[Fedora] Openvpn beperk rechten thuiswerker

[Mishmash]

Beste mensen,

Ik zit al een tijdje te zoeken op het internet, maar kan over dit onderwerp bar weinig vinden, daarom dus deze vraag.

Is het mogelijk om voor 1 thuiswerker de rechten zo te limiteren dat hij alleen kan communiceren met de rest van het netwerk over poort 22? Zelf zat ik te denken aan een iptables regel toevoegen dat het desbetreffende IP alleen kan communiceren over poort 22 en de rest laat droppen, is dit de juiste oplossing of kan Openvpn het ook direct?

[blaataaps]

Waarom zou men dat in openvpn implementeren, als daar al (beter) geschikte tools voor zijn, en waarom probeer je niet gewoon iptables?

[Mishmash]

blaataaps schreef op woensdag 25 juli 2007 @ 20:28:
Waarom zou men dat in openvpn implementeren, als daar al (beter) geschikte tools voor zijn, en waarom probeer je niet gewoon iptables?

Het gewoon proberen durf ik eigenlijk niet helemaal (weinig ervaring met iptables), het is namelijk een productieserver waar ik dit op moet doen en als ik daar de routering verkloot lopen er een hoop processen de soep in. Daarom vroeg ik dus of Openvpn dit zelf kon. Als Openvpn dit niet kan moet ik even goed uit gaan zoeken welke regel ik in iptables erbij moet knikkeren.

[blaataaps]

Gebruik/maak een testomgeving voor je het in productie doet?

[Mishmash]

You're right... Morgen eerst maar een testomgeving opstellen. Zal m'n bevindingen wel posten hier!

[Confusion]

Misschien dat openVPN toevallig mogelijkheden heeft om zoiets te doen, maar racoon en openSwan hebben dat in ieder geval niet. Een VPN daemon heeft in principe enkel tot taak te bepalen wie een ipsec of L2TP verbinding op mag zetten en hoe hij dat mag doen. Wat je met vervolgens met die verbinding mag doen wordt elders bepaald, bijvoorbeeld in je iptables config.

[ Voor 19% gewijzigd door Confusion op 25-07-2007 22:23 ]

[Verwijderd]

iptables -A FORWARD -p TCP -dport 22 ACCEPT
iptables -A FORWARD -s 192.168.x.x (eventueel -d 192.168.x.x/255.255.255.0) -j DROP
iptables -A FORWARD any

check ook even wat je standaard wil doen als een pakketje geen enkele iptables regel machted.

Droppen:
Iptables -P FORWARD DROP
Forwarden:
iptables -P FORWARD ACCEPT

that should do the trick