Ограничить внутренние vpn сервера. (В сети умные люди поднимают vpn сервера и раздают инет)

[Voler]

Добрый день.

В сети умные люди поднимают vpn сервера и раздают инет, там где его быть не должно.

У меня стоит маршрутизатор одна карта eth0 смотрит в инет, вторая eth1 смотрит в локальную сеть.
Подскажите есть возможность отсеять трафик iptables на внутренней карте для тех кто ломиться в интернет через сторонний VPN сервер?

С такой задачей не сталкивался, хочу сказать что все клиенты выходят в интернет с установленной скоростью. Скорость режется билингом.

[KiWi]

Нет.

[unax]

можете шейпировать трафик из глобала на ip-клиента где установлен vpn сервер, чтобы ему было неповадно делиться интернетами..

[McLeod095]

Добрый день.

В сети умные люди поднимают vpn сервера и раздают инет, там где его быть не должно.

У меня стоит маршрутизатор одна карта eth0 смотрит в инет, вторая eth1 смотрит в локальную сеть.
Подскажите есть возможность отсеять трафик iptables на внутренней карте для тех кто ломиться в интернет через сторонний VPN сервер?

С такой задачей не сталкивался, хочу сказать что все клиенты выходят в интернет с установленной скоростью. Скорость режется билингом.

Можно конечно глупых пользователей отслеживать по ttl но опять же если они не знают об этом. Хотя как запоминать значение ttl для определенного хоста в правилах фаера я пока придумать не могу.

[KiWi]

Добрый день.

В сети умные люди поднимают vpn сервера и раздают инет, там где его быть не должно.

У меня стоит маршрутизатор одна карта eth0 смотрит в инет, вторая eth1 смотрит в локальную сеть.
Подскажите есть возможность отсеять трафик iptables на внутренней карте для тех кто ломиться в интернет через сторонний VPN сервер?

С такой задачей не сталкивался, хочу сказать что все клиенты выходят в интернет с установленной скоростью. Скорость режется билингом.

Можно конечно глупых пользователей отслеживать по ttl но опять же если они не знают об этом. Хотя как запоминать значение ttl для определенного хоста в правилах фаера я пока придумать не могу.

Не вариант вообще:
- при наличии роутера TTL будет точно так же меняться
- правильный TTL выставляется легко и непринуждённо

[patrius]

Добрый день.

В сети умные люди поднимают vpn сервера и раздают инет, там где его быть не должно.

У меня стоит маршрутизатор одна карта eth0 смотрит в инет, вторая eth1 смотрит в локальную сеть.
Подскажите есть возможность отсеять трафик iptables на внутренней карте для тех кто ломиться в интернет через сторонний VPN сервер?

С такой задачей не сталкивался, хочу сказать что все клиенты выходят в интернет с установленной скоростью. Скорость режется билингом.

Как уже сказали в теме, отследить того, кто прячеться очень сложно.
Резюмируя.
Есть возможность посмотреть на трафик с TTL отличнім от стандартного на "-1", и увидеть всех, кто делиться, начиная от роутеров и заканчивая серверами. Если люди предварительно не зашифровались.

для полее подробной информации читаем LARTC и "man iptables"

[TonnyBennet]

Когда я настраивал проброс VPN трафика через шлюз мне пришлость добавить разрешения в таблицу FORWARD для протокола gre. Без него не работало. Вообщем вы можете попробовать запретить этот протокол и запустить логирование. Через денёк посмотрите кто из вашей сети ломился наружу.

[patrius]

Когда я настраивал проброс VPN трафика через шлюз мне пришлость добавить разрешения в таблицу FORWARD для протокола gre. Без него не работало. Вообщем вы можете попробовать запретить этот протокол и запустить логирование. Через денёк посмотрите кто из вашей сети ломился наружу.

Все сказанное связано с прохождением VPN по вашему серверу.
Сабж посвящен N+1 серверу после ВПН.