www.tinc-vpn.org Git - wiki/blob - examples/on-firewall.mdwn

   1 [[!meta title="tinc on a masquerading firewall"]]
   2
   3 ## Example: tinc on a masquerading firewall
   4
   5 This example shows a setup with tinc running on a masquerading
   6 firewall, allowing the private subnet behind the firewall to access
   7 the VPN. Example firewall rules are included in this example. They
   8 are written for iptables (Linux 2.4 firewall code), but commented
   9 so that you may apply the same kind of rules to other firewalls.
  10
  11 [[!toc levels=2]]
  12
  13 ### Overview
  14
  15 [[!img examples/fig-on-firewall]]
  16
  17 The network setup is as follows:
  18
  19 * Internal network is 10.20.30.0/24
  20 * Firewall IP is 123.234.123.1 on the outside, 10.20.30.1/24 on the inside.
  21 * VPN the host wants to connect to has address range 10.20.0.0/16.
  22
  23 ### Configuration of the firewall running tinc
  24
  25 >     firewall# ifconfig
  26 >     ppp0      Link encap:Point-to-Point Protocol
  27 >               inet addr:123.234.123.1  P-t-P:123.234.120.1  Mask:255.255.255.255
  28 >               UP POINTOPOINT RUNNING NOARP  MTU:1500  Metric:1
  29 >               ...
  30 >
  31 >     eth0      Link encap:Ethernet  HWaddr 00:20:13:14:15:16
  32 >               inet addr:10.20.30.1  Bcast:10.20.30.255  Mask:255.255.255.0
  33 >               UP BROADCAST RUNNING  MTU:1500  Metric:1
  34 >               ...
  35 >
  36 >     lo        Link encap:Local Loopback
  37 >               inet addr:127.0.0.1  Mask:255.0.0.0
  38 >               UP LOOPBACK RUNNING  MTU:3856  Metric:1
  39 >               ...
  40 >
  41 >     vpn       Link encap:Point-to-Point Protocol
  42 >               inet addr:10.20.30.1  P-t-P:10.20.30.1  Mask:255.255.0.0
  43 >               UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
  44 >               ...
  45 >
  46 >     firewall# route
  47 >     Kernel IP routing table
  48 >     Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
  49 >     10.20.30.0      *               255.255.255.0   U     0      0        0 eth0
  50 >     10.20.0.0       *               255.255.0.0     U     0      0        0 vpn
  51 >     default         123.234.120.1   0.0.0.0         UG    0      0        0 ppp0
  52 >
  53 >     firewall# iptables -L -v
  54 >     Chain INPUT (policy ACCEPT 1234 packets, 123K bytes)
  55 >      pkts bytes target     prot opt in     out     source               destination
  56 >
  57 >     Chain FORWARD (policy DROP 1234 packets, 123K bytes)
  58 >      pkts bytes target     prot opt in     out     source               destination
  59 >      1234  123K ACCEPT     any  --  ppp0   eth0    anywhere             10.20.30.0/24
  60 >      1234  123K ACCEPT     any  --  eth0   ppp0    10.20.30.0/24        anywhere
  61 >      1234  123K ACCEPT     any  --  vpn    eth0    10.20.0.0/16         10.20.30.0/24
  62 >      1234  123K ACCEPT     any  --  eth0   vpn     10.20.30.0/24        10.20.0.0/16
  63 >
  64 >     Chain OUTPUT (policy ACCEPT 2161K packets, 364M bytes)
  65 >      pkts bytes target     prot opt in     out     source               destination
  66 >
  67 >     firewall# iptables -L -v -t nat
  68 >     Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
  69 >      pkts bytes target     prot opt in     out     source               destination
  70 >
  71 >     Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
  72 >      pkts bytes target     prot opt in     out     source               destination
  73 >      1234  123K MASQUERADE all  --  eth0   ppp0    anywhere             anywhere
  74 >
  75 >     Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
  76 >      pkts bytes target     prot opt in     out     source               destination
  77 >
  78 >     firewall# cat /etc/init.d/firewall
  79 >     #!/bin/sh
  80 >
  81 >     echo 1 >/proc/sys/net/ipv4/ip_forward
  82 >
  83 >     iptables -P FORWARD DROP
  84 >     iptables -F FORWARD
  85 >     iptables -A FORWARD -j ACCEPT -i ppp0 -o eth0 -d 10.20.30.0/24
  86 >     iptables -A FORWARD -j ACCEPT -i eth0 -o ppp0 -s 10.20.30.0/24
  87 >     iptables -A FORWARD -j ACCEPT -i vpn -o eth0 -s 10.20.0.0/16 -d 10.20.30.0/24
  88 >     iptables -A FORWARD -j ACCEPT -i eth0 -o vpn -s 10.20.30.0/24 -d 10.20.0.0/16
  89 >
  90 >     iptables -t nat -F POSTROUTING
  91 >     iptables -t nat -A POSTROUTING -j MASQUERADE -i eth0 -o ppp0
  92
  93 ### Configuration of tinc
  94
  95 >     firewall# cat /etc/tinc/vpn/tinc.conf
  96 >     Name = office
  97 >     ConnectTo = branch
  98 >     Interface = vpn
  99 >
 100 >     firewall# cat /etc/tinc/vpn/tinc-up
 101 >     #!/bin/sh
 102 >
 103 >     ifconfig $INTERFACE 10.20.30.1 netmask 255.255.0.0
 104 >
 105 >     firewall# ls /etc/tinc/vpn/hosts
 106 >     office  branch  employee_smith  employee_jones  ...
 107 >
 108 >     firewall# cat /etc/tinc/vpn/hosts/office
 109 >     Address = 123.234.123.1
 110 >     Subnet = 10.20.30.0/24
 111 >     -----BEGIN RSA PUBLIC KEY-----
 112 >     ...
 113 >     -----END RSA PUBLIC KEY-----
 114 >
 115 >     firewall# cat /etc/tinc/vpn/hosts/branch
 116 >     Address = 123.234.213.129
 117 >     Subnet = 10.20.40.0/24
 118 >     -----BEGIN RSA PUBLIC KEY-----
 119 >     ...
 120 >     -----END RSA PUBLIC KEY-----
 121 >
 122 >     firewall# cat /etc/tinc/vpn/hosts/employee_smith
 123 >     Address = 200.201.202.203
 124 >     Subnet = 10.20.50.1/32
 125 >     -----BEGIN RSA PUBLIC KEY-----
 126 >     ...
 127 >     -----END RSA PUBLIC KEY-----