Administrace komentářů

Ahoj,
řeším, jak na základní nastavení firewallu nad nftables.

V podstatě mám toto...
- z internetu je pro všechny veřejně povolen přístup na http, https, OpenVPN a Wireguard, což jsou služby, které poskytuje tento stroj
- ssh přístup je povolen pouze z IP adres 192.168.100.11 a 192.168.100.12 (servisní IP)
- maškaráda - ven se jde přes wan rozhraní ens192
- do DMZ směruju porty 33891 a 33892



Nevím si rady s ...
- jak docílit toho aby mezi sítěma nebylo možné procházet - tj. aby se vlany mezi sebou neviděly a nemohly spolu / navzájem komunikovat
- jak docílit toho aby se z vlan100 bylo možné dostat do všech ostatních vlan bez jakýchkoli omezení
- jak docílit toho aby všichni uživatelé ze všech vlan mohli přistupovat do DMZ (vlan20) na IP 192.168.20.10 na port 53udp a žádný jiný
- jak docílit toho aby z OpenVPN (tun0) mohla IP adresa 192.168.40.100 naprosto všude
- jak docílit toho aby z OpenVPN (tun0) mohla IP adresa 192.168.40.111 neomezeně na stroj v DMS s IP 192.168.20.88
- jak docílit toho aby z WireGuard (wg0) mohla IP adresa 192.168.50.100 naprosto všude
- jak docílit toho aby z WireGuard (wg0) mohla IP adresa 192.168.50.111 neomezeně na stroj v DMS s IP 192.168.20.88

Dokumentace je pro mě (jako začátečníka) dost zmatená a nesrozumitelná.
Dokázal by mi prosím někdo poradit, případně mi to na míru napsat ?


Konfigurace, kterou jsem zatím "vymyslel a zplodil" viz. níže..

Děkuji,
Petr

#!/usr/sbin/nft -f

# vlan10:  192.168.10.0/24   - LAN
# vlan20:  192.168.20.0/24   - DMZ
# vlan30:  192.168.30.0/24   - Guest network
# vlan100: 192.168.100.0/24 - servis / management network

# tun0:  192.168.40.0/24   - OpenVPN
# wg0:   192.168.50.0/24   - Wireguard VPN


flush ruleset

table inet filter {
	chain input {
		type filter hook input priority 0; policy drop;

      # accept any localhost traffic
      iif lo accept

      # accept trafic originated from us
      ct state established,related accept

      # drop invalid packets
      ct state invalid counter drop

      # accept http, https from anywhere
      tcp dport { 80,443 } accept

      # accept OpenVPN clients from anywhere
      udp dport 1194 accept

      # accept WireGuard clients from anywhere
      udp dport 5180 accept

      # accept SSH only from my servis / management IPs
      tcp dport ssh ip saadr 192.168.100.11 accept
      tcp dport ssh ip saadr 192.168.100.12 accept

      # accept icmp from anywhere
      ip protocol icmp accept

      # accept icmpv6 from anywhere
      ip6 nexthdr icmpv6 accept

      #  meta nfproto ipv6 from anywhere
      icmpv6 type { nd-neighbor-advert, nd-neighbor-solicit, nd-router-advert} ip6 hoplimit 1 accept
      icmpv6 type { nd-neighbor-advert, nd-neighbor-solicit, nd-router-advert} ip6 hoplimit 255 counter accept

      # count and reject everithing else
      counter reject with icmpx type admin-prohibited



	}
	chain forward {
		type filter hook forward priority 0;

	}
	chain output {
		type filter hook output priority 0;
	}

}


table ip nat {
        chain prerouting {
                type nat hook prerouting priority 100; policy accept;
                iif "ens192" tcp dport 33891 dnat to 192.168.20.11:3389
                iif "ens192" tcp dport 33892 dnat to 192.168.20.12:3389
        }

        chain postrouting {
                type nat hook postrouting priority 100; policy accept;
                ip saddr 192.168.10.0/24 oif "ens192" masquerade
                ip saddr 192.168.20.0/24 oif "ens192" masquerade
                ip saddr 192.168.30.0/24 oif "ens192" masquerade
                ip saddr 192.168.40.0/24 oif "ens192" masquerade
                ip saddr 192.168.50.0/24 oif "ens192" masquerade
                ip saddr 192.168.100.0/24 oif "ens192" masquerade
        }
}