Firewall *nix: iptables, ipfw, pf etc... - [29] :: В помощь системному администратору

Цитата:

а что не работает-то?)

Так в том то и дело, что работает больше чем нужно.
Я наверное непонятно описал свою задачу. мне нужно ЗАПРЕТИТЬ доступ части (всем кроме 10.20.30.0/28) в локальные сети 192.168.3.0/24, 192.168.1.0/24, 192.168.6.0/24, которые находятся за WG-Клиентами (10.20.30.3, 10.20.30.4 и 10.20.30.49).
Ранее я это всегда делал следующим образом:
1. iptables -A FORWARD -i %i -o %i -s 10.20.30.0/24 -d 10.20.30.0/24 -j DROP
2. iptables -I FORWARD 1 -i %i -o %i -s 10.20.30.0/28 -d 10.20.30.0/28 -j ACCEPT

Но после того как я решил добавить ещё WG External обычная блокировка мешала работе клиентов с WG External подключением.

Но похоже с Вашей помощью я победил проблему. Правда не совсем понимаю как это работает (хотя работает). Сейчас всё опишу ниже

Добавлено:
Вот поднятия вверх ещё и плавила блокировки трафика в локальную сеть 192.168.0.0/16 помогло

Код:

iptables -I FORWARD 1 -i %i -o %i -s 10.20.30.0/24 -d 192.168.0.0/16 -j DROP

В итоге имею:

Код:

-A FORWARD -s 192.168.6.0/24 -d 10.20.30.49/32 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 10.20.30.49/32 -d 192.168.6.0/24 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 192.168.6.0/24 -d 10.20.30.0/28 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 10.20.30.0/28 -d 192.168.6.0/24 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -d 10.20.30.0/28 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 10.20.30.0/28 -d 192.168.1.0/24 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 192.168.3.0/24 -d 10.20.30.0/28 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 10.20.30.0/28 -d 192.168.3.0/24 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 10.20.30.0/28 -d 10.20.30.0/28 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 10.20.30.0/24 -d 192.168.0.0/16 -i wg-internal -o wg-internal -j DROP
-A FORWARD -s 10.20.30.0/24 -d 10.20.30.0/24 -i wg-internal -o wg-internal -j DROP
-A FORWARD -s 10.20.30.0/24 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -d 10.20.30.0/24 -i wg-internal -o wg-internal -j ACCEPT
-A FORWARD -s 10.20.30.0/24 -i wg-internal -o ens3 -j ACCEPT
-A FORWARD -d 10.20.30.0/24 -i ens3 -o wg-internal -j ACCEPT

Такой вид таблицы получилось достичь следующим набором правил в конфигурации сервера wg

Код:

PostUp = sysctl -w -q net.ipv4.ip_forward=1
PostDown = sysctl -w -q net.ipv4.ip_forward=0

PostUp = sysctl -w -q net.ipv6.conf.all.forwarding=1
PostDown = sysctl -w -q net.ipv6.conf.all.forwarding=0
PostUp = ip6tables -t nat -I POSTROUTING -o ens3 -j MASQUERADE
PostDown = ip6tables -t nat -D POSTROUTING -o ens3 -j MASQUERADE

PostUp = iptables -t nat -A POSTROUTING -o `ip route | awk '/default/ {print $5; exit}'` -j MASQUERADE
PostUp = ip rule add from `ip addr show $(ip route | awk '/default/ { print $5 }') | grep "inet" | grep -v "inet6" | head -n 1 | awk '/inet/ {print $2}' | awk -F/ '{prin>
PostDown = iptables -t nat -D POSTROUTING -o `ip route | awk '/default/ {print $5; exit}'` -j MASQUERADE
PostDown = ip rule del from `ip addr show $(ip route | awk '/default/ { print $5 }') | grep "inet" | grep -v "inet6" | head -n 1 | awk '/inet/ {print $2}' | awk -F/ '{pr>

#PostUp = iptables -A FORWARD -i %i -o %i -j ACCEPT
#PostDown = iptables -D FORWARD -i %i -o %i -j ACCEPT

#Интернет в мир
PostUp = iptables -A FORWARD -i wg-internal -o wg-internal -s 10.20.30.0/24 -j ACCEPT
PostUp = iptables -A FORWARD -i wg-internal -o wg-internal -d 10.20.30.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -i wg-internal -o wg-internal -s 10.20.30.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -i wg-internal -o wg-internal -d 10.20.30.0/24 -j ACCEPT

