连接到 VPN 时 Debian iptables 配置错误

Question

我写了一些可以满足你的基本需求的规则：

*filter

-N CM_REJECT
-A CM_REJECT -p tcp -j REJECT --reject-with tcp-reset
-A CM_REJECT -p udp -j REJECT --reject-with icmp-port-unreachable
-A CM_REJECT -j REJECT --reject-with icmp-proto-unreachable

-N TCP
-A TCP -p tcp --syn -j ACCEPT
-A TCP -g CM_REJECT

-P FORWARD DROP

-N NEW

-N FWD_OUT
-A FWD_OUT -o tun0 -j ACCEPT
-A FWD_OUT -o eno1 -j ACCEPT

-N FWD_IN
-A FWD_IN -i enp3s0 -g FWD_OUT
-A FWD_IN -i enp4s0 -g FWD_OUT

-A NEW -s 10.0.1.0/24 -j FWD_IN

# rules for wan-to-lan port forwarding begin #

-N FWDPS
-A FWDPS -p udp --dport 4134 -d 10.0.1.2 -j ACCEPT
-A FWDPS -p udp --dport 1022 -d 10.0.1.2 -j ACCEPT
-A FWDPS -p tcp --dport 1022 -d 10.0.1.2 -g TCP

-N LAN
-A LAN -o enp3s0 -g FWDPS
-A LAN -o enp4s0 -g FWDPS

-A NEW -i eno1 -j LAN

# rules for wan-to-lan port forwarding end #

# Maybe? The -j in NEW (instead of -g) are for this btw.
#-A NEW -g CM_REJECT

-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m conntrack --ctstate NEW -g NEW

COMMIT

*nat

-N DNS_SERVER
-A DNS_SERVER -j DNAT --to-destination 8.8.8.8

-N DNS
-A DNS -p udp --dport 53 -g DNS_SERVER
-A DNS -p tcp --dport 53 -g DNS_SERVER

-A PREROUTING -d 10.0.1.1 -g DNS

# rules for wan-to-lan port forwarding begin #

-N FWDDST_A
-A FWDDST_A -j DNAT --to-destination 10.0.1.2

-N FWDPS
-A FWDPS -p udp --dport 4134 -g FWDDST_A
-A FWDPS -p udp --dport 1022 -g FWDDST_A
-A FWDPS -p tcp --dport 1022 -g FWDDST_A

-A PREROUTING -d 10.0.0.140 -g FWDPS

# rules for wan-to-lan port forwarding end #

-N MASQ
-A MASQ -o eno1 -j SNAT --to-source 10.0.0.140
-A MASQ -o tun0 -j MASQUERADE

-A POSTROUTING -s 10.0.1.0/24 -g MASQ

COMMIT

表中的规则filter应允许源 IP 在10.0.1.0/24通过任一 LAN 接口进入的范围内的流量通过 WAN 接口或 VPN 隧道出去。回复流量也将被允许。其他转发流量将被丢弃。（请注意，这里不涉及输入和输出流量，因为它们与“路由器”工作无关。）

表中已完成 NAT（过载）（也仅针对源 IP 在范围内的流量10.0.1.0/24）nat。SNAT选择为，eno1因为 WAN IP 被认为是静态的。MASQUERADE选择为，tun0因为 VPN IP 被认为是动态的。

我还编写了规则，将以路由器为目标的 DNS 请求（更准确地说，是到 tcp/udp 端口 53 的流量）转发到真正的 DNS 服务器。您可能想要或不需要它们。（您可以改为使用 dnsmasq 在 DNS 级别执行此操作。不过，您的配置对我来说似乎有点不对劲。）

更新：已添加处理您显然需要的端口转发的规则；除非此路由器 ( ) 不是目标主机的默认网关，否则您无需对这些流量执行SNAT/ 。另请注意，如果您需要在路由器连接到 VPN 时使端口转发工作，则可能需要执行策略路由 ( )，否则来自主机的回复将被路由到隧道中。MASQUERADE10.0.1.1fwmark

