将OpenVPN配置为通过OS阻止客户端？

Question

是否有方法配置OpenVPN服务器以限制通过操作系统连接到它的客户端？

我们目前使用OpenVPN服务器将我们的笔记本电脑连接到AWS上的服务器(运行在VPC中)。我们的一位客户要求我们禁止从移动设备访问虚拟专用网，因此我们希望阻止安卓、iOS和Windows客户端。

Answer 1

因此，如果您可以访问OpenVPN服务器，可以通过使用被动操作系统指纹。和osf白名单您的桌面操作系统来阻止那里的请求。

我要为Centos写这个，因为它是我使用它的时候。您正在安装一个应用程序nfnl_osf，然后从OpenBSD安装指纹签名数据库，以帮助匹配这些机器。

yum -y install libpcap libpcap-devel iptables-utils
wget http://cvsweb.openbsd.org/cgi-bin/cvsweb/~checkout~/src/etc/pf.os?rev=1.27 -O /usr/libexec/iptables/pf.os
nfnl_osf -f /usr/libexec/iptables/pf.os

在安装好它们之后，我们将数据库导入到iptables中，然后运行下面的iptables命令来运行检查。

iptables -I INPUT -j ACCEPT -p udp --dport 1194 -m osf --genre Windows --log 2 --ttl 2    
iptables -I INPUT -j ACCEPT -p udp --dport 1194 -m osf --genre Mac --log 2 --ttl 2     
iptables -A INPUT -p udp --dport 1194 -j DROP

希望这能帮上忙！

Answer 2

OpenVPN确实通过--push-peer-info将客户端信息推送到服务器。客户端操作系统是被推送的元素之一，理论上可以用于根据预期的/阻塞的客户端OS来筛选连接。

示例服务器日志：

Tue Dec 19 13:21:42 2017 us=348489 v3.rsa.anet.cli.lx64/x.4.232.194:51806 peer info: IV_PLAT=linux
Tue Dec 19 13:21:42 2017 us=348521 v3.rsa.anet.cli.lx64/x.4.232.194:51806 peer info: IV_PROTO=2
Tue Dec 19 13:21:42 2017 us=348551 v3.rsa.anet.cli.lx64/x.4.232.194:51806 peer info: IV_NCP=2
Tue Dec 19 13:21:42 2017 us=348580 v3.rsa.anet.cli.lx64/x.4.232.194:51806 peer info: IV_LZ4=1
Tue Dec 19 13:21:42 2017 us=348608 v3.rsa.anet.cli.lx64/x.4.232.194:51806 peer info: IV_LZ4v2=1
Tue Dec 19 13:21:42 2017 us=348636 v3.rsa.anet.cli.lx64/x.4.232.194:51806 peer info: IV_LZO=1