ওপেনভিপিএন এর জন্য ইউএফডাব্লু

Question

আমি ওপেনভিপিএন এর জন্য ufw (জটিল ফায়ারওয়াল) কনফিগার করতে চাই।

সংযোগগুলি কেবল ওপেনভিপিএন এর মাধ্যমে অনুমোদিত। অন্য সমস্ত কিছু অবরুদ্ধ করা উচিত। সুতরাং যদি ওপেনভিপিএন সংযোগ বিচ্ছিন্ন হয় -> ইন্টারনেট নেই! আমি এই স্ক্রিপ্টটি অনলাইনে খুঁজে পেয়েছি এবং এটি জানতে চাই যে এটি যথেষ্ট ভাল কিনা। নাকি আমাকে আরও নিয়ম যুক্ত করতে হবে?

#!/bin/bash
###########################################
#          Created by Thomas Butz         #
#   E-Mail: btom1990(at)googlemail.com    #
#  Feel free to copy & share this script  #
###########################################

# Adapt this value to your config!
VPN_DST_PORT=3478

# Don't change anything beyond this point
###########################################

# Check for root priviliges
if [[ $EUID -ne 0 ]]; then
   printf "Please run as root:\nsudo %s\n" "${0}"
   exit 1
fi


# Reset the ufw config
ufw --force reset

# let all incoming traffic pass
ufw default allow incoming
# and block outgoing by default
ufw default deny outgoing

# Every communiction via VPN is considered to be safe
ufw allow out on tun0

# Don't block the creation of the VPN tunnel
ufw allow out $VPN_DST_PORT
# Don't block DNS queries
ufw allow out 53

# Allow local IPv4 connections
ufw allow out to 10.0.0.0/8
ufw allow out to 172.16.0.0/12
ufw allow out to 192.168.0.0/16
# Allow IPv4 local multicasts
ufw allow out to 224.0.0.0/24
ufw allow out to 239.0.0.0/8

# Allow local IPv6 connections
ufw allow out to fe80::/64
# Allow IPv6 link-local multicasts
ufw allow out to ff01::/16
# Allow IPv6 site-local multicasts
ufw allow out to ff02::/16
ufw allow out to ff05::/16

# Enable the firewall
ufw enable

সূত্র: http://pastebin.com/AUHh6KnV

Comments

দেখতে ভাল! চেষ্টা করুন এবং দেখুন এটি কার্যকর হয় কিনা, এটি এমন কোনও সমস্যা রয়েছে যা আপনি সর্বদা ufwব্যবহার করে অক্ষম করতে পারেন sudo ufw disableএবং ফায়ারওয়াল সমস্ত নিয়ম ব্যবহার করে মুছে ফেলতে পারেন sudo ufw --force reset। সম্ভাব্য ভুল গুলো কী কী হতে পারতো? ;-)

— ntninja

আমি সমস্ত আগত ট্র্যাফিকের অনুমতি এড়াতে পারি, কারণ এটিই ওপেনভিপিএনকে কাজ করতে দেয়।

— JVE999

আপনার সর্বদা আগত সংযোগগুলি ডিফল্টরূপে অস্বীকার করা উচিত ...

— n00dl3

এই স্ক্রিপ্টটি ফাইল-শেয়ারিংয়ের উদ্দেশ্যে স্পষ্টভাবে তৈরি। আগত সংযোগগুলি অস্বীকার করা উদ্দেশ্যকে পরাস্ত করে। এটি আপনাকে বাণিজ্যিক ভিপিএন অ্যাপ্লিকেশনগুলির "কিলসুইচ" আচরণ দেয় - বেশি নয়, কমও নয়।

— emk2203

@ emk2203 না, এটি টানেলের বাইরে আগত ট্র্যাফিককে অস্বীকার করে।

— বার্ব্ট

Answer 1

কনফিগারেশন আরও সীমাবদ্ধ হতে পারে

ufw --force reset

ufw default deny incoming # Use the VPN tunnel for all traffic
ufw default deny outgoing

ufw allow out on tun0
ufw allow in on tun0

ufw allow out $port/$protocol # e.g. 1234/udp, depending on your OpenVPN client config

# Prefer resolved hosts to connect to your VPN, enable only if your VPN provider doesn't give you that option
#ufw allow out 53

# Allow local IPv4 connections, enable as needed, set specific IPs or tighter subnet masks if possible
#ufw allow out to 10.0.0.0/8
#ufw allow out to 172.16.0.0/12
#ufw allow out to 192.168.0.0/16
# Allow IPv4 local multicasts
#ufw allow out to 224.0.0.0/24
#ufw allow out to 239.0.0.0/8
# Allow local IPv6 connections
#ufw allow out to fe80::/64
# Allow IPv6 link-local multicasts
#ufw allow out to ff01::/16
# Allow IPv6 site-local multicasts
#ufw allow out to ff02::/16
#ufw allow out to ff05::/16

# Enable the firewall
ufw enable

Comments

এখনও ফায়ারওয়াল লিঙ্গো বোঝার চেষ্টা করছেন, তবে আপনি কি হাইপোটিটিকালি ভিপিএন থেকেtun0 ইনবাউন্ড সংযোগগুলি অবরুদ্ধ করার মাধ্যম হিসাবে প্রবেশ করতে চান না ? হিসাবে হিসাবে , ? ufw deny in on tun0

