Все о VPN — что такое ВПН, как его установить и безопасно ли использовать бесплатные приложения | Блог Совкомбанка

Что должна делать vpn?

VPN может выполнять одну или несколько задач. При этом она сама должна быть защищена от взлома.

Комплексное решение такого рода должно включать следующие функции.

Шифрование IP-адресов

Первоочередная задача VPN – скрыть ваш IP-адрес от интернет-провайдера и других лиц. Так вы сможете отправлять и получать через интернет информацию, которую не увидит никто, кроме вас и VPN-провайдера.

Шифрование журналов

С VPN вы не оставите следов своей активности (истории поиска и посещений, cookie-файлов). Шифрование cookie-файлов особенно важно для сохранности конфиденциальной информации: персональных, финансовых и прочих не предназначенных для посторонних глаз данных, которые вы указываете на сайтах.

Защита при сбоях

В случае сбоя VPN ваше интернет-подключение также должно прерваться. Хорошее VPN-решение своевременно обнаружит проблему и закроет предварительно выбранные программы, чтобы снизить риск хищения данных.

Многофакторная аутентификация

Надежная VPN должна проверять любую попытку входа, используя разные методы аутентификации. Например, после ввода пароля может понадобиться ввести код, отправленный вам на телефон. Это усложнит задачу желающим заполучить ваши данные.

Что такое vpn?

В одном из своих постов я рассказывал подробно о том, как работает VPN и в чём разница между ним и Tor. Советую почитать, если хотите более подробно разобраться в вопросе.

VPN расшифровывается как Virtual Private Network (частная виртуальная сеть). Подключение к такой сети происходит поверх вашего обычного соединения с интернетом. Это означает, что для подключения к VPN-сети нужно иметь работающее соединение с интернетом.

Предложение выше является правдой при правильном выборе VPN-провайдера. Поэтому не стоит устанавливать любые приложения, которые обещают анонимность и безопасность. Было много случаев, когда известный и популярный сервис сливал данные пользователей или вообще использовал их компьютеры для вирусных и DDoS-атак.

Vpn – что это такое и зачем нужно: как работает vpn

Vpn-цепочка из двух и более серверов

Как мы уже упоминали, VPN (ВПН) является связующим звеном между вами и всемирной паутиной. Прослойкой выступает определенный сервер – вы подключаетесь к Германии, соответственно, немецкий сервер является вашим помощником в реализации целей, которые вы преследуете используя VPN.

Тем не менее, у вас может быть и два таких помощника: подключившись к немецкому серверу, вы подключайтесь к испанскому и уже после него вы выходите в интернет, что обеспечивает двойное шифрование – помогает повысить уровень анонимности, то есть, не дать установить подлинный IP-адрес пользователя.

Бытует мнение, что использования цепочки VPN-серверов не повышает уровень анонимности, а только слегка утруждает работу структуры, которая заинтересовалась деятельностью пользователя. Подобные слухи разводят владельцы низкосортных VPN, а VPN-сервисы, которые используют такие цепочки пользуются огромной популярностью довольных пользователей.

По количеству серверов в цепи разделяют на: Double VPN, Tripple VPN и Quadro VPN – два, три, четыре сервера в цепи соответственно. Наиболее популярным решением является Double VPN, что говорит об оптимальности наличия двух серверов в цепочке.

Чтобы скорость VPN соединения не доставляла неудобств, важно правильно подобрать сервера – например, Германия и Франция. Если же вы, находясь в Киеве и подключаетесь к VPN-серверу в Японии, а конечная точка находится в Пакистане, подключение будет происходить гораздо дольше, что скажется и на скорости.

‎бесплатные vpn с помощью беспл

В каких случаях vpn не защищает

К сожалению, VPN не волшебная таблетка, которая защищает от всех угроз — особенно если речь идёт об атаках извне. Перечислим основные случаи, когда ВПН не поможет:

• заражённое устройство — если на вашем компьютере или смартфоне уже есть вирус либо установлена троянская программа, то VPN не сможет защитить вас от хакерских атак. Злоумышленники уже имеют доступ к вашим данным;
• чужой компьютер — подключение к Virtual Private Network на чужом устройстве не защитит ваши данные, если владелец компьютера установил кейлоггер — программу, которая втайне от пользователя узнаёт всё что было напечатано на клавиатуре;
• вредоносные сайты — ни один ВПН не заменит хороший антивирус, поэтому своевременно обновляйте защитные программы и браузер и работайте только с проверенными ресурсами;
• фишинговые атаки — фейковые сайты, имитирующие страницы популярных ресурсов, вредоносные электронные письма, странные ссылки в мессенджерах и другие инструменты, которые могут зашифровать файлы на вашем устройстве — от всего этого Virtual Private Network защитить не сможет. Не переходите по ссылкам из странных писем и не читайте сообщения, если вы не знаете отправителей.

