tinc-vpn.org Git - wiki/blob - examples/masquerading-firewall.mdwn

   1 [[!meta title="tinc from behind a masquerading firewall"]]
   2
   3 ## Example: tinc from behind a masquerading firewall
   4
   5 When running tinc from behind a masquerading firewall (not on the firewall
   6 itself), one must be careful to configure the firewall so that it allows the
   7 tinc traffic to pass through without altering the source and destination ports.
   8 Example firewall rules are included in this example. They are written for
   9 iptables (Linux 2.4 firewall code), but commented so that you may apply the
  10 same kind of rules to other firewalls.
  11
  12 [[!toc levels=2]]
  13
  14 ### Overview
  15
  16 [[!img examples/fig-firewall.png]]
  17
  18 The network setup is as follows:
  19
  20 * Internal network is 10.20.30.0/24
  21 * Firewall IP is 123.234.123.1 on the outside, 10.20.30.1/24 on the inside.
  22 * Host running tinc has IP 10.20.30.42
  23 * VPN the host wants to connect to has address range 192.168.0.0/16
  24 * The host has it's own VPN IP 192.168.10.20
  25
  26 ### Configuration of the host running tinc
  27
  28         host# ifconfig
  29         eth0      Link encap:Ethernet  HWaddr 00:20:30:40:50:60
  30                   inet addr:10.20.30.42  Bcast:10.20.30.255  Mask:255.255.255.0
  31                   UP BROADCAST RUNNING  MTU:1500  Metric:1
  32                   ...
  33
  34         lo        Link encap:Local Loopback
  35                   inet addr:127.0.0.1  Mask:255.0.0.0
  36                   UP LOOPBACK RUNNING  MTU:3856  Metric:1
  37                   ...
  38
  39         vpn       Link encap:Point-to-Point Protocol
  40                   inet addr:192.168.10.20  P-t-P:192.168.10.20  Mask:255.255.0.0
  41                   UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
  42                   ...
  43
  44         host# route
  45         Kernel IP routing table
  46         Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
  47         10.20.30.0      *               255.255.255.0   U     0      0        0 eth0
  48         192.168.0.0     *               255.255.0.0     U     0      0        0 vpn
  49         default         10.20.30.1      0.0.0.0         UG    0      0        0 eth0
  50
  51         host# iptables -L -v
  52         Chain INPUT (policy ACCEPT 1234 packets, 123K bytes)
  53          pkts bytes target     prot opt in     out     source               destination
  54
  55         Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
  56          pkts bytes target     prot opt in     out     source               destination
  57
  58         Chain OUTPUT (policy ACCEPT 2161K packets, 364M bytes)
  59          pkts bytes target     prot opt in     out     source               destination
  60
  61         host# iptables -L -v -t nat
  62         Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
  63          pkts bytes target     prot opt in     out     source               destination
  64
  65         Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
  66          pkts bytes target     prot opt in     out     source               destination
  67
  68         Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
  69          pkts bytes target     prot opt in     out     source               destination
  70
  71 ### Configuration of tinc
  72
  73         host# cat /etc/tinc/vpn/tinc.conf
  74         Name = atwork
  75         ConnectTo = home
  76
  77         host# cat /etc/tinc/vpn/tinc-up
  78         #!/bin/sh
  79
  80         ifconfig $INTERFACE 192.168.10.20 netmask 255.255.0.0
  81
  82         host# ls /etc/tinc/vpn/hosts
  83         atwork  home
  84
  85         host# cat /etc/tinc/vpn/hosts/atwork
  86         Address = 123.234.123.1
  87         Subnet = 192.168.10.20/32
  88         -----BEGIN RSA PUBLIC KEY-----
  89         ...
  90         -----END RSA PUBLIC KEY-----
  91
  92         host# cat /etc/tinc/vpn/hosts/home
  93         Address = 200.201.202.203
  94         Subnet = 192.168.1.0/24
  95         -----BEGIN RSA PUBLIC KEY-----
  96         ...
