主页 / server / 问题 / 793723
Accepted
Crash Override
Asked: 2016-08-04 13:48:29 +0800 CST

Red Hat/CentOS Linux 中禁止某个 IP 范围外网

  • 772

我有一个 VPN，我的服务器经常将数据发送到通过 VPN 路由的私有 IP 地址。当 OpenVPN 建立或终止时，它会启用/禁用路由。

我想通过主 Internet 接口 (eth0) 将该私有 IP 范围设为空路由。有没有一种简单的方法可以在不干扰来自 VPN 软件的路由命令的情况下做到这一点？

iptables 不会这样做。我试过了

iptables -A OUTPUT -i eth0 -p tcp -d 192.168.0.0/16 -j REJECT

但是在输出链中指定接口时 iptables 不起作用。

任何人都知道是否有一种方法可以仅将虚拟路由添加到特定接口（eth0），而不会干扰可能正在使用该路由的其他接口？

Ps-我知道 192.168.0.0/16 不是 INTERNET 可路由的，但出于安全原因，希望确保在其他本地服务器或网络设备开始侦听私有子网的极少数情况下没有数据流出。

centos iptables static-routes

3 个回答

  1. Best Answer

    您在 iptables 规则中的接口规范是落后的。

    您指定：

    iptables -A OUTPUT -i eth0 -p tcp -d 192.168.0.0/16 -j REJECT

    Using-i匹配在指定接口上进入系统的流量。

    相反，您希望在命名接口上匹配离开系统的流量，这是使用-o.

    iptables -A OUTPUT -o eth0 -p tcp -d 192.168.0.0/16 -j REJECT

    （你可能不希望-p tcp在那里，否则非 TCP 流量可能会通过。）

    • 5

  2. 除了迈克尔的回答，我认为应该阻止链中的流量FORWARD，因为该OUTPUT链仅适用于本地生成的数据包并从防火墙出去。据我所知，它不适用于路由数据包。

    • 2

  3. 您已经得到了使用 iptables 所需的答案。

    如果您想使用路由，一个好方法是为 192.168.0.0/16 设置路由并让您的 vpn 服务器向您发送两条更具体的路由，在您的情况下，两条路由将是 192.168.0.0 /17 和 192.168.128.0/17

    /16 路由将是固定的和空路由：

    ip route add blackhole 192.168.0.0/16

    您的 vpn 服务器（或 vpn-up 脚本）将为您提供其他服务：

    ip route add 192.168.0.0/17 via <VPNGW>
ip route add 192.168.128.0/17 via <VPNGW>

    这实际上是def1OpenVPN 中的选项在不干扰现有路由的情况下覆盖默认网关的作用。

    • 2

相关问题