Как избежать утечки трафика при падении VPN

[Hide]

Многим знакома ситуация, когда падает ВПН и все приложения (jabber, ICQ, браузеры и пр.) начинают идти в интернет напрямую. Если падения впн незаметить и продолжить работать дальше, то провайдер видит весь наш трафик, соответственно видит чем мы занимаемся и на каком сайте сейчас сидим. Не говоря уже о том, что ты палишь свой реальный айпи.

Сразу отмечу, что данный мануал подойдёт для любого впн, любых конфигов и пр. Самое главное, чтобы нам был известен мак адрес нашего виртуального адаптера, который подключается к впн серверу. Узнать его не проблема, всё описано в данном мануале.

Предотвратить можно несколькими способами:
1) Самый простой, его много кто знает. Это OpenVPN Protector.
Подходит только для OpenVPN gui. При отключении VPN он полностью отключает интернет, предварительно спросив пользователя об этом.
Этот способ затрагивать вообще не буду, т.к. там всё просто.
Есть и другие подобные приложения, специально под эту тему, но лично я им не доверяю. Такие проги находятся на всяких форумах, поэтому большие шансы того, что к прогам идет какое-то нехорошее дополнение. Поэтому я в этом вопросе использую настройку фаервола.

2) Настроить фаервол. У меня стоит Comodo Internet security Premium 8,2. Он бесплатный, скачать можно с официального сайта. Также можно использовать другой фаервол, если каким-нибудь уже пользуетесь, настройка для него будет похожей.

Окей, погнали!

1) Этап установки. Снимаем галочки, сами понимаете зачем.

2) Жмём настроить установку, тут выбираем на свой вкус, если у вас стоит антивирус, то ав комодо не ставим.

3)После установки, Comodo сразу начнёт обновлять антивирусные базы, затем сканировать вашу систему, и попросит перезагрузиться. А так же задаст такой вопрос. От данной сети нам нужет только интернет. Поэтому выбираем её как общественное место.

4) Окей, перезагрузились. Заходим в настройки.

5) Я меняю конфигурацию, мне нужна защита в активном времени, так как других антивирусов у меня нет, Также для нас подойдёт Firewall security. Комодо попросит перезагрузки!

6) Итак, самое главное.

Настройки фаервола -> Сетевые зоны (добавляем сетевую зону / затем добавляем мак адрес) мак адрес нашего впн адаптера

7)И прописываем МАК адрес.
(Окошко с выпадающем меню, в самом низу выбираем пункт мак адрес)

А где же узнать мак адрес нашего виртуальго адаптера? Можно в двух местах

И введя в командной строке команду ipconfig /all

Ищем TAP-Windows Adapter V9, Через который работает наш ВПН
и прописываем его в комодо, в нашу созданную сетевую зону.

8)Окей, едем дальше. Создадим набор простых правил

1. Разрешить входящий IP трафик из любой сети в сетевую зону VPN
2. Разрешить исходящий IP трафик из сетевой зоны VPN в любую сеть
3. Запретить любой входящий и исходящий IP трафик

Почти готово!!!

9)Переходим во вкладку правила для приложений.

10)И добавляем приложения которым хотим ограничить доступ в интернет напрямую. Применив к ним набор наших созданных правил.

Также хочу отметить, что можно добавить группы приложений, например все веб браузеры.

PS. Заметил одну особенность. Имеем 2 браузера портабл: iron портабл и мозилла портабл. Добавляем правила для них с полным указанием пути к файлу. НО почему то именно эти браузеры от Portableapps.com работают и выходят в интернет, как с впн так и без впн. Как будто комодо для них вообще не существует.
Решение: Создать правило для всех веб браузеров как на скриншоте выше.
Для других приложений от Portableapps.com не тестил

PPS. Комодо хороший фаервол с множеством настроек, подходит как для профи так и для новичков. То, что описано в этой статье, это цветочки, он способен на многое. Всех настроек я описывать не стал, но его HIPS защита реагирует на многие объекты которые даже не представляют никакой опасности. Её можно отключить, если уверены, что у вас чистый пк. Или по умолчанию разрешать все запросы, чтоб вас не мучали всплывающие оповещания.
А вообще все скачанные файлы и всю работу нужно производить в виртуалке!

PPPS. Также я активировал следующие настройки.

Стандартные глобальные правила

Вот и всё. Теперь если впн упал, то трафик не будет идти и мы не спалим свой реальный айпи адрес.

 

[Galt]

Не лучший способ утечки трафика, маршрутизация или iptables лучше, а еще лучше отдельный контейнер, сеть которого завернута через vpn.

 

[BabaDook]

Вы используйте комоду ?

 

[Venum]

Вы используйте комоду ?

Он использует виндовс.
Если по существу пускаем весь трафик через tor, чтоб не вбивать постоянно капчу в браузере ставим vpn, лучше свой поднять, надежней будет и дешевле.

 

[Desoxyn]

https://xss.pro/threads/26753/

 

[BabaDook]

Он использует виндовс.
Если по существу пускаем весь трафик через tor, чтоб не вбивать постоянно капчу в браузере ставим vpn, лучше свой поднять, надежней будет и дешевле.