— ম্যাট

@ ম্যাটবোর্জা যদি আপনি ufw default deny incomingএবং ufw deny in on tun0, আপনি কোনও আগত সংযোগ পাবেন না। কিছু ইন্টারফেসের আগমন ট্র্যাফিকের অনুমতি দেওয়া উচিত, এক্ষেত্রে আমরা এটি ভিপিএন এর হতে চাই tun0।

— বার্ব্ট

আপনি ঠিক বলেছেন, আমি একরকম তা দেখিনি। উপেক্ষা করুন :)

— ম্যাট

আসলে, দেখে মনে হচ্ছে আমি কী "প্রশ্ন" করছিলাম তা ufw allow in on tun0লাইন।

— ম্যাট

Answer 2

দৃ recommend় সুপারিশ হ'ল আপনি এই দুটি কমান্ড ব্যবহার করবেন না :

ufw allow incoming
ufw default allow in on tun0

ফায়ারওয়াল থাকার উদ্দেশ্যকে পরাভূত করা। এটি ভুল যে আপনাকে রিটার্ন প্যাকেটগুলি পাওয়ার জন্য "টিউন 0 ইন টু ইন" দরকার। আপনি কেবল যে সংযোগগুলির জন্য বলেছেন সেগুলিই পেতে চান, সম্পূর্ণ বিশ্বকে আপনার সাথে সংযোগ স্থাপনের বিপরীতে। অনুমতি দেওয়া এগুলি করবে। নীচে প্রস্তাবিত কনফিগারেশন পরীক্ষা করে দেখুন।

ফায়ারওয়ালের সাথে ব্যবহারের জন্য ইউএফডাব্লু কমান্ডের একটি সিরিজের উদাহরণ এখানে:

sudo ufw enable
sudo ufw --force reset
sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out on eth0 to any port 53,1197 proto udp
sudo ufw allow out on wlan0 to any port 53,1197 proto udp
sudo ufw status verbose

উদাহরণ ফলাফল:

Status: active
Logging: on (low)
Default: deny (incoming), deny (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
Anywhere                   ALLOW OUT   Anywhere on tun0          
53,1197/udp                ALLOW OUT   Anywhere on eth0
53,1197/udp                ALLOW OUT   Anywhere on wlan0
Anywhere (v6)              ALLOW OUT   Anywhere (v6) on tun0
53,1197/udp (v6)           ALLOW OUT   Anywhere (v6) on eth0
53,1197/udp (v6)           ALLOW OUT   Anywhere (v6) on wlan0

দ্রষ্টব্য: -আপনার ইন্টারফেসগুলি পৃথক হতে পারে, উদাহরণস্বরূপ উবুন্টু 16.12 eno1 এবং wlp3s0b1 ব্যবহার করে। আপনার প্রকৃত ইন্টারফেসগুলি দেখতে "ifconfig" কমান্ডটি ব্যবহার করুন। -1197 ইউডিপি মোটামুটি ডিফল্ট, তবে আপনার এটি আপনার ভিপিএন (যেমন 443 টিসিপি) এর জন্য পরিবর্তন করতে হতে পারে। -আমি সাধারণত আইপিভি 6 মুছুন (sudo ufw মুছে ফেলুন 4, এক্স 3 পুনরাবৃত্তি করুন)

এটি কী করে: এটি ইথারনেট / ওয়াইফাইতে ভিপিএন টানেল এবং ডিএনএস সংযোগগুলি ব্যতীত সমস্ত কিছু অবরুদ্ধ করার সময় ভিপিএন টানেলের মাধ্যমে আউটবাউন্ড সংযোগের অনুমতি দেয়। ডিএনএস ইস্যুতে নীচে সতর্কতা।

সতর্কতা: এই উদাহরণটি ডিএনএস অনুরোধের জন্য 53 এ ছাড়ার অনুমতি দেয় যাতে ওপেনভিপিএন (যেমন vpn.somevpnprovider.com) আইপি ঠিকানার জন্য অনুরোধ করতে এবং সংযোগ তৈরি করতে পারে। বাণিজ্য বন্ধ হ'ল ডিএনএস ফাঁস হওয়ার সম্ভাবনা। আপনার ভিপিএন সেটিংস আপনার ডিএনএস অনুরোধগুলির টানেলটি নিশ্চিত করতে dnsleaktest.com ব্যবহার করুন। সাবধানী / অদ্ভুততার জন্য, 53 এ ছাড়ুন এবং তার পরিবর্তে আপনার ফায়ারওয়ালটি সংযোগের জন্য টগল করুন, তারপরে একবার সংযুক্ত হয়ে ফিরে যান। আমার ভিপিএন কারণে, আমি এটি না করা বেছে নিই যেহেতু আমি সম্ভবত ফায়ারওয়াল পুরোপুরি ভুলে যাব (উদাঃ ডিএনএস ফাঁস হয়ে যাবে যদি ওপেনভিএনএন ভুল কনফিগার করা থাকে তবে)।