Зачем мне нужен vpn, если я не хожу на запрещённые ресурсы?

Для большинства из нас я составил список из пяти причин, которые доказывают, что VPN нужен всем:

1. Доступ к заблокированным в стране ресурсам;
2. Безопасность в публичных сетях;
3. Безопасность в домашней сети;
4. Защищённое соединение с друзьями;
5. Анонимность.

Наиболее важными пунктами являются первый и пятый. В то время как люди, которых волнует анонимность, сами прекрасно разберутся, что да как. Остальным придётся читать статьи типа этой.

Блокировка доступа к определённым сайтам или приложения в интернете — не всегда плохо. Также не всегда блокировка идёт со стороны государства. Некоторые сервисы, как Spotify, просто не работают в России и сами ограничивают доступ для нас. Доступ к ресурсам может блокировать и сам интернет-провайдер по своим причинам. И, конечно же, государство может блокировать доступ к запрещённым в стране ресурсам.

Здесь я не буду обсуждать, правильно это или нет. И имеет ли вообще смысл такая блокировка. Важно понимать, что при блокировке одного ресурса, может быть случайно ограничен доступ к нескольким другим абсолютно легальным сайтам. Часто такие ошибки не замечает обычный посетитель сети. Но иногда под раздачу по ошибке попадают такие крупные ресурсы, как Google.

Отсюда легко сделать вывод, что VPN нужно иметь под рукой всегда. По крайней мере до тех пор, пока VPN не запретили тоже.

Зачем нужен vpn

Давайте разберемся, для чего вообще нужен VPN. Может, этот ажиотаж — временный, и не стоит и выеденного яйца?

Изначально технологию разработали для обеспечения безопасной и конфиденциальной удаленной работы.

Представьте: сотрудник банка отправился работать на удаленку, а получать доступ к рабочей информации ему теперь необходимо из дома. Как сделать это не затратно и безопасно?

Для решения такой проблемы и придумали виртуальную частную сеть.

1. Компьютеры объединяются в единую сеть, работа между которыми строится на определенных принципах.
2. Сеть не привязана к физическим каналам связи, то есть не нужно протягивать провода вручную, – это здорово облегчает коммуникацию и экономит средства. Подключиться к виртуальной сети можно из любой точки планеты.
3. Для обеспечения безопасности данные внутри сети шифруются. Подключиться к сети не сможет кто угодно — его попросту не пустят без нужного доступа. Именно поэтому в названии и фигурирует слово «частная», то есть сеть не для всех.

Так сотрудники получили доступ к общим файлам без острой необходимости находиться рядом с сервером и без страха допустить утечку информации.

Однако возможности такой сети интересны не только крупным компаниям, но и обычным пользователям интернета.

VPN нужен:

• чтобы объединить разные части одной компании

Руководство может находиться в Москве, бухгалтеры работать из Твери, а специалисты – по всей России;

Сотрудники могут работать где угодно, при этом находиться в одной системе и получать доступ ко всей информации;

• для изоляции информации у определенных отделов внутри компании

Если кому-то нужен частный доступ;

• для обеспечения частичной анонимности

Некоторые ВПН не сохраняют историю браузера, скрывают местоположение и так далее;

Если ресурсы запрещены на территории одной страны, можно подключиться через ВПН к серверу из другой страны, где доступ не заблокирован, и воспользоваться нужным интернет-ресурсом;

• для безопасного подключения

Не секрет, что подключение к общедоступному Wi-Fi не является безопасным, а вот подключение к ВПН защищает данные;

• чтобы не предоставлять свою информацию для показа рекламы

Использовать vpn-сервисы

Компании, которые помогают получить защищённый доступ во всемирную паутину, называются VPN-сервисами. Став пользователем такого сервиса, вы сможете быстро настроить подключение на компьютере или смартфоне. Почти все они платные, в таблице указали примерную стоимость подписки и основные возможности разных ВПН-сервисов.

