キルスイッチまたは接続交換を防ぐためのOpenVPN CLI

Question 1

より高いメトリックを使用してブラックホールルールを設定すると、これを行うことができます。各ルーティングルールに優先度の低い（より高いメトリック）冗長パスを追加し、OpenVPNのパスが解放されると、そのパスはそのまま残ります。追加のパスはblackhole、prohibitまたはunreachableパスです。

次の方法でこれを行うことができます。

#!/bin/sh
set -e
ip route replace blackhole "$ifconfig_local/$ifconfig_netmask"

i=1
while true; do
  route_network_i="$(eval echo \$route_network_$i)"
  route_netmask_i="$(eval echo \$route_netmask_$i)"
  route_metric_i="$(eval echo \$route_metric_$i)"
  if [ -z "$route_network_i" ]; then
    break
  fi
  ip route replace blackhole "$route_network_i"/"$route_netmask_i" metric $(( $route_metric_i + 1 ))
  i=$(( $i + 1 )
done

Answer

より高いメトリックを使用してブラックホールルールを設定すると、これを行うことができます。各ルーティングルールに優先度の低い（より高いメトリック）冗長パスを追加し、OpenVPNのパスが解放されると、そのパスはそのまま残ります。追加のパスはblackhole、prohibitまたはunreachableパスです。

次の方法でこれを行うことができます。

#!/bin/sh
set -e
ip route replace blackhole "$ifconfig_local/$ifconfig_netmask"

i=1
while true; do
  route_network_i="$(eval echo \$route_network_$i)"
  route_netmask_i="$(eval echo \$route_netmask_$i)"
  route_metric_i="$(eval echo \$route_metric_$i)"
  if [ -z "$route_network_i" ]; then
    break
  fi
  ip route replace blackhole "$route_network_i"/"$route_netmask_i" metric $(( $route_metric_i + 1 ))
  i=$(( $i + 1 )
done

Question 2

VPNトンネルを漏れから保護するときにVPNクライアントが自分で管理しようとするメカニズムを避けるのが最善です。ほとんどの場合、これはOpenVPNが後者をさまざまな方法で操作するため、代わりにまたはを使用する必要iptablesがあることを意味します。nftip route

ルーティングの設定方法にかかわらず、トンネルデバイスとOpenVPNリンク自体に向けられたトラフィックを除くすべてのトラフィックをブロックする漏れ防止方法は次のとおりです。

まず、VPNクライアントが使用する特別なグループを追加します（システムの他のユーザーまたはプログラムがまだ使用していない限り、必要に応じて別のグループ名を選択できます）。

sudo groupadd -r -f tunnel

rootその後、システムが起動するたびに、またはVPNが起動する前に実行する必要があるファイアウォールルールがあります。

#!/bin/sh
iptables -F OUTPUT
iptables -P OUTPUT DROP
iptables -A OUTPUT -p all -m owner --gid-owner tunnel -j ACCEPT
iptables -A OUTPUT -o tun+ -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

グループＩＤ「ｔｕｎｎｅｌ」はネットワークアクセス条件であり、トンネル装置「ｔｕｎ＋」も出力である。 openvpn設定でtapデバイスを使用している場合は、「tun +」の代わりに「tap +」を指定できます。

最後に、特別なグループIDでVPNクライアントを実行できます。

sudo sg tunnel -c 'openvpn --config /etc/openvpn/gateway.conf --group tunnel'

グループ名 "tunnel"はコマンドラインで2回指定されます。なぜなら、openvpnプロセスのグループIDが最初に起動している間、および接続が確立された後に両方が確立されていることを確認する必要があるからです。 openvpnGroup=がコマンドラインまたはスクリプトではなくシステムサービスで実行されている場合sg。

openvpnが実行されているかどうかにかかわらず、上記の技術では、iptablesルールが有効になっている間にClearnet漏れからユーザーを保護する必要があります。これには、データと DNS パケットが含まれます。そして、OUTPUTチェーンのポリシーは、ルールを有効にオンまたはオフにするスイッチとして使用できます（DROPまたはACCEPTを使用）。

Answer