LinuxForum.Fans
Тема

OpenVPN & SuSEfirewall2 и доступ к внутренним ресурсам

Автор: villimilli 10 сообщений 2895 просмотров
15.09.2013 14:09 · отредактировано #337496

Есть комп с 1 интерфейсом, необходимо через OpenVPN осуществить доступ к ресурсам - VNC,SSH,WWW
OpenVPN поднял, туннель заработал, затем на компе добавил внутренний адрес (ip addr add 192.168.100.1/24 dev eth0 label eth0:1)

text
eth0      Link encap:Ethernet  HWaddr D4:3D
          inet addr:222.111.222.222  Bcast:222.111.222.222  Mask:255.255.255.248
eth0:1    Link encap:Ethernet  HWaddr D4:3D
          inet addr:192.168.1.1  Bcast:192.168.1.1  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
tun0      .....

пинги пошли, из-под OpenVPN клиента на 192.168.1.1:ssh захожу, но вот на www,vnc и проч. ни в какую!!!!

SuSEfirewall2:
FW_DEV_EXT="eth0 tun0"
FW_DEV_INT="eth0:1", понимаю, что проблема непосредственно в SuSEfirewall2, какие гайки крутить, что бы на 192.168.1.1, появились vnc,www?

15.09.2013 17:50 #337511

Что то я не понимаю. Вы поднимаете openVPN тунель, а потом ещё и алиас над eth0. Для чего????

15.09.2013 17:55 #337513
kisil написал:
Что то я не понимаю. Вы поднимаете openVPN тунель, а потом ещё и алиас над eth0. Для чего????

хочу все сервисы получать через шифрованный туннель....

15.09.2013 18:32 #337521

Ну правильно, вы конектитесь по ВПН и уже должны получать доступ к этим сервисам по айпи сервера. Если у вас эти сервисы настроены для прослушывания всех интерфейсов. для чего вам алиас не пойму.

15.09.2013 18:48 #337527
kisil написал:
Ну правильно, вы конектитесь по ВПН и уже должны получать доступ к этим сервисам по айпи сервера. Если у вас эти сервисы настроены для прослушывания всех интерфейсов. для чего вам алиас не пойму.

tcp 0 0 *:5901 *:* LISTEN
+
On │vnc1 │stream│ tcp │No │nobody│/usr/bin/Xvnc│-noreset -inetd -once -query localhost -geometry 1024x768
On │vnchttpd1 │stream│ tcp │No │nobody │/usr/bin/vnc_inetd_httpd

нет соединения...

15.09.2013 18:53 #337529

Верно порт слушаетса. А что говорит фаервол.

text
iptables -S
15.09.2013 19:03 · отредактировано #337536
kisil написал:
Верно порт слушаетса. А что говорит фаервол.
text
iptables -S

text
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT
-N forward_ext
-N input_ext
-N reject_func
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A INPUT -p icmp -m conntrack --ctstate RELATED -j ACCEPT
-A INPUT -j input_ext
-A INPUT -m limit --limit 3/min -j LOG --log-prefix "SFW2-IN-ILL-TARGET " --log-tcp-options --log-ip-options
-A INPUT -j DROP
-A FORWARD -m limit --limit 3/min -j LOG --log-prefix "SFW2-FWD-ILL-ROUTING " --log-tcp-options --log-ip-options
-A OUTPUT -o lo -j ACCEPT
-A input_ext -m pkttype --pkt-type broadcast -j DROP
-A input_ext -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A input_ext -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A input_ext -s 222.222.22.222/32 -p tcp -m limit --limit 3/min -m conntrack --ctstate NEW -m tcp --dport 1194 -j LOG --log-prefix "SFW2-INext-ACC-TRUST " --log-tcp-options --log-ip-options
-A input_ext -s 222.222.222.222/32 -p tcp -m conntrack --ctstate NEW,RELATED,ESTABLISHED -m tcp --dport 1194 -j ACCEPT
-A input_ext -p tcp -m tcp --dport 113 -m conntrack --ctstate NEW -j reject_func
-A input_ext -p tcp -m limit --limit 3/min -m tcp --dport 1194 --tcp-flags FIN,SYN,RST,ACK SYN -j LOG --log-prefix "SFW2-INext-ACC-TCP " --log-tcp-options --log-ip-options
-A input_ext -p tcp -m tcp --dport 1194 -j ACCEPT
-A input_ext -p tcp -m limit --limit 3/min -m tcp --dport 1194 --tcp-flags FIN,SYN,RST,ACK SYN -j LOG --log-prefix "SFW2-INext-ACC-TCP " --log-tcp-options --log-ip-options
-A input_ext -p tcp -m tcp --dport 1194 -j ACCEPT
-A input_ext -p tcp -m limit --limit 3/min -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -j LOG --log-prefix "SFW2-INext-ACC-TCP " --log-tcp-options --log-ip-options
-A input_ext -p tcp -m tcp --dport 22 -j ACCEPT
-A input_ext -p tcp -m tcp --dport 1194 -m conntrack --ctstate NEW -m limit --limit 3/min -j LOG --log-prefix "SFW2-INext-ACC " --log-tcp-options --log-ip-options
-A input_ext -p tcp -m tcp --dport 1194 -j ACCEPT
-A input_ext -m pkttype --pkt-type multicast -j DROP
-A input_ext -m pkttype --pkt-type broadcast -j DROP
-A input_ext -p tcp -m limit --limit 3/min -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j LOG --log-prefix "SFW2-INext-DROP-DEFLT " --log-tcp-options --log-ip-options
-A input_ext -p icmp -m limit --limit 3/min -j LOG --log-prefix "SFW2-INext-DROP-DEFLT " --log-tcp-options --log-ip-options
-A input_ext -p udp -m limit --limit 3/min -m conntrack --ctstate NEW -j LOG --log-prefix "SFW2-INext-DROP-DEFLT " --log-tcp-options --log-ip-options
-A input_ext -j DROP
-A reject_func -p tcp -j REJECT --reject-with tcp-reset
-A reject_func -p udp -j REJECT --reject-with icmp-port-unreachable
-A reject_func -j REJECT --reject-with icmp-proto-unreachable

p.s. я к сожалению не спец в iptables, правлю через yast

15.09.2013 19:49 #337541

В настройках yast-фаервола разрешыте конектитса к вашему серваку айпишке OpenVPN клиента.

Войдите или зарегистрируйтесь, чтобы ответить.