Принцип работы VPN-сервисов довольно прост:

Далее действия одинаковые для любого типа устройств: вы создаёте учётную запись и активирует ВПН, на экране появляется переключатель, который и будет переводить вас на ВПН-сеть. В настройках вы сможете вручную сменить сервер.

Как же выбрать vpn?

Выбрать VPN-сервис очень сложно. Неискушённый пользователь не видит разницы между сотнями различных программ (а она есть). Продвинутые пользователи сравнивают сервисы по таким параметрам, как анонимность, скорость доступа, хранение логов и многое-многое другое. Немного упростить задачу поможет эта таблица:

А вот такая таблица поможет выбрать VPN-провайдера по местонахождению их серверов.

Задроты могут фапать на табличку не один час. Здесь подробно сравнены практически все VPN-сервисы по самым важным для человечества параметрам: страна юрисдикции, уровень логирования, ограничения скорости, сотрудничество с большим братом.

Если вам лень, то я уже сделал всё за вас.

Запомните, от вашего устройства практически никак не зависит, какой VPN-сервис выбрать. Почти все VPN работают на всех платформах одинаково.

Если вам нужен VPN только для сёрфинга в интернете и доступ к заблокированным ресурсам в браузере, то можно вообще не ставить никаких программ и не шаманить с настройками.

Многие VPN-сервисы предлагают свои расширения для популярных браузеров. Их можно установить и использовать бесплатно, часто даже без регистрации в самом сервисе.

Например, RusVPN сделали бесплатные расширения для Google Chrome и Firefox. Лучший VPN на рынке по результатам тестирования VPN.

Такое расширение нужно просто установить в браузере, как и обычные расширения, и включить тумблер. После чего браузер начинает работать через VPN.

Как настроить vpn?

Как настроить VPN? Пожалуй, это самый бессмысленный вопрос из всех. Конечно, если речь не идёт о настройке OpenVPN или настройке на уровне роутера. Большинство VPN-клиентов на популярных платформах (Windows, Mac, Android, iOS) настраиваются так — скачал, установил, запустил.

Многие не хотят устанавливать VPN потому что боятся потерять в скорости соединения. Да, такая проблема может быть. Скорость может быть ограничена на бесплатных тарифах VPN-сервисов. А вот крупные VPN-провайдеры гарантируют соединение без потери скорости, но в этом случае придется оплатить подписку.

С другой стороны, купить подписку на VPN я рекомендую в любом случае. Потому что бесплатные сервисы так или иначе пытаются «заработать» на своих пользователях. В этом случае страдает защищенность соединения, ваши личные данные или даже информация на устройстве.

Скорость интернет-соединения всегда можно проверить с помощью Speedcheck speedtest. У них также есть мобильные приложения для Android и iOS.

При подключении к правильному VPN-сервису вы не ощутите заметного снижения скорости или увеличения потребления трафика.

Как работает vpn

Как же работает волшебный портал с технической точки зрения? Рассмотрим на простых аналогиях, не углубляясь в детали и сложные термины.

Представьте, что вам нужно попасть в замок. Но вот незадача: страже дали четкие указания не пускать вас туда ни под каким предлогом. А еще дорогу до замка заполонили грабители, которые так и норовят обокрасть нерадивых путников.

Чтобы обойти все препятствия, вы идете по безопасному туннелю, вырытому под землей, и набрасываете на себя личину чужестранца, чтобы пройти в замок.

Примерно так и работает VPN.

• Замок – запрещенный ресурс;
• мошенники с большой дороги – интернет-мошенники, желающие украсть данные;
• туннель – работа ВПН.

В реальной жизни туннель создается между устройством пользователя, например, телефоном и VPN-сервером. Информация передается через него в зашифрованном виде. Ключ к шифрованию есть только у вашего устройства и сервера.

Если к информации получит доступ кто-то третий, то он увидит лишь непонятный набор символов. Таким образом обеспечивается безопасность. Благодаря этому даже ваш провайдер не будет знать, чем вы занимаетесь в сети.

Теперь разберемся с «личиной чужестранца». VPN-серверы могут находиться, где угодно: в России, Индии, США или Швеции. Как только произойдет подключение, сервер заменит ваш IP-адрес на свой.

