OpenVPN CLI 用于终止开关或连接回退预防

Question 1

您应该能够通过设置具有更高度量的黑洞规则来做到这一点：对于每个路由规则，您希望添加一个具有较低优先级（较高度量）的重复路由，当 OpenVPN 的路由被拆除时，该路由将保留在原处。该附加路线是blackhole,prohibit或unreachable路线。

您应该能够通过以下方式做到这一点：

#!/bin/sh
set -e
ip route replace blackhole "$ifconfig_local/$ifconfig_netmask"

i=1
while true; do
  route_network_i="$(eval echo \$route_network_$i)"
  route_netmask_i="$(eval echo \$route_netmask_$i)"
  route_metric_i="$(eval echo \$route_metric_$i)"
  if [ -z "$route_network_i" ]; then
    break
  fi
  ip route replace blackhole "$route_network_i"/"$route_netmask_i" metric $(( $route_metric_i + 1 ))
  i=$(( $i + 1 )
done

Answer

您应该能够通过设置具有更高度量的黑洞规则来做到这一点：对于每个路由规则，您希望添加一个具有较低优先级（较高度量）的重复路由，当 OpenVPN 的路由被拆除时，该路由将保留在原处。该附加路线是blackhole,prohibit或unreachable路线。

您应该能够通过以下方式做到这一点：

#!/bin/sh
set -e
ip route replace blackhole "$ifconfig_local/$ifconfig_netmask"

i=1
while true; do
  route_network_i="$(eval echo \$route_network_$i)"
  route_netmask_i="$(eval echo \$route_netmask_$i)"
  route_metric_i="$(eval echo \$route_metric_$i)"
  if [ -z "$route_network_i" ]; then
    break
  fi
  ip route replace blackhole "$route_network_i"/"$route_netmask_i" metric $(( $route_metric_i + 1 ))
  i=$(( $i + 1 )
done

Question 2

当保护 VPN 隧道免遭泄漏时，最好避免 VPN 客户端尝试自行管理的机制。在大多数情况下，这意味着您应该使用iptables或nft来代替ip route，因为 OpenVPN 以多种方式操纵后者。

以下是一种防泄漏方法，可以阻止除发往隧道设备和 OpenVPN 链路本身的任何流量之外的所有流量 - 无论如何配置路由。

首先，添加一个供 VPN 客户端使用的特殊组（如果您愿意，您可以选择其他组名称，只要它尚未被系统上的其他用户或程序使用即可）：

sudo groupadd -r -f tunnel

然后是需要root在每次系统启动时或 VPN 启动之前运行的防火墙规则：

#!/bin/sh
iptables -F OUTPUT
iptables -P OUTPUT DROP
iptables -A OUTPUT -p all -m owner --gid-owner tunnel -j ACCEPT
iptables -A OUTPUT -o tun+ -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

请注意，组 ID“tunnel”是网络访问的条件，就像将隧道设备“tun+”作为输出一样。如果您的 openvpn 配置使用tap设备，则可以指定“tap+”而不是“tun+”。

最后，您可以在特殊组ID下运行VPN客户端：

sudo sg tunnel -c 'openvpn --config /etc/openvpn/gateway.conf --group tunnel'

组名“tunnel”在命令行中指定了两次，因为我们必须确保 openvpn 进程的组 ID 在其初始启动期间和建立连接后均已设置。如果 openvpn 是从 systemd 服务而不是命令行或脚本运行，那么Group=将使用分配而不是sg.

无论 openvpn 是否运行，上述技术都应该在 iptables 规则处于活动状态时保护您免受 Clearnet 泄漏。这包括数据和 DNS 数据包。并且OUTPUT链的策略可以用作开关来有效地打开或关闭规则（使用DROP或ACCEPT）。

Answer