如何在 Debian 中使用 OpenVPN 正确（安全）地断开/连接到 VPN？

Question 1

一种安全且简单的方法是使用，iptables因为它甚至可以在 tun 设备可用之前和之后工作。

openvpn_if=tun0
vpn_only_addresses=(192.168.123.4 10.1.2.3)
for ip in "${vpn_only_addresses[@]}"; do
    iptables -A OUTPUT -d "$ip" -o "$openvpn_if" -j ACCEPT
    iptables -A OUTPUT -d "$ip" -j DROP
done

也许可以通过高级路由来完成类似的事情。ip rule即使接口不存在，也许也可以使用输出接口规则。但这比 Netfilter 解决方案更复杂。

Answer

一种安全且简单的方法是使用，iptables因为它甚至可以在 tun 设备可用之前和之后工作。

openvpn_if=tun0
vpn_only_addresses=(192.168.123.4 10.1.2.3)
for ip in "${vpn_only_addresses[@]}"; do
    iptables -A OUTPUT -d "$ip" -o "$openvpn_if" -j ACCEPT
    iptables -A OUTPUT -d "$ip" -j DROP
done

也许可以通过高级路由来完成类似的事情。ip rule即使接口不存在，也许也可以使用输出接口规则。但这比 Netfilter 解决方案更复杂。

Question 2

如何安全连接到 openvpn？

来自 openvpn 文档：

使用下载的客户端配置文件运行 OpenVPN 客户端：

通常，安装 OpenVPN 客户端的最简单方法是使用 --config 参数来指定下载的客户端配置文件的位置：

openvpn --config client.ovpn

您可以使用该--daemon选项来运行 openvpn背景作为一个守护进程根据openvpn 联机帮助页：

--daemon [progname]

所有初始化功能完成后成为守护进程。此选项将导致所有消息和错误输出发送到 syslog 文件（例如 /var/log/messages），但脚本和 ifconfig 命令的输出除外，除非另有重定向，否则这些输出将发送到 /dev/null。系统日志重定向会在命令行上解析 --daemon 时立即发生，即使守护进程点稍后发生。如果存在 --log 选项之一，它将取代系统日志重定向。

openvpn --config client.ovpn --daemon

如何安全地断开openvpn？

根据手册页和官方文档openvpn 接受SIGINIT并发出允许安全退出的SIGTERM信号。openvn

SIGINT，SIGTERM 导致 OpenVPN 正常退出。

Answer