openvpnhowto中文版

《openvpnhowto中文版》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、OpenVPNHOWTO中文版#Loopback地址LOOP=127.0.0.1#删除旧的iptables规则#并且临时阻塞网络通信iptables-POUTPUTDROPiptables-PINPUTDROPiptables-PFORWARDDROPiptables-F#设置缺省策略iptables-POUTPUTACCEPTiptables-PINPUTDROPiptables-PFORWARDDROP#阻止外部数据包使用loopback地址iptables-AINPUT-ieth0-s$LOOP-jDROPiptables-AFORWARD-ieth0-s$LOOP

2、-jDROPiptables-AINPUT-ieth0-d$LOOP-jDROPiptables-AFORWARD-ieth0-d$LOOP-jDROP#任何从互联网流入的数据包都必须使用真实互联网地址iptables-AFORWARD-ieth0-s192.168.0.0/16-jDROPiptables-AFORWARD-ieth0-s172.16.0.0/12-jDROPiptables-AFORWARD-ieth0-s10.0.0.0/8-jDROPiptables-AINPUT-ieth0-s192.168.0.0/16-jDROPiptables-AINPUT

3、-ieth0-s172.16.0.0/12-jDROPiptables-AINPUT-ieth0-s10.0.0.0/8-jDROP#阻塞NetBios数据包流出(如果内网有windows机器)。#这不会影响VPN隧道上的NetBios通信，#但它会阻止本地windows机器向互联网广播自己。iptables-AFORWARD-ptcp--sport137:139-oeth0-jDROPiptables-AFORWARD-pudp--sport137:139-oeth0-jDROPiptables-AOUTPUT-ptcp--sport137:139-oeth0-jDRO

4、Piptables-AOUTPUT-pudp--sport137:139-oeth0-jDROP#检查流向互联网的数据包中源地址的合法性iptables-AFORWARD-s!$PRIVATE-ieth1-jDROP#允许本地loopbackiptables-AINPUT-s$LOOP-jACCEPTiptables-AINPUT-d$LOOP-jACCEPT#允许向内的(incoming)ping操作(可以禁止)iptables-AINPUT-picmp--icmp-typeecho-request-jACCEPT#允许www和ssh服务(可以禁止)iptables-A

5、INPUT-ptcp--dporthttp-jACCEPTiptables-AINPUT-ptcp--dportssh-jACCEPT#允许向内的(incoming)OpenVPN数据包#对于每条OpenVPN隧道要将以下每行重复，#改变--dportn为OpenVPNUDP实际端口。##在OpenVPN中，端口号由--portn选项控制。#如果你将这个选型写入配置文件，#你可以去掉'--'后这一串字符。##Ifyoutakingthestatefulfirewall#approach(参看OpenVPNHOWTO),#那么注释掉下面这一行。iptables-AINPUT

6、-pudp--dport5000-jACCEPT#允许来自TUN/TAP设备的数据包。#当OpenVPN运行于安全模式时，#他会对tun或tap接口上的数据包到达前进行验证。#也就是说，这里添加的任何过滤不是必需的，#除非你想对有可能溢出隧道的数据包类型进行严格约束。iptables-AINPUT-itun+-jACCEPTiptables-AFORWARD-itun+-jACCEPTiptables-AINPUT-itap+-jACCEPTiptables-AFORWARD-itap+-jACCEPT#允许来自内网的数据包iptables-AINPUT-ieth1-jA

7、CCEPTiptables-AFORWARD-ieth1-jACCEPT#保持来自本机和内网数据包的连接状态iptables-AOUTPUT-mstate--stateNEW-oeth0-jACCEPTiptables-AINPUT-mstate--stateESTABLISHED,RELATED-jACCEPTiptables-AFORWARD-mstate--stateNEW-oeth0-jACCEPTiptables-AFORWARD-mstate--stateESTABLISHED,RELATED-jACCEPT#伪装