt wird. Es wird lokal verarbeitet. Dasselbe gilt für Antworten.

Es ist (für den Routing-bezogenen Code) unerheblich, wo im System die Adresse zugewiesen ist (welche Schnittstelle) oder welche Adresse des Systems Sie für den Zugriff verwenden. Entscheidend ist, ob sie zum System gehört oder nicht.

Das damit verbundene Sicherheitsproblem besteht darin, dass manche Leute glauben, sie könnten den Zugriff auf diesen Dienst über andere Schnittstellen unterbinden, wenn sie den Dienst an eine IP-Adresse binden, die einer bestimmten Schnittstelle zugewiesen ist.Das ist falsch.Wenn andere Systeme, die hinter anderen Schnittstellen liegen, eine Route zu der IP haben, an die der Dienst gebunden ist,sind in der Lageum auf den Dienst zuzugreifen. Dies ist keine korrekte Möglichkeit, den Dienst zu sichern. Eine ordnungsgemäße Firewall-Einrichtung ist erforderlich.

Ein weiteres damit verbundenes Problem ist, dass manche Leute ping -I <local-address> <address-to-ping>oder sogar verwenden ping -I <interface> <address-to-ping>und denken, sie würden direkt auswählen, welche Schnittstellen-Pings gesendet werden. Auch das ist falsch. Auf diese Weise können Sie nur auswählen, welcheQuelladressePings werden vorhanden sein, aber nicht die Schnittstelle, um sie zu senden; die Schnittstelle wird vom Routing-Code streng entsprechend der Routing-Tabelle ausgewählt, die ausschließlich auf der Zieladresse des Pakets basiert (ich gehe davon aus, dass keine VRF- oder RPDB-Einrichtung durchgeführt wurde, aber das ist fortgeschrittenes Zeug und Leute, die es einrichten, kennen diese Funktion sowieso).

Answer 1