Получается, что в реальности вы выходите в интернет из России, но из-за VPN сайты будут думать, что на них заходит не «россиянин», а, допустим, «американец» или «швед». Благодаря этому люди могут получить доступ к заблокированным ресурсам. Например, так в свое время обходили блокировку Telegram.

Какой vpn-сервис лучше

В таблице вы можете увидеть сравнительные характеристики самых популярных решений:

Настройка vpn на ос windows 7

Здесь поэтапность не имеет принципиальных отличительных особенностей. Разница только в расположении интересующих нас разделов. Проследуйте в «Панель управления».

Нам понадобится «Сеть и интернет».

Нужен управляющий центр. Отсюда можно управлять сетями и доступом. Понадобится настроить подсоединение. Это будет новое направление.

Понадобится активная кнопочка «Подключение к рабочему месту». Идем дальше. Вверху формы отобразится «Использовать мое подключение к Интернету». Делаем выделение. Высветится форма, где в заявленной последовательности вводятся:

• net;
• Бизнес-Связь;
• поставьте отметку на «Не подключаться сейчас». Вам предложат одновременно осуществить проверку для подсоединения в дальнейшем;
• пройдите дальше.

На открывшейся страничке прописывайте пользовательское имя и пароль. Эти сведения выдаются при оформлении соглашения о предоставлении коммуникационных услуг. Ставьте маркер в окошке, где предлагают запоминание пароля. Дальше будет отображено работающее подключение. Форму можно закрывать.

Находясь в Центре управления, продолжайте работать с настраиваемыми показателями. В форме кликайте на «Изменение параметров адаптера». Высветятся активные и пассивные соединения. Щелкайте на настроенном варианте и выбирайте «Свойства». Делается это через правую клавишу.

Вы будете находиться на форме «Общие». Тут проверяются адресные сведения относительно VPN-сервера. Правильный вид: inter.net.

Дальше переходите в «Параметры». Удалите флажок с предложения «Включать домен входа в Windows».

В форме «Безопасность» также нужно выполнить определенные настройки. Поставьте здесь тип VPN. Ничего прописывать не нужно. Достаточно использовать выпадающий список. Выбирайте пункт: L2TP/IPsec. В строке «шифрование данных» задавайте: необязательное. Нажмите «Ок».

Оставайтесь во вкладке с подключениями. Здесь вам понадобится для «Бизнес-Связь» создавать ярлык.

Когда отобразится сообщение, что создание значка в этой папке невозможно, согласитесь с его переносом на рабочий стол.

Перейдите на основной экран. Тут вы найдете соответствующий ярлычок. Сделайте двойной клик левой кнопочкой мышки. Высветится окно, где следует выбирать «Подключение».

Важно! Запланировав настраивать новое подключение, убедитесь, что в свойствах подсоединения по частной сети установлено автоматическое фиксирование IP-адреса.

Проверить указанный момент вы сможете, пройдя по такому пути:

• проследуйте в «Сеть и Интернет»;
• задавайте интересующий раздел. Это управляющий центр;
• требуется сверить настроенные показатели. Пойдите в форму, где изменяются настройки адаптера;
• прежде, чем находить интересующие сведения, ознакомьтесь с разделами. Понадобятся «Сетевые подключения»;
• нам требуется «Подсоединение по локальной сети»;
• заходите в «Свойства», открывайте «Сеть» выделяйте «TCP/IPv4»;
• щелкайте на «Свойства»;
• пункт о получении IP-адреса автоматическим способом надо активировать, кликните на OK.

Теперь с уверенностью говорим, что подсоединение к VPN выполнено.

Отличие tor от vpn

TOR — единая сеть прокси-серверов, которая создаёт несколько слоёв шифрования данных, иначе это называется «луковой маршрутизацией». TOR защищает конфиденциальность пользователей и скрывает следы их пребывания в интернете.

В сети TOR между пользователем и сайтом есть три узла, которые создают добровольцы. Сначала ваши данные передаются первому добровольцу, который видит ваш IP и знает, кому должен передать эту информацию дальше, однако последующий путь данных ему не виден, он зашифрован.

Второй человек знает от кого получил информацию и кому должен её переслать — о первом отправителе он ничего не знает, как и о том, какую информацию он передаёт. Третий человек знает IP второго добровольца и последний пункт, куда нужно передать данные. Он расшифровывает первоначальные данные и передаёт их системе.

