寻求仅允许OpenVPN UDP 1194端口流量的iptables/BPF规则及Windows限制方案

一、你之前的iptables规则为啥没用 #

你用string模块匹配"OpenVPN"字符串的方法行不通，问题出在：

• OpenVPN UDP连接的初始握手数据包是二进制格式，根本不含明文的"OpenVPN"字符串——这个字符串只会在后续加密协商后的控制帧里出现。你的规则直接把正常连接的初始请求丢了，自然连不上服务器。

二、可行的iptables规则方案 #

方案1：用conntrack跟踪连接状态 #

利用conntrack模块识别已建立的OpenVPN连接，放行合法流量，同时给初始握手包留口子（通过包长度筛选）：

# 先放行已建立/关联的OpenVPN流量
iptables -A INPUT -p udp --dport 1194 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# 放行初始握手包（正常OpenVPN初始UDP包长度通常在60-150字节，可根据实际抓包调整）
iptables -A INPUT -p udp --dport 1194 -m length --length 60:150 -j ACCEPT
# 丢弃所有其他1194端口的UDP流量
iptables -A INPUT -p udp --dport 1194 -j DROP

提示：如果你的OpenVPN改了MTU或其他参数，先运行tcpdump -i eth0 udp port 1194抓正常连接的初始包，看实际长度再调整数值。

方案2：结合TLS-auth的特征匹配 #

如果你的OpenVPN服务器开了--tls-auth或--tls-crypt（强烈建议开，本身就能挡大部分伪造流量），可以匹配初始包的HMAC特征：

# 放行带合法TLS-auth HMAC的初始包（替换0xXXXX为你抓包得到的特征值）
iptables -A INPUT -p udp --dport 1194 -m u32 --u32 "0>>22&0x3C@ 0&0xFFFF=0xXXXX" -j ACCEPT
# 放行已建立的连接
iptables -A INPUT -p udp --dport 1194 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# 丢弃其余流量
iptables -A INPUT -p udp --dport 1194 -j DROP

提示：特征值可以用tcpdump抓正常客户端的初始连接包，分析二进制头得到。

三、只允许Windows客户端接入 #

这个需求在OpenVPN服务器配置里实现更靠谱，比iptables精准：

1. 打开OpenVPN服务器配置文件（一般是/etc/openvpn/server.conf），加以下内容：

# 指定客户端配置目录
client-config-dir /etc/openvpn/client-configs
# 允许执行脚本
script-security 2
# 客户端连接时触发平台检查脚本
learn-address /etc/openvpn/check_platform.sh

2. 创建/etc/openvpn/check_platform.sh脚本：

#!/bin/bash
if [ "$script_type" = "client-connect" ]; then
    # Windows客户端的IV_PLATFORM变量值是"win"或"windows"
    if [[ ! "$IV_PLATFORM" =~ ^win ]]; then
        echo "拒绝非Windows客户端连接" >> /var/log/openvpn.log
        exit 1
    fi
fi
exit 0

3. 给脚本加执行权限：

chmod +x /etc/openvpn/check_platform.sh

4. 重启OpenVPN服务：

systemctl restart openvpn@server

这样非Windows的OpenVPN客户端会被直接拒绝，不用在防火墙里折腾。

四、额外的DDoS防护建议 #

• 强制开启--tls-crypt：它会加密所有控制通道流量，还能验证数据包完整性，从根源上阻止伪造的OpenVPN流量。
• 搭配fail2ban：监控OpenVPN日志，多次连接失败的IP会被自动屏蔽，减少暴力攻击和小流量DDoS的影响。
• 要是服务器用的是云主机，直接开服务商的免费DDoS防护（比如Cloudflare、阿里云的基础防护），能扛住更大流量的攻击。

内容的提问来源于stack exchange，提问作者john