OpenVpn пересылка на Docker (nginx)

Вопрос или проблема

allow 10.9.0.0/24;     # Разрешить VPN клиентам
deny all;

port 1195
proto udp
dev tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/domain.com.crt
key /etc/openvpn/domain.com.key
dh /etc/openvpn/dh.pem
server 10.9.0.0 255.255.255.0
push "route 10.9.0.0 255.255.255.0"
push "redirect-gateway def1 bypass-shcp"

Ответ или решение

Для решения задачи по настройке OpenVPN и Docker с Nginx, чтобы обеспечить доступ к субдомену через VPN, а главному домену – напрямую из интернета, необходимо тщательно проанализировать текущую конфигурацию системы и выявить причины, по которым ваше начальнее решение оказалось неэффективным.

Теория

Цель вашей конфигурации – ограничить доступ к определённому субдомену (admin.domain.com) так, чтобы он был доступен только через соединение VPN, в то время как основной домен (domain.com) остаётся доступным для всех. Основная проблема в вашем случае заключается в том, что соединение через VPN, вероятно, не маршрутизируется корректно, и клиентские подключения к admin.domain.com никак не учитывают наличия VPN.

OpenVPN устанавливает новые правила в таблице маршрутизации, замещая предыдущий маршрут по умолчанию на свой, перенаправляя таким образом весь трафик через VPN-соединение. Если nginx обрабатывает исходные IP-адреса клиента напрямую, это говорит о том, что трафик не проксируется через VPN или не перенаправляется правильно.

Пример

Ваш текущий конфиг OpenVPN выглядит следующим образом:

port 1195
proto udp
dev tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/domain.com.crt
key /etc/openvpn/domain.com.key
dh /etc/openvpn/dh.pem
server 10.9.0.0 255.255.255.0
push "route 10.9.0.0 255.255.255.0"
push "redirect-gateway def1 bypass-dhcp"

В этом случае стоит обратить внимание на следующее:

1. Если вы ожидаете, что admin.domain.com будет доступен только по VPN, его IP-адрес должен быть доступен только через внутреннюю сеть, предоставляемую VPN.
2. Настройка маршрутизации в OpenVPN должна по умолчанию перенаправлять весь трафик через туннель, но это не всегда так — в частности, не следует забывать о звонке iptables для управления правилами маршрутизации.

Применение

1. Настройка IPTABLES для OpenVPN: Убедитесь, что сетевой интерфейс TUN, созданный OpenVPN, правилен и все подключения идут через него. Для этого можно применять iptables для назначения правил для переадресации тосов соответсвеных VPN:

iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A INPUT -i tun0 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o eth0 -j MASQUERADE

2. Настройка Nginx для IP-фильтрации: Убедитесь, что nginx получает правильный исходный IP. Это возможно, когда прокси-сервер, такой как Nginx, использует X-Forwarded-For или если конфигурация сети выполняется в соответствии с этими путями:

server {
    listen 80;
    server_name admin.domain.com;

    location / {
        allow 10.9.0.0/24;  # Разрешить доступ только через VPN
        deny all;
    }

    # остальная конфигурация
}

3. Проверка DNS-конфигурации: Отдельное значение имеет правильная настройка DNS для маршрутизации запросов к внутреннему IP-адресу VPN, что можно сделать через DNS-серверы, видимые только изнутри VPN.

4. Docker-сетевое подключение: Убедитесь, что приложение в контейнере Docker имеет правильную сетевую конфигурацию, чтобы учитываются специфически адреса маршрутизации и реализация политики безопасности. Если ваше приложение работает в сети Docker, оно должно иметь доступ к тому же интерфейсу TUN:

docker run --network host ...

Это обеспечение того, что все пакеты, перенаправлялись в соответствии с идентичным методом.

В заключение, основная потребность здесь – убедиться в правильности использования VPN и контейнеризованных сервисов. Это включает установление строгих правил маршрутизации и доступа, а также учитывание всех аспектов сетевой безопасности и доступности. Настройка таким образом будет гарантировать выполнение задач со всеми поставленными ограничениями и параметрами доступа.