OpenVPN客户端配置篡改风险：如何限制客户端路由范围？

这确实是个很典型的安全痛点——客户端只要能拿到本地的ovpn配置文件，就很容易动手脚绕开你设定的路由限制。下面是几个从根本上解决问题的方案，按可靠性优先级排序：

这是从配置层面锁死的方案，让客户端完全无法通过修改本地配置来添加路由：

• 首先在你的OpenVPN服务器配置文件（server.conf）里添加这几行：

  # 指定客户端配置目录，就是你现在用的client-configs/config-dir
  client-config-dir /etc/openvpn/client-configs/config-dir
  # 拒绝没有对应CCD文件的客户端连接，确保每个客户端都有严格的服务器端配置
  ccd-exclusive
  # 推送命令让客户端不执行本地配置里的任何route命令
  push "route-noexec"
  

• 然后在每个客户端的CCD文件里，继续保留你原来的push route 123.123.123.123 255.255.255.255这类路由规则。

原理很简单：route-noexec会让客户端忽略本地ovpn文件里的所有路由配置，只执行服务器从CCD推送的路由；而ccd-exclusive确保没有服务器端配置的客户端连不上，彻底杜绝了私自修改配置的客户端接入的可能。

不管客户端怎么折腾路由，所有流量最终都要经过OpenVPN服务器，所以在服务器端用iptables直接限制每个客户端的访问范围，是最稳妥的兜底方案：

• 第一步，给每个客户端分配固定的虚拟IP，在对应的CCD文件里添加：

  ifconfig-push 10.8.0.10 10.8.0.11
  

  （这里假设你的OpenVPN虚拟子网是10.8.0.0/24，替换成你实际的子网段即可）
• 然后添加iptables规则，比如只允许这个客户端（10.8.0.10）访问指定的123.123.123.123：

  # 允许客户端访问目标站点
  iptables -A FORWARD -s 10.8.0.10 -d 123.123.123.123 -j ACCEPT
  # 拒绝这个客户端的所有其他出站流量
  iptables -A FORWARD -s 10.8.0.10 -j DROP
  

• 记得用iptables-save把规则保存下来，避免重启服务器后丢失。

就算客户端绕过了路由限制（比如手动添加系统路由），服务器的iptables也会直接丢弃非法流量，从网络层面彻底阻断越权访问。

如果是给非技术用户分发配置，可以把ovpn文件打包成不可直接编辑的格式，增加修改难度：

• Windows客户端：用OpenVPN官方的打包工具或者第三方工具，把ovpn配置和密钥打包成exe安装包，安装后客户端无法直接看到配置文件。
• Linux/macOS客户端：把ovpn文件的权限设置为只读，再用chattr +i（Linux）或chflags uchg（macOS）标记为不可修改，但注意有管理员权限的用户还是能解除标记，所以这只能作为辅助，不能单独依赖。

总结 #

最推荐的组合是方案1+方案2：用CCD和route-noexec锁死客户端的路由配置，再用iptables做兜底的流量拦截，双管齐下完全杜绝客户端越权访问的可能。

内容的提问来源于stack exchange，提问作者rwms