Kam-ALIEN's questions

我想检查 ccd 文件夹中是否存在 ip，并将 ip 路由推送到 iptables 中的 FORWARDING 链。我是 bash 脚本的新手，需要一些帮助来完成这个脚本。

/etc/openvpn/ccd 中的客户端文件：

ifconfig-push 10.8.0.45 255.255.255.0
push 'route 10.10.0.45'

我需要 grep10.8.0.45 & 10.10.0.45

并将这些路由推送到 iptables 中。例如

iptables -A FORWARD -s 10.8.0.45 -d 10.10.0.45 -j ACCEPT

客户端连接 /etc/openvpn/on_connect.sh

脚本我需要“grep”或“awk”的帮助

static_ip=  grep "^push \"route" | grep "^'" | cut -f2 -d" "

ip_destination=grep "^push \"route" | grep "^'" | cut -f3 -d" "

#!/usr/bin/env bash
#
#  Add iptables rules based on CCD client config.
#

CCD_DIR="/etc/openvpn/ccd"
# iptables rule comment - the disconnect script will
# remove all strings matching this pattern
RULE_COMMENT="OVPN_"$common_name
static_ip=grep..
ip_destination=grep..



if [ -f $CCD_DIR/$common_name ]; then
  sudo iptables -A FORWARD -s $static_ip -d ip_destination -j ACCEPT
fi

exit 0

我的 openvpn 服务器启动并运行，我通过 ccd 指令将某些路由推送到我的客户端，我想知道如何在客户端连接时根据 ccd 文件更新 iptables。

所以可以说我的客户 1 的 ccd 是：

ifconfig-push 10.8.0.45 255.255.255.0
push 'route 10.10.0.45'

我想把它添加到 iptables 中。

iptables -A FORWARD -s 10.8.0.45 -d 10.10.0.45 -j ACCEPT

接着

iptables -A FORWARD -s 10.8.0.0/24 -d 10.10.0.0/16 -j DROP

如果有人能指出我正确的方向将不胜感激，我对 bash 脚本相当陌生

我有一个基于列的 .txt 文件，我想用 grep 输出公用名，但有点麻烦。

V   300223164711Z       01  unknown /C=UK/O=LMG/OU=server/CN=server/name=server/[email protected]
V   300223170002Z       02  unknown /C=UK/O=LMF/OU=server/CN=test/name=server/[email protected]
V   300223170935Z       03  unknown /C=UK/O=risk/OU=server/CN=risk/name=server/[email protected]

我当前的 grep 输出执行以下操作：

tail -n +2 index.txt | grep "^V" | cut -d '/' -f 5 | nl -s ') '

     1) CN=test
     2) CN=risk

我只希望名称是输出，“测试”或“风险”。实现这一目标的最简单方法是什么？

我想限制 VPN 用户对单个 LAN 的访问。我一直在尝试client-config-dir在 server.conf 中解决问题，但无法使其正常工作。

+---------+             +---------+
| client1 |             | client2 |
+---------+             +---------+
           \           /
            +---------+
            | server  | 10.10.1.23
            +---------+
                 |
            +---------+
            |   vpc   | 10.10.0.0/16
            +---------+
                 |
            +---------+
            |  local  | 10.10.0.112
            +---------+

+-------------------------------+
| VPC  |     subnet   | region  |
+------+------------+-----------+
| vpc0 | 10.10.0.0/16 | region0 |
+------+-------------+----------+

使用我当前的 openvpn 设置，我能够连接到 VPC 后面的所有实例。但是我需要client1只能访问机器10.10.0.112和client2只能访问机器10.10.0.222。我一直在玩ccd指令和 iptables，但无法理解它。

我的 OpenVPNserver.conf

port 1194
proto udp
dev tun
user nobody
group nogroup
persist-key
persist-tun
keepalive 10 120
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 10.10.0.2"
push "redirect-gateway def1 bypass-dhcp"
dh none
client-config-dir /etc/openvpn/ccd
ecdh-curve prime256v1
tls-crypt tls-crypt.key 0
crl-verify crl.pem
ca ca.crt
cert server_4nP1zpKP5eaV6jEz.crt
key server_4nP1zpKP5eaV6jEz.key
auth SHA256
cipher AES-128-GCM
ncp-ciphers AES-128-GCM
tls-server
tls-version-min 1.2
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256
log-append /home/ubuntu/openvpn.log
status /var/log/openvpn/status.log
verb 3

client1.ovpn

client
proto udp
remote **.**.***.*** 1194
dev tun
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
verify-x509-name server_4nP1zpKP5eaV6jEz name
auth SHA256
auth-nocache
cipher AES-128-GCM
tls-client
tls-version-min 1.2
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256
setenv opt block-outside-dns # Prevent Windows 10 DNS leak
verb 3

服务器的路由表 netstat -nr

0.0.0.0         10.10.1.1       0.0.0.0         UG        0 0          0 eth0
10.8.0.0        0.0.0.0         255.255.255.0   U         0 0          0 tun0
10.10.1.0       0.0.0.0         255.255.255.0   U         0 0          0 eth0

IP 路由ip route

default via 10.10.1.1 dev eth0 
10.8.0.0/24 dev tun0  proto kernel  scope link  src 10.8.0.1 
10.10.1.0/24 dev eth0  proto kernel  scope link  src 10.10.1.140 

客户的CCD

需要client-config-dir的帮助，只希望client1能够访问10.10.0.112，目前可以访问VPN服务器后面的所有局域网机器。

客户端IPTABLE

iptables -A FORWARD -i tun0 -s 10.8.0.0/24 -d 10.10.0.112 -j ACCEPT

如果有人能指出我正确的方向，将不胜感激。