Кажется, что TOR — это надёжный способ защитить информацию и скрыть следы своего пребывания в интернете. Однако вы не сможете узнать, через каких добровольцев проходит трафик — может так случиться, что доступ к информации от трёх узлов окажется у одного лица.

Всё же, TOR можно рассматривать как альтернативу VPN — дадим пошаговую инструкцию, как установить браузер TOR на компьютер.

Построение vpn на базе решения «криптопро ngate»

Существует большое число продуктов, позволяющих использовать VPN в организации, но мы хотим более подробно остановиться на одном — «КриптоПро NGate».

Рисунок 1. Схема работы «КриптоПро NGate»

«КриптоПро NGate» представляет собой сертифицированный ФСБ России универсальный высокопроизводительный VPN-шлюз, разработанный компанией «КриптоПро». Он позволяет быстро и безопасно реализовать защищённый удалённый доступ по протоколу TLS к корпоративным ресурсам и информационным системам через незащищённые каналы связи, в том числе — через интернет.

Важной особенностью NGate, отличающей его от аналогичных решений на рынке, является поддержка протокола TLS с ГОСТ наравне с зарубежными криптографическими алгоритмами. Это позволяет реализовать плавный перевод защиты удалённого доступа на российские алгоритмы, а также обеспечить защищённый удалённый доступ сотрудников в тех случаях, когда использовать ГОСТ невозможно или проблематично, например из-за границы. Для этого NGate имеет особый экспортный вариант VPN-клиента.

Наличие у NGate сертификатов ФСБ России позволяет применять его для охраны важной информации в соответствии с требованиями законодательства РФ, в том числе — в части защиты персональных данных при их передаче по незащищённым каналам связи, а также для обеспечения безопасности удалённого доступа к объектам критической информационной инфраструктуры (КИИ).

NGate обладает широкими возможностями по управлению доступом удалённых пользователей со строгой многофакторной аутентификацией, включая применение токенов и смарт-карт «Рутокен», а также гибким разграничением прав доступа к ресурсам. Кроме того, он предоставляет возможность одновременной работы как с использованием VPN-клиента, поддерживающего все современные операционные системы, так и в условиях веб-доступа с использованием браузера. Во многих существующих альтернативных решениях те же возможности зачастую предполагают использование разных продуктов.

Рисунок 2. Взаимодействие «КриптоПро NGate» с другими точками

NGate поставляется в виде аппаратной или виртуальной платформы и обладает широкой вертикальной и горизонтальной масштабируемостью, что в итоге позволяет создать гибкую конфигурацию системы защиты каналов при удалённом доступе с заданной пропускной способностью.

Таким образом, использование «КриптоПро NGate» вместе с токенами и смарт-картами «Рутокен» даст возможность надёжно защитить доступ сотрудников, работающих вне офиса, к корпоративной сети.

Предшественники vpn

В результате этих усилий появилась ARPANET – сеть с коммутацией пакетов, которая в свою очередь привела к созданию протоколов TCP (Transfer Control Protocol – «протокол управления передачей») и IP (Internet Protocol – «межсетевой протокол»).

Модель TCP/IP состояла из четырех уровней: канального (link layer), межсетевого (internet layer), транспортного (transport layer) и прикладного (application layer). Межсетевой уровень предполагал подключение локальных сетей и устройств к универсальной сети – и здесь стала очевидна уязвимость пользовательских данных.

В 1993 году команде специалистов из Колумбийского университета и Лабораторий Белла удалось создать первую версию современной VPN под названием swIPe.

Год спустя Вэй Сюй (Wei Xu) из компании Trusted Information Systems разработал IPsec – протокол интернет-безопасности, который проверяет подлинность передаваемых информационных пакетов и шифрует их. А затем, в 1996 году, сотрудник Microsoft по имени Гурдип Сингх-Палл (Gurdeep Singh-Pall) создал туннельный протокол «точка-точка», или PPTP.

Протоколы vpn

Архитектура VPN-сетей строится на базе VPN-протоколов, которые применяются для реализации туннелирования между устройствами. Все они различаются между собой характеристиками, принципом работы и доступностью на разных операционных системах.

