使用 iptables 设置防火墙以仅允许 VPN

Question

我正在使用带有 openVPN 的 IPredator VPN，我想确保如果连接断开，我不会在没有 VPN 的情况下从互联网提交数据。我听说我可以用 iptables 和一个范围来做到这一点。我怎样才能做到这一点？以及如何找出我的 VPN 分配给我的 IP 范围？

Answer 1

在开始您的 VPN 之前，请复制netstat -rn和ifconfig -a。启动您的 VPN，这两个命令的不同之处将告诉您 VPN 在路由方面创建了哪些网络，以及您被分配了哪些 IP 以获得这些网络的可见性。您还需要获取提供 VPN 的服务器的 IP（否则到VPN 服务器的流量将无法到达）。我还假设您的 VPN 服务器使用udp而不是tcp，如果确实使用，tcp您将需要更新第二条规则以反映这一点。

一旦你有了这些，你就可以OUTPUT在 iptables 中添加规则来设置你的主机可以看到的内容

 iptables -F OUTPUT
 iptables -I OUTPUT -d VPNSERVER -p udp -j ACCEPT -m comment --comment "Allow traffic to VPN SERVER"
 iptables -I OUTPUT -s VPNIP -d VPNNETWORK/CIDR -j ACCEPT -m comment --comment "Allow all traffic to VPN newtork"
 iptables -I OUTPUT -j DROP -m comment --comment "Drop all other traffic"

iptables -F OUTPUT 刷新您现有的规则，请注意这一点，但需要执行您最初提出的问题。

VPNSERVER将是您的 vpn 服务器的 ip。 VPNIP将是 VPN 分配给您的 IP。 VPNNETWORK/CIDR将是出现在netstat -rn类似的路由网络10.1.0.0/24

在调试这些规则时，记录正在删除的内容可能很方便，因为某些协议可能需要一些额外的按摩：

 iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables-Dropped: " --log-level 4 

这应该足以阻止OUTBOUND从您的 PC 到 Internet 的流量，并且只允许到 VPN 服务器及其提供的网络的流量。

该任择议定书指出，Arch Linux的不与船舶netstat或ifconfig。在这种情况下，替代方案是：

ip addr show将向您显示接口并ip route show显示您拥有的路由。