边注：在我看来，您可能想要创建一个桥并创建enp3s0和enp4s0其端口。在这种情况下，您应该放弃FWD_IN链和LAN链（并制定规则，使-g它们-g成为下一个链，即和FWD_OUT；FWDPS应该在之前添加-i/匹配）。-o $bridge_name-g

更新 2：以下规则适用于INPUT链。将它们插入到第一个COMMIT或之前-P FORWARD DROP：

-P INPUT DROP

-N DNS
-A DNS -p udp --dport 53 -j ACCEPT
-A DNS -p tcp --dport 53 -g TCP

-N DHCP
# Shouldn't need 68 here
-A DHCP -p udp --dport 67 -j ACCEPT

-N SSH
-A SSH -p tcp --dport 22 -j ACCEPT

# This chain is intentionally created with -j rules instead of -g rules
-N MYJOBS
# Irrelevant to the requests that are being forwarded by the DNAT rules
#-A MYJOBS -j DNS
-A MYJOBS -j SSH
-A MYJOBS -j DHCP

-N MYPORTS
-A MYPORTS -i lo -j ACCEPT
-A MYPORTS -i eno1 -j SSH
-A MYPORTS -i enp3s0 -j MYJOBS
-A MYPORTS -i enp4s0 -j MYJOBS

# Maybe?
#-A MYPORTS -p icmp -j ACCEPT
#-A MYPORTS -g CM_REJECT

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m conntrack --ctstate NEW -g MYPORTS

顺便说一句，除了匹配之外，您还可以在链中添加-s和/或-d匹配规则。但不确定它们有多重要。同样，如果这些规则是同一桥的桥端口，则可以用规则替换它们。MYPORTS-ienp{3,4}s0$bridge_name

Answer 1

我写了一些可以满足你的基本需求的规则：

*filter

-N CM_REJECT
-A CM_REJECT -p tcp -j REJECT --reject-with tcp-reset
-A CM_REJECT -p udp -j REJECT --reject-with icmp-port-unreachable
-A CM_REJECT -j REJECT --reject-with icmp-proto-unreachable

-N TCP
-A TCP -p tcp --syn -j ACCEPT
-A TCP -g CM_REJECT

-P FORWARD DROP

-N NEW

-N FWD_OUT
-A FWD_OUT -o tun0 -j ACCEPT
-A FWD_OUT -o eno1 -j ACCEPT

-N FWD_IN
-A FWD_IN -i enp3s0 -g FWD_OUT
-A FWD_IN -i enp4s0 -g FWD_OUT

-A NEW -s 10.0.1.0/24 -j FWD_IN

# rules for wan-to-lan port forwarding begin #

-N FWDPS
-A FWDPS -p udp --dport 4134 -d 10.0.1.2 -j ACCEPT
-A FWDPS -p udp --dport 1022 -d 10.0.1.2 -j ACCEPT
-A FWDPS -p tcp --dport 1022 -d 10.0.1.2 -g TCP

-N LAN
-A LAN -o enp3s0 -g FWDPS
-A LAN -o enp4s0 -g FWDPS

-A NEW -i eno1 -j LAN

# rules for wan-to-lan port forwarding end #

# Maybe? The -j in NEW (instead of -g) are for this btw.
#-A NEW -g CM_REJECT

-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m conntrack --ctstate NEW -g NEW

COMMIT

*nat

-N DNS_SERVER
-A DNS_SERVER -j DNAT --to-destination 8.8.8.8

-N DNS
-A DNS -p udp --dport 53 -g DNS_SERVER
-A DNS -p tcp --dport 53 -g DNS_SERVER

