Dotaz: Jak maximálně zabezpečit OpenVPN server (na Ubuntu 18.04)

[Wena]

Zdravím, Na Ubuntu 18.04 (pouze základní systém) jsem nainstaloval pouze: OpenVPN SSH a nastavil iptables:

iptables --flush

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -I INPUT -i eth0 -p udp --dport 1194 -j ACCEPT

iptables -I INPUT -i tun0 -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p icmp -j ACCEPT

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -j REJECT

Server má veřejnou IP. Přihlašování na SSH lze pouze pomocí privátního klíče a jen z VPN (viz. iptables výše).

Předpokládejme, že OpenVPN server je nastavený v rámci možností maximálně bezpečně.

Jak/co ještě zabezpečit? Zapomněl jsem na něco nebo už to je dostatečně zabezpečené?

Jde mi o to, jestli je ještě něco, co by se mělo blokovat/odinstalovat/nastavit (port/služba/...).

Sloužit to má pouze a jenom jako VPN server, nic jiného.

Díky za pomoc/rady/tipy.

Odpovědi

[NN]

Nekdo zahazuje i ICMP, aby to bylo vic "neviditelne". Pokud se nechces s jinym provozem vubec zabyvat, muzes ho misto REJECT rovnou dropnout. Take je mozne volitelne pouzit nestandartni porty. No a konecne si nejsem jisty zda se u bezstavoveho UDP uplatni tracking aka RELATED,ESTABLISHED..

[Jendа]

Nekdo zahazuje i ICMP, aby to bylo vic "neviditelne". Pokud se nechces s jinym provozem vubec zabyvat, muzes ho misto REJECT rovnou dropnout.

Tohle jsou dva způsoby, jak si pořídit podivné síťové chyby. Například až ti nepřijde ICMP zpráva o fragmentaci a budeš se divit ze sítí s menším MTU.

Take je mozne volitelne pouzit nestandartni porty. No a konecne si nejsem jisty zda se u bezstavoveho UDP uplatni tracking aka RELATED,ESTABLISHED..

Pro UDP se používá pseudospojení, díky tomu také funguje (částečně) UDP přes maškarádu.

Pro tazatele: přes netstat -tlpnu bych se podíval co tam vlastně běží, a taky bych ten firewall řešil i na IPv6 (ip6tables).

[Wena]

server nemá veřejnou IPv6 nakonfigurovanou (a ani mít nebude)

netstat -tlpnu vypíše toto:

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name

tcp 0 0 127.0.0.53:53 0.0.0.0:* LISTEN 27395/systemd-resol

tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 946/sshd

tcp6 0 0 :::22 :::* LISTEN 946/sshd

udp 0 0 127.0.0.53:53 0.0.0.0:* 27395/systemd-resol

udp 33728 0 0.0.0.0:1194 0.0.0.0:* 933/openvpn

díky moc za informace

ping nechci zakazovat a ani omezovat - nebo to je velké riziko nechat ten port takhle otevřený?

[Jendа]

server nemá veřejnou IPv6 nakonfigurovanou (a ani mít nebude)

Stále mu může někdo ze stejné sítě poslat router advertisement nebo se připojit na link-local adresu.

Ten systemd-resolved bych nějak omezil aby neposlouchal do světa (byť je to zakázané firewallem).

nebo to je velké riziko nechat ten port takhle otevřený

Není, a ICMP nemá porty.

[NN]

Předpokládejme, že OpenVPN server je nastavený v rámci možností maximálně bezpečně.

Tady by mohlo hrat podstatnou roli stari SSL knihovny, velikost klicu, zvolena sifra a konkretni model bezpenosti, ktere Open VPN umoznuje(TA key, passphrase, PSK etc.). Osobne ICMP neblokuji. Jak spomenuj Jenda:

tcp6 0 0 :::22 :::* LISTEN 946/sshd

Pokud je IPv6 firewall v implicitni konfiguraci, kdy povoluje vse, tady je mozne pripojit se lokalne i bez VPN. Jeste k firewallu, pokud to lze je mozne omezit rozsah zdrojovych IP adres pro VPN klinety.

[Max]

No, zákaz icmp je podle mně prostě hnus. Sebemenší problém pak zbytečně znesnadňuje diagnostiku.
Jinak pro icmp bych doporučil upřesnění v podobě :

-A INPUT -p icmp -m icmp --icmp-type 8 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

Zdar Max

[PetebLazar]

A co FORWARD?

[__blr__]

Spouštět OpenVPN pod jiným uživatelem, než je root..