Как запретить доступ к локальным адресам через VPN WireGuard: полное руководство

Зачем ограничивать доступ к локальным адресам в WireGuard

WireGuard — это современный VPN-протокол, который часто используется для организации удаленного доступа к корпоративной сети. Однако предоставление клиентам полного доступа ко всем локальным ресурсам может быть нежелательным с точки зрения безопасности. Например, если в сети есть серверы с конфиденциальными данными, к которым удаленные сотрудники не должны иметь доступ, или если вы хотите изолировать определенные сегменты сети.

Ограничение доступа к локальным адресам помогает снизить риски: если клиентское устройство заражено вредоносным ПО, злоумышленник не сможет легко перемещаться по внутренней сети. Кроме того, это позволяет соблюдать принцип минимальных привилегий, когда каждый пользователь получает доступ только к тем ресурсам, которые необходимы для работы.

В WireGuard нет встроенных механизмов фильтрации трафика, поэтому ограничения реализуются на уровне межсетевого экрана (iptables, nftables, UFW) или с помощью параметра AllowedIPs в конфигурации. В этой статье мы рассмотрим все основные подходы.

Понимание AllowedIPs: как WireGuard маршрутизирует трафик

Параметр AllowedIPs в конфигурации WireGuard определяет, какие IP-адреса и подсети должны маршрутизироваться через VPN-туннель. Это ключевой элемент, который влияет на доступность локальных ресурсов.

Когда клиент подключается к серверу, он отправляет пакеты только на те адреса, которые перечислены в AllowedIPs. Если адрес не входит в список, трафик к нему будет идти напрямую через обычный интернет-канал, минуя VPN. Это означает, что, указав в AllowedIPs только нужные подсети, вы можете ограничить доступ клиента к другим локальным адресам.

Например, если сервер имеет локальную сеть 192.168.100.0/24, а клиенту нужен доступ только к серверу 192.168.100.5, вы можете указать AllowedIPs = 192.168.100.5/32. Тогда клиент сможет обращаться только к этому адресу, а все остальные адреса в подсети будут недоступны.

Однако важно понимать, что AllowedIPs работает на уровне маршрутизации, а не фильтрации. Если клиент знает IP-адрес другого устройства в локальной сети, он может попытаться отправить пакет напрямую, но из-за отсутствия маршрута через VPN он не будет доставлен. Тем не менее, для надежной защиты рекомендуется комбинировать AllowedIPs с правилами межсетевого экрана.

Настройка iptables для блокировки локальных подсетей

iptables — это классический межсетевой экран в Linux, который позволяет гибко управлять трафиком. Для блокировки доступа клиентов WireGuard к определенным локальным адресам можно использовать правила в цепочке FORWARD.

Рассмотрим пример: у вас есть сервер WireGuard с интерфейсом wg0, и вы хотите запретить клиентам доступ к подсети 10.130.20.0/25, но разрешить доступ к другим ресурсам. Для этого добавьте правило:

iptables -A FORWARD -i wg0 -d 10.130.20.0/25 -j DROP

Это правило отбросит все пакеты, приходящие от клиентов WireGuard (интерфейс wg0) и направленные в указанную подсеть. Если нужно запретить доступ только к конкретным IP-адресам, например 10.130.20.2-10.130.20.7, можно указать их по отдельности или использовать диапазон с помощью модуля iprange:

iptables -A FORWARD -i wg0 -m iprange --dst-range 10.130.20.2-10.130.20.7 -j DROP

Важно помнить, что правила iptables применяются в порядке их добавления. Если у вас есть разрешающие правила, они должны быть добавлены до запрещающих, иначе запрет может не сработать. Также не забудьте сохранить правила, чтобы они пережили перезагрузку: iptables-save > /etc/iptables/rules.v4.

Использование nftables для более гибкой фильтрации

nftables — это современная замена iptables, которая предлагает более простой синтаксис и лучшую производительность. Она доступна в большинстве дистрибутивов Linux и может использоваться для тех же целей.

Пример правила nftables для блокировки подсети:

nft add rule ip filter FORWARD iifname "wg0" ip daddr 10.130.20.0/25 drop

Это правило добавляется в таблицу filter, цепочку FORWARD и отбрасывает пакеты, приходящие с интерфейса wg0 и направленные в подсеть 10.130.20.0/25.

Для блокировки диапазона адресов можно использовать выражение ip daddr 10.130.20.2-10.130.20.7:

nft add rule ip filter FORWARD iifname "wg0" ip daddr 10.130.20.2-10.130.20.7 drop

nftables позволяет создавать более сложные правила, например, с проверкой портов или состояний соединений. Это удобно, если нужно разрешить доступ к определенным сервисам, но запретить другие.

Чтобы сохранить правила nftables, используйте команду nft list ruleset > /etc/nftables.conf и включите службу nftables.

Простое решение с UFW: ограничение через интерфейс

UFW (Uncomplicated Firewall) — это надстройка над iptables, которая упрощает управление правилами. Она идеально подходит для начинающих администраторов, которые не хотят разбираться в сложном синтаксисе.