-A PREROUTING -d 10.0.1.1 -g DNS

# rules for wan-to-lan port forwarding begin #

-N FWDDST_A
-A FWDDST_A -j DNAT --to-destination 10.0.1.2

-N FWDPS
-A FWDPS -p udp --dport 4134 -g FWDDST_A
-A FWDPS -p udp --dport 1022 -g FWDDST_A
-A FWDPS -p tcp --dport 1022 -g FWDDST_A

-A PREROUTING -d 10.0.0.140 -g FWDPS

# rules for wan-to-lan port forwarding end #

-N MASQ
-A MASQ -o eno1 -j SNAT --to-source 10.0.0.140
-A MASQ -o tun0 -j MASQUERADE

-A POSTROUTING -s 10.0.1.0/24 -g MASQ

COMMIT

表中的规则filter应允许源 IP 在10.0.1.0/24通过任一 LAN 接口进入的范围内的流量通过 WAN 接口或 VPN 隧道出去。回复流量也将被允许。其他转发流量将被丢弃。（请注意，这里不涉及输入和输出流量，因为它们与“路由器”工作无关。）

表中已完成 NAT（过载）（也仅针对源 IP 在范围内的流量10.0.1.0/24）nat。SNAT选择为，eno1因为 WAN IP 被认为是静态的。MASQUERADE选择为，tun0因为 VPN IP 被认为是动态的。

我还编写了规则，将以路由器为目标的 DNS 请求（更准确地说，是到 tcp/udp 端口 53 的流量）转发到真正的 DNS 服务器。您可能想要或不需要它们。（您可以改为使用 dnsmasq 在 DNS 级别执行此操作。不过，您的配置对我来说似乎有点不对劲。）

更新：已添加处理您显然需要的端口转发的规则；除非此路由器 ( ) 不是目标主机的默认网关，否则您无需对这些流量执行SNAT/ 。另请注意，如果您需要在路由器连接到 VPN 时使端口转发工作，则可能需要执行策略路由 ( )，否则来自主机的回复将被路由到隧道中。MASQUERADE10.0.1.1fwmark

边注：在我看来，您可能想要创建一个桥并创建enp3s0和enp4s0其端口。在这种情况下，您应该放弃FWD_IN链和LAN链（并制定规则，使-g它们-g成为下一个链，即和FWD_OUT；FWDPS应该在之前添加-i/匹配）。-o $bridge_name-g

更新 2：以下规则适用于INPUT链。将它们插入到第一个COMMIT或之前-P FORWARD DROP：

-P INPUT DROP

-N DNS
-A DNS -p udp --dport 53 -j ACCEPT
-A DNS -p tcp --dport 53 -g TCP

-N DHCP
# Shouldn't need 68 here
-A DHCP -p udp --dport 67 -j ACCEPT

-N SSH
-A SSH -p tcp --dport 22 -j ACCEPT

# This chain is intentionally created with -j rules instead of -g rules
-N MYJOBS
# Irrelevant to the requests that are being forwarded by the DNAT rules
#-A MYJOBS -j DNS
-A MYJOBS -j SSH
-A MYJOBS -j DHCP

-N MYPORTS
-A MYPORTS -i lo -j ACCEPT
-A MYPORTS -i eno1 -j SSH
-A MYPORTS -i enp3s0 -j MYJOBS
-A MYPORTS -i enp4s0 -j MYJOBS

# Maybe?
#-A MYPORTS -p icmp -j ACCEPT
#-A MYPORTS -g CM_REJECT

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m conntrack --ctstate NEW -g MYPORTS

顺便说一句，除了匹配之外，您还可以在链中添加-s和/或-d匹配规则。但不确定它们有多重要。同样，如果这些规则是同一桥的桥端口，则可以用规则替换它们。MYPORTS-ienp{3,4}s0$bridge_name

连接到 VPN 时 Debian iptables 配置错误

总结

我的目标

我目前所做的

问题

我的问题

iptables

DNSMasq

路由表

跟踪路由

我使用的资源

答案1

相关内容