##Запрет трафика между клиентами
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 10.20.30.0/24 -d 10.20.30.0/24 -j DROP
PostDown = iptables -D FORWARD -i %i -o %i -s 10.20.30.0/24 -d 10.20.30.0/24 -j DROP

PostUp = iptables -I FORWARD 1 -i %i -o %i -s 10.20.30.0/24 -d 192.168.0.0/16 -j DROP
PostDown = iptables -D FORWARD -i %i -o %i -s 10.20.30.0/24 -d 192.168.0.0/16 -j DROP

#Разрешение трафика для меня
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 10.20.30.0/28 -d 10.20.30.0/28 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o %i -s 10.20.30.0/28 -d 10.20.30.0/28 -j ACCEPT
PostUp = iptables -I INPUT 2 -s 10.20.30.0/28 -p tcp --dport 80 -j ACCEPT
PostDown = iptables -D INPUT -s 10.20.30.0/28 -p tcp --dport 80 -j ACCEPT
##Мои VPN в деревню
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 10.20.30.0/28 -d 192.168.3.0/24 -j ACCEPT
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 192.168.3.0/24 -d 10.20.30.0/28 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o %i -s 10.20.30.0/28 -d 192.168.3.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o %i -s 192.168.3.0/24 -d 10.20.30.0/28 -j ACCEPT
#Мои VPN в город
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 10.20.30.0/28 -d 192.168.1.0/24 -j ACCEPT
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 192.168.1.0/24 -d 10.20.30.0/28 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o %i -s 10.20.30.0/28 -d 192.168.1.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o %i -s 192.168.1.0/24 -d 10.20.30.0/28 -j ACCEPT
#Мои VPN в офис
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 10.20.30.0/28 -d 192.168.6.0/24 -j ACCEPT
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 192.168.6.0/24 -d 10.20.30.0/28 -j ACCEPT
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 10.20.30.49/32 -d 192.168.6.0/24 -j ACCEPT
PostUp = iptables -I FORWARD 1 -i %i -o %i -s 192.168.6.0/24 -d 10.20.30.49/32 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o %i -s 10.20.30.0/28 -d 192.168.6.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o %i -s 192.168.6.0/24 -d 10.20.30.0/28 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o %i -s 10.20.30.49/32 -d 192.168.6.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o %i -s 192.168.6.0/24 -d 10.20.30.49/32 -j ACCEPT

########################################################################################################
#Трафик для всех
PostUp = iptables -I INPUT 2 -s 10.20.30.0/24 -p tcp --dport 53 -j ACCEPT
PostUp = iptables -I INPUT 2 -s 10.20.30.0/24 -p udp --dport 53 -j ACCEPT
PostUp = iptables -I INPUT 2 -s 10.20.30.0/24 -p tcp --dport 5201 -j ACCEPT
PostDown = iptables -D INPUT -s 10.20.30.0/24 -p tcp --dport 53 -j ACCEPT
PostDown = iptables -D INPUT -s 10.20.30.0/24 -p udp --dport 53 -j ACCEPT
PostDown = iptables -D INPUT -s 10.20.30.0/24 -p tcp --dport 5201 -j ACCEPT
PostUp = iptables -A INPUT -i %i -p icmp --icmp-type echo-request -j ACCEPT
PostDown = iptables -D INPUT -i %i -p icmp --icmp-type echo-request -j ACCEPT

PostUp = iptables -A FORWARD -i %i -o ens3 -s 10.20.30.0/24 -j ACCEPT
PostUp = iptables -A FORWARD -i ens3 -o %i -d 10.20.30.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -i %i -o ens3 -s 10.20.30.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -i ens3 -o %i -d 10.20.30.0/24 -j ACCEPT

#Тестовый пир
[Peer]
PublicKey =
AllowedIPs = 10.20.30.45/32, fd07:cab1:4eff::45/128

#external node
[Peer]
PublicKey =
AllowedIPs = 10.20.30.10/32, fd07:cab1:4eff::10/128, 0.0.0.0/0

[Peer]
#igor mobile
PublicKey =
AllowedIPs = 10.20.30.2/32, fd07:cab1:4eff::2/128

[Peer]
#Derevnya
PublicKey =
AllowedIPs = 10.20.30.3/32, 192.168.3.0/24

[Peer]
#igor home
PublicKey =
AllowedIPs = 10.20.30.4/32, 192.168.1.0/24

[Peer]
PublicKey =
AllowedIPs = 10.20.30.49/32, 192.168.6.0/24

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR
Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30