причём тут виндус?

 

[Venum]

причём тут виндус?

Я не разу не видел что бы кто то ставил на линукс антивирус.

 

[sii]

[OFFTOP]

Я не разу не видел что бы кто то ставил на линукс антивирус.

руткитхантер и ему подобные в счет? Если да то: очень многие ставят, я в том числе. Не представляю себя без проверок таких особенно когда речь идет о виртуальных серверах.
[/OFFTOP]

 

[over1ord]

1) Самый простой, его много кто знает. Это OpenVPN Protector.
Подходит только для OpenVPN gui. При отключении VPN он полностью отключает интернет, предварительно спросив пользователя об этом.

И где у них оф.репозиторий? Распространяется через околокардерские форумы, склейка на склейке)

 

[500mhz]

А так это делается на нормальных клиентах VPN

 

[Benihowy]

Лично я использую программу proxifier. И с ее помощью на виртуальной машине (без шлюза) пропускаю трафик опен-впн'a через прокси (на другой виртуальной машине с шлюзом).

 

[Vasyyyyy111]

Можно поподробнее?

 

[shahriyar]

just use kill-switch option in many vpn clients like nordvpn

 

[over1ord]

А так это делается на нормальных клиентах VPN
Посмотреть вложение 2983

А есть такие же, но универсальные? Этот судя по скрину заточен под поставщика - expressvpn

 

[Enderfy]

Устраняем утечку трафика! Разрешаем соединение только определенному IP который находится в конфигурации VPN.

Технически, мы просто будем блокировать весь трафик, который идет не через VPN/OpenVPN с помощью фаервола iptables. В таком случае, даже если в какой то момент времени будет разорвано ваше VPN соединение, никто не сможет увидеть ваш IP, который выдал провайдер. Подразумевается, что у вас уже настроено рабочее VPN соединение, через которое можно получить доступ к сайтам и к DNS серверам. Первым делом устанавливаем пакет iptables-persistent, он позволяет автоматически применять правила iptables при загрузке вашего компьютера.

Можно конечно загружать эти правила и любым другим удобным для вас способом, не используя пакет iptables-persistent
apt update sudo apt install iptables-persistent

На вопрос о сохранении правил для IPv4 - отвечаем утвердительно, в
результате в файле /etc/iptables/rules.v4 будут сохранены текущие
правила.

Переименовываем файл /etc/iptables/rules.v4 в /etc/iptables/rules_old.v4 (он понадобится в случае, если мы захотим вернуть изначальные настройки фаервола). Создаем файл /etc/iptables/rules.v4 и открываем для редактирования любым удобным текстовым редактором (я пользую nano для этих целей):

sudo nano /etc/iptables/rules.v4

Вставляем в этот файл следующее содержимое:
*filter :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT DROP [0:0] -A INPUT -i lo -j ACCEPT -A OUTPUT -o lo -j ACCEPT -A INPUT -s [B]x.x.x.x[/B] -m state --state RELATED,ESTABLISHED -j ACCEPT -A OUTPUT -d [B]x.x.x.x[/B] -p [B]tcp[/B] --dport [B]443[/B] -j ACCEPT -A INPUT -i [B]tun0[/B] -j ACCEPT -A OUTPUT -o [B]tun0[/B] -j ACCEPT COMMIT

• x.x.x.x - это IP адрес VPN/OpenVPN сервера к которому вы будете подключаться.
• tcp - это протокол, который используется при подключении к VPN, если будет использоваться udp, то надо заменить tcp на udp.
• Данная строка будет тогда выглядеть так: -A OUTPUT -d x.x.x.x -p udp --dport 443 -j ACCEPT
  
  
• 443 - это порт, к которому происходит подключении. Если используется отличный от 443, то надо его заменить на актуальный.
• tun0 - название вашего интерфейса, который появляется при создании VPN-тоннеля.
• Если используется отличный от tun0, то надо его заменить на актуальный.

Теперь пытаемся применить наши правила:

sudo iptables-restore < /etc/iptables/rules.v4

Если после ввода команды не вылезло никаких предупреждений, то значит
правила применились, а после перезагрузки, они должны будут применяться
автоматически при старте ОС.

Теперь, без активного VPN/OpenVPN соединения не должно быть доступа к
сайтам и даже DNS серверам. А после установки VPN соединения - все
должно работать как обычно, т.к. весь исходящий трафик будет идти через
VPN.

Если мы захотим вернуть старые правила (которые были активны на ПК в
момент установки iptables-persistent), то можно применить их следующей
командой:

sudo iptables-restore < /etc/iptables/rules_old.v4

Только не забываем, что автоматически при старте системы будут применяться правила, которые находятся в файле /etc/iptables/rules.v4

 

[Enderfy]

Забыл упомянуть. Утечка DNS, используя такой метод, тоже устраняется.

 

[blackconvert556]

Кто помнит раньше в 2007 юзали пермео секюрити))