So ich hab mal durchgeguckt. Ich kann das leider nicht testen weil ich kein VPN hab. Folgenden inhalt in /storage/.config/iptables/localrules.v4 schreiben und neustarten. Damit du dich nicht aussperrst kannst du auch erstmal den Inhalt in eine testdatei schreiben z.B /tmp/iptables und mit dem Befehl: iptables-restore /tmp/iptables werden die Regeln sofort angewandt. Dann kannst du testen und ggf einfach neustarten falls du dich aussperrst.
*mangle
:PREROUTING ACCEPT [164:11997]
:INPUT ACCEPT [164:11997]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [99:10665]
:POSTROUTING ACCEPT [114:12690]
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [5:393]
:POSTROUTING ACCEPT [5:393]
COMMIT
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# Allow private subnets
# Old style interface names e.g. eth0, eth1 ...
-A INPUT -i eth+ -s 10.0.0.0/8,172.16.0.0/12,192.168.0.0/16 -m state --state NEW -j ACCEPT
# Predictable network interface device names for Ethernet e.g. ens9f0, enp1s0f1
-A INPUT -i en+ -s 10.0.0.0/8,172.16.0.0/12,192.168.0.0/16 -m state --state NEW -j ACCEPT
# Predictable network interface device names for Wifi + old style names e.g. wlan0, wlp1s0
-A INPUT -i wl+ -s 10.0.0.0/8,172.16.0.0/12,192.168.0.0/16 -m state --state NEW -j ACCEPT
-A OUTPUT -o lo -m state --state NEW -j ACCEPT
-A OUTPUT -d 10.0.0.0/8,172.16.0.0/12,192.168.0.0/16 -m state --state NEW -j ACCEPT
-A OUTPUT -o wl+ -p udp --dport 1149 -m state --state NEW -j ACCEPT
-A OUTPUT -o wl+ -p udp --dport 1150 -m state --state NEW -j ACCEPT
-A OUTPUT -o wl+ -p udp --dport 1151 -m state --state NEW -j ACCEPT
-A OUTPUT -o wl+ -p udp --dport 53 -m state --state NEW -j ACCEPT
-A OUTPUT -o wl+ -p udp --dport 149 -m state --state NEW -j ACCEPT
-A OUTPUT -o wl+ -p udp --dport 150 -m state --state NEW -j ACCEPT
-A OUTPUT -o wl+ -p udp --dport 151 -m state --state NEW -j ACCEPT
-A OUTPUT -o e+ -p udp --dport 1149 -m state --state NEW -j ACCEPT
-A OUTPUT -o e+ -p udp --dport 1150 -m state --state NEW -j ACCEPT
-A OUTPUT -o e+ -p udp --dport 1151 -m state --state NEW -j ACCEPT
-A OUTPUT -o e+ -p udp --dport 53 -m state --state NEW -j ACCEPT
-A OUTPUT -o e+ -p udp --dport 149 -m state --state NEW -j ACCEPT
-A OUTPUT -o e+ -p udp --dport 150 -m state --state NEW -j ACCEPT
-A OUTPUT -o e+ -p udp --dport 151 -m state --state NEW -j ACCEPT
-A OUTPUT -o wl+ -p tcp --dport 152 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -o wl+ -p tcp --dport 1152 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -o e+ -p tcp --dport 152 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -o e+ -p tcp --dport 1152 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
Alles anzeigen
Zu beachten bei der Lösung die auf dem Link von dir basiert ist das DNS abfragen nicht über VPN laufen. Das ist aber nur wichtig wenn du besonders anonym sein willst.
Die Regeln sind etwas lang weil mir aufgefallen ist das der C2 xt_multiport modul nicht in der Kernel config aktiviert ist. Werde ich in den leia builds lösen.