  97         -----END RSA PUBLIC KEY-----
  98
  99 ### Configuration of the firewall
 100
 101         firewall# ifconfig
 102         ppp0      Link encap:Point-to-Point Protocol
 103                   inet addr:123.234.123.1  P-t-P:123.234.120.1  Mask:255.255.255.255
 104                   UP POINTOPOINT RUNNING NOARP  MTU:1500  Metric:1
 105                   ...
 106
 107         eth0      Link encap:Ethernet  HWaddr 00:20:13:14:15:16
 108                   inet addr:10.20.30.1  Bcast:10.20.30.255  Mask:255.255.255.0
 109                   UP BROADCAST RUNNING  MTU:1500  Metric:1
 110                   ...
 111
 112         lo        Link encap:Local Loopback
 113                   inet addr:127.0.0.1  Mask:255.0.0.0
 114                   UP LOOPBACK RUNNING  MTU:3856  Metric:1
 115                   ...
 116
 117         firewall# route
 118         Kernel IP routing table
 119         Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
 120         10.20.30.0      *               255.255.255.0   U     0      0        0 eth0
 121         default         123.234.120.1   0.0.0.0         UG    0      0        0 ppp0
 122
 123         firewall# iptables -L -v
 124         Chain INPUT (policy ACCEPT 1234 packets, 123K bytes)
 125          pkts bytes target     prot opt in     out     source               destination
 126
 127         Chain FORWARD (policy DROP 1234 packets, 123K bytes)
 128          pkts bytes target     prot opt in     out     source               destination
 129          1234  123K ACCEPT     any  --  ppp0   eth0    anywhere             10.20.30.0/24
 130          1234  123K ACCEPT     any  --  eth0   ppp0    10.20.30.0/24        anywhere
 131
 132         Chain OUTPUT (policy ACCEPT 2161K packets, 364M bytes)
 133          pkts bytes target     prot opt in     out     source               destination
 134
 135         firewall# iptables -L -v -t nat
 136         Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 137          pkts bytes target     prot opt in     out     source               destination
 138          1234  123K DNAT       tcp  --  ppp0   any     anywhere             anywhere           tcp dpt:655 to:10.20.30.42:655
 139          1234  123K DNAT       udp  --  ppp0   any     anywhere             anywhere           udp dpt:655 to:10.20.30.42:655
 140
 141         Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 142          pkts bytes target     prot opt in     out     source               destination
 143          1234  123K MASQUERADE all  --  eth0   ppp0    anywhere             anywhere
 144
 145         Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 146          pkts bytes target     prot opt in     out     source               destination
 147
 148         firewall# cat /etc/init.d/firewall
 149         #!/bin/sh
 150
 151         echo 1 >/proc/sys/net/ipv4/ip_forward
 152
 153         iptables -P FORWARD DROP
 154         iptables -F FORWARD
 155         iptables -A FORWARD -j ACCEPT -i ppp0 -o eth0 -d 10.20.30.0/24
 156         iptables -A FORWARD -j ACCEPT -i eth0 -o ppp0 -s 10.20.30.0/24
 157
 158         iptables -t nat -F POSTROUTING
 159         # Next rule prevents masquerading from altering source port of outbound tinc packets
 160         iptables -t nat -A POSTROUTING -p udp -m udp --sport 655 -j MASQUERADE -o ppp0 --to-ports 655
 161         iptables -t nat -A POSTROUTING -j MASQUERADE -o ppp0
 162
 163         iptables -t nat -F PREROUTING
 164         # Next two rules forward incoming tinc packets to the host behind the firewall running tinc
 165         iptables -t nat -A PREROUTING -j DNAT -i ppp0 -p tcp --dport 655 --to 10.20.30.42:655
 166         iptables -t nat -A PREROUTING -j DNAT -i ppp0 -p udp --dport 655 --to 10.20.30.42:655