Чтобы запретить доступ к подсети через интерфейс wg0, выполните команду:

sudo ufw deny in on wg0 to 10.130.20.0/25

Эта команда добавит правило, которое блокирует весь входящий трафик на интерфейсе wg0, направленный в указанную подсеть. Если нужно запретить доступ только к определенным портам, можно добавить параметр port:

sudo ufw deny in on wg0 to 10.130.20.0/25 port 22

UFW автоматически управляет правилами iptables, поэтому вам не нужно беспокоиться о сохранении конфигурации. Однако стоит помнить, что UFW может конфликтовать с другими инструментами, если они используются одновременно.

Этот метод подходит для простых сценариев, но для сложных конфигураций с множеством правил лучше использовать iptables или nftables.

Комбинирование AllowedIPs и межсетевого экрана: лучшие практики

Для максимальной безопасности рекомендуется использовать оба подхода: ограничение AllowedIPs на клиенте и фильтрацию на сервере. Это создает многоуровневую защиту, которая снижает риск ошибок конфигурации.

Например, если вы хотите, чтобы клиент имел доступ только к определенному серверу в локальной сети, вы можете указать в AllowedIPs клиента только IP-адрес этого сервера. На сервере же добавьте правило iptables, которое разрешает трафик только к этому адресу, а все остальное блокирует.

Пример конфигурации клиента:

[Interface]
PrivateKey = <client_private_key>
Address = 10.0.0.3/32

[Peer]
PublicKey = <server_public_key>
Endpoint = <server_ip>:51820
AllowedIPs = 192.168.100.5/32
PersistentKeepalive = 20

На сервере в цепочке FORWARD можно настроить:

iptables -P FORWARD DROP
iptables -A FORWARD -i wg0 -d 192.168.100.5 -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

Такая конфигурация гарантирует, что клиент сможет обращаться только к указанному серверу, даже если он попытается обойти ограничения AllowedIPs. Это особенно важно, если клиентские устройства находятся вне вашего контроля.

Типичные ошибки и как их избежать

При настройке ограничений доступа в WireGuard часто возникают ошибки, которые могут привести к неработоспособности VPN или небезопасной конфигурации. Рассмотрим наиболее распространенные из них.

Ошибка 1: Забыли разрешить интернет-трафик. Если вы установили политику FORWARD DROP, но не добавили правила для разрешения исходящего трафика, клиенты потеряют доступ в интернет. Убедитесь, что у вас есть правило, разрешающее трафик от клиентов к внешним сетям, например:

iptables -A FORWARD -i wg0 -o eth0 -j ACCEPT

Ошибка 2: Неправильный порядок правил. В iptables правила применяются сверху вниз. Если запрещающее правило стоит раньше разрешающего, оно может заблокировать нужный трафик. Всегда размещайте более специфичные правила перед общими.

Ошибка 3: Игнорирование состояния соединений. Для корректной работы VPN необходимо разрешить обратный трафик. Используйте правило -m state --state RELATED,ESTABLISHED -j ACCEPT, чтобы разрешить ответные пакеты.

Ошибка 4: Несоответствие интерфейсов. В правилах iptables важно правильно указать интерфейс. Если вы используете не тот интерфейс (например, eth0 вместо wg0), правила не будут работать. Проверьте список интерфейсов командой ip link.

Избегая этих ошибок, вы сможете настроить безопасный и функциональный VPN.

Проверка и отладка правил фильтрации

После настройки правил важно убедиться, что они работают корректно. Для этого можно использовать несколько инструментов.

Просмотр текущих правил:

iptables -L -n -v

Эта команда покажет все правила с количеством обработанных пакетов. Если счетчик пакетов увеличивается при попытке доступа к заблокированному адресу, значит правило работает.

Тестирование с клиента:

С клиентского устройства попробуйте выполнить ping или подключиться к заблокированному ресурсу. Если соединение не устанавливается, правило работает. Если соединение устанавливается, проверьте правильность указания подсети и интерфейса.

Использование tcpdump:

Для детального анализа трафика можно использовать tcpdump:

tcpdump -i wg0 -n

Это покажет все пакеты, проходящие через интерфейс wg0, и поможет понять, куда направляется трафик.

Проверка маршрутов:

На клиенте выполните ip route и убедитесь, что маршруты к локальным подсетям идут через VPN-интерфейс. Если маршрут отсутствует, трафик может идти напрямую, минуя VPN.

Регулярная проверка правил поможет быстро выявить проблемы и обеспечить стабильную работу VPN.

Ограничения и альтернативные подходы

Важно понимать, что фильтрация на уровне межсетевого экрана не является панацеей. Если клиентское устройство скомпрометировано, злоумышленник может использовать другие методы для доступа к локальной сети, например, через уязвимости в приложениях или социальную инженерию.

Кроме того, WireGuard не поддерживает TCP, поэтому если ваш провайдер блокирует UDP-трафик, VPN не будет работать. В таких случаях можно рассмотреть альтернативы, такие как OpenVPN в режиме TCP или туннелирование UDP через другие протоколы.

Также стоит учитывать, что правила iptables/nftables применяются на сервере, но не защищают от атак, направленных на другие устройства в локальной сети. Для комплексной защиты рекомендуется использовать сегментацию сети, межсетевые экраны на каждом устройстве и системы обнаружения вторжений.

Наконец, не забывайте о регулярном обновлении WireGuard и операционной системы, чтобы устранять известные уязвимости.

Вопросы и ответы