OpenVPN redirect-gateway def1 serverseitig verhindern

[-Overlord-]

Moin Leute

Kann man serverseitig verhindern, dass ein Client "redirect-gateway def1" aktiviert und somit den kompletten Traffic über das VPN tunnelt? Konnte leider bisher nix bei Google finden - nur in die umgekehrte Richtung, dass ein Client den Push vom Server ignorieren kann.

Greetz
Ovrld

 

[till69]

Keine Ahnung ob sich das per Server-Config verhindern lässt ...
Auf jeden Fall geht das mit IPTables, einfach den gesamten Verkehr, der nicht an lokale Adressen geht, ausfiltern:

iptables -A FORWARD -i tun1 -d !192.168.1.0/24 -j DROP

 

[Raijin]

So sieht's aus.

redirect-gateway ist eine clientseitige Einstellung, bei der OpenVPN eine bzw. zwei zusätzliche Routen in die Routingtabelle einfügt. Darauf hat der Server keinerlei Einfluss. Selbst wenn dem so wäre, könnte der Client die Routen auch manuell oder zB via Up-Script hinzufügen, ganz ohne redirect-gateway Anweisung.

Die Lösung liegt daher in der Tat in der Firewall des Servers. Diese muss einfach eingehenden Traffic für das Internet blockieren.

 

[-Overlord-]

Ok so hab ich das auch vorgesehen - dachte aber es gibt vllt. noch eine elegante Lösung vom OpenVPN direkt aus. Danke euch!