Bestimmte Apps für VPN Clients (Wireguard) sperren

Hallo Zusammen,

ich bin nach genau dieser Lösung auf der Suche. Ich möchte gerne einzelnen VPN-Clienten untersagen, gewisse Segmente im LAN-Bereich aufzurufen.

Ich habe jetzt schon mehrere Varianten ausprobiert, aber irgendwie funktioniert das alles nicht im Bereich "Traffic- und Firewall-Regeln".

Im vorherigen OpenWRT habe ich Firewall - Traffic Rules pro Client erstellt und LAN-Segmente erlaubt und ganz am Ende eine Drop-Regel.

Hi,

Settings --> Profiles --> IP Groups

Hier erstellt Ihr Euch "Objekte" wahlweise für alle oder nur einzelne VPN-Clients.

Diese Objekte könnt Ihr dann in Firewallregeln einbinden.

Ich hatte das gestern Abend genau so auch hinbekommen (mit Hilfe vom UI.com-Chat), man kann die Geräte damit gut im LAN regulieren. Das einzige was man nicht kann, ist die VPN-Clienten von der Internetnutzung zu "befreien", dass liegt aber an der Unifi Software; laut deren Service. Es wurde als Feedback zur Verbesserung aufgenommen.

Damit der Wireguardserver auf der UDM Pro auf der öffentlichen WAN-IPv6-Adresse erreichbar ist, muss unter "Traffic & Firewallrules" eine Regel hinzugefügt werden:

Quote from git

Das einzige was man nicht kann, ist die VPN-Clienten von der Internetnutzung zu "befreien", dass liegt aber an der Unifi Software;

Was meinst Du mit "befreien"?

Das sie über den VPN nicht auf das Internet zugreifen können. Ich möchte beispielsweise nicht, dass die Mitarbeiter über den VPN Ihren gesamten Traffic schicken. Sondern nur die Netze, die im Firmennetz genutzt werden.

Und dazu hat Dir der UI-Support geantwortet, das ginge nicht und man würde einen feature request aufnehmen? Kann ich mir irgendwie kaum vorstellen.

Ganz trivial: Im Wireguard Client unter "allowed IP" einfach nur die Netze eintragen, auf die Zugriff bestehen soll. Fertig ist das split tunneling.

Quote from Networker

Ganz trivial: Im Wireguard Client unter "allowed IP" einfach nur die Netze eintragen, auf die Zugriff bestehen soll. Fertig ist das split tunneling.

Moment, aber der Client kann doch jederzeit seine Config editieren

Nein, ein User kann meine ich nichtmal die GUI von Wireguard aufrufen.

Meinst du jetzt im UDM pro Interface?



Oder bist du wirklich im Desktop-Wireguard-Client? Ersteres ist doch für Remote-Netz beim Client.

Ich rede von einem Computer, den Du einem Mitarbeiter als VPN-Arbeitsplatz zur Verfügung stellst. Dieser Mitarbeiter hat ja hoffentlich keine Admin-Rechte auf dem Gerät und zumindest unter Windows ist es so, dass man dann im Wireguard-Client keine Änderungen vornehmen kann. Daher kann er auch keine Configuration des Tunnels ändern.

Doch haben sie

bislang habe ich da noch keine passende Lösung gefunden. Zumal Linux und MacOS auch wieder seine eigenen Spielregeln hat.

Ok, dann hast Du aber an dieser Stelle ein deutlich höheres Sicherheits-Risiko als dadurch, dass ein Mitarbeiter seine Wireguard-Client-Einstellungen verändern könnte.

Ist natürlich eine nicht so schöne Konstellation.

Das dürfte daran liegen, dass der Wireguard Client beim starten die Routing Table verändern möchte und ein none admin User das nicht kann, denn als dieser läuft Wireguard ja dann. Das ist da alles etwas tricky.

Lese mal hier drüber.

https://www.andysblog.de/wireguard-client-unter-windows

Quote from git

Das sie über den VPN nicht auf das Internet zugreifen können. Ich möchte beispielsweise nicht, dass die Mitarbeiter über den VPN Ihren gesamten Traffic schicken. Sondern nur die Netze, die im Firmennetz genutzt werden.

Quote from Networker

Und dazu hat Dir der UI-Support geantwortet, das ginge nicht und man würde einen feature request aufnehmen? Kann ich mir irgendwie kaum vorstellen.

Ganz trivial: Im Wireguard Client unter "allowed IP" einfach nur die Netze eintragen, auf die Zugriff bestehen soll. Fertig ist das split tunneling.

Quote from git

Moment, aber der Client kann doch jederzeit seine Config editieren

External Content beta.ubiquiti-networks-forum.de

Content embedded from external sources will not be displayed without your consent.

Click here to display external image.

Jupp, das habe ich bisher auch nur so lösen können, dass das am Client zu konfigurieren ist.

Und wenn es sich um keine verwaltete Umgebung handelt - wie bei meinen 3 LAN-2-LAN-Verbindungen und wenigstens eine mRoadWorrior, dann geht das nicht ohne Weiteres am Server zu limitieren.

Quote from DoPe

Lese mal hier drüber.

https://www.andysblog.de/wireguard-client-unter-windows

Das werde auch ich mir ansehen.

Also ich nutze erst mal weiter den OpenWRT mit Wireguard-Paket, bis dieses Thema seitens UniFi gelöst wurde

Ist zwar nicht ganz mein Wunschszenario nach Wechsel auf die UDM Pro Max, aber sei es drum.

Welches Unifi Thema? Das ist Wireguard pur - nicht mehr und nicht weniger.