• OpenVPN. Один из самых безопасных и популярных протоколов, шифрование которого реализуется за счёт использования библиотеки OpenSSL. Программное обеспечение доступно для большинства популярных операционных систем — Windows, macOS, Linux, Android, iOS.
• SSTP (Secure Socket Tunneling Protocol). Надёжный протокол, сравнимый по уровню безопасности с OpenVPN. Этот вариант удобен, если предполагается использовать VPN на компьютере под управлением OC Windows или Linux. Поддержка на других популярных системах, таких как Android или IOS, отсутствует.
• L2TP (Layer 2 Tunneling Protocol) / IPSec. По безопасности превосходит предыдущие варианты, благодаря защитным алгоритмам IPSec (Internet Protocol Security). По сравнению с OpenVPN, производительность протокола ниже. Это происходит из-за двойного инкапсулирования данных. Поддерживается всеми распространёнными операционными системами.
• IKEv2 (Internet Key Exchange version 2) /IPsec. Безопасность находится на том же уровне, что и у L2TP/IPSec. Протокол производителен и работает быстрее OpenVPN. Поддерживается на большинстве операционных систем. Кроме того, подключение к серверу автоматически восстанавливается в случае обрыва сети. Это делает удобным использование VPN такого типа на мобильных устройствах.
• PPTP (Point-to-Point Tunneling Protocol). Устаревший протокол, за разработку которого отвечает Microsoft. Поддерживается всеми системами, имеет максимальную производительность, но слабо защищён.

Российский опыт

VPN-сервисы пока не запрещены российским законодательством. Ограничения касаются не обычных пользователей, а только тех компаний и частных лиц, которые предоставляют услуги ВПН. В 2022 году были внесены правки в Федеральный закон «Об информации, информационных технологиях и о защите информации».

Поэтому владельцы VPN-сервисов по закону теперь обязаны ограждать российских пользователей от заблокированных интернет-ресурсов. Каждый VPN-сервис должен подключиться к Федеральной государственной информационной системе, чтобы отслеживать запрещённые ресурсы и не позволять своим клиентам заходить на такие сайты.

Пока в России не создана инфраструктура, которая позволяет бороться с VPN-сервисами, в основном все запреты касаются только отдельных сайтов, закрытие доступа к которым происходит через блокировку IP-адресов и доменов. Главное, что нужно знать российскому пользователю: работать с ВПН можно, а вот обходить с его помощью запреты и ограничения закона — нельзя.

Управление пользователями

Добавление

В случае, если не используются токены, добавление пользователя осуществляется через тот же скрипт. Скрипт по сути генерит пользовательский ovpn-конфиг и вставляет туда сертификат, подписанный корневым сертификатом.

Если используются токены (см. ниже раздел про токены) тогда сертификат выписывается руками на основе запроса на сертификат, который генерится на токене. Пользовательский конфиг надо делать руками из имеющегося шаблона (из того же самого, из которого генерит конфиг скрипт).

УдалениеУдаление пользователей производится через тот же скрипт установки. Сертификат добавляется в CRL, новый CRL подпихивается vpn-серверу. Все сертификаты, которые есть в CRL сервер считает недействительными и принимать отказывается.

Как отозвать сертификат вручную:

cd /etc/openvpn/easyrsa

# отозвать сертификат
./easyrsa revoke $CLIENT
# сгенерировть новый crl
./easyrsa gen-crl

# удалить старый crl
rm -rf /etc/openvpn/crl.pem
# подменить его новым
cp /etc/openvpn/easy-rsa/pki/crl.pem /etc/openvpn/crl.pem
# openvpn должен уметь читать crl, когда он уже дропнул привилегии до nobody
chown nobody:nobody /etc/openvpn/crl.pem

Фильтрация доступных хостов для клиентов

Клиентов необходимо ограничивать по тем хостам на которые им можно ходить внутри сети, когда они подключаются к openvpn.

Вручную

Идея в том, чтобы ловить пакеты еще на интерфейсе tun0, в который они приходят от клиентов и фильтровать их до того как они попадают в NAT. После NAT фильтровать их будет уже не почему — у них у всех будет ip-адрес openvpn сервера во внутренней сети.

Пакеты, которые проходят сквозь систему (не исходят непосредственно из нее и не являются входящими, т.е. по сути роутятся системой) обрабатываются таблицей FORWARD. Таблицы в iptables обрабатываются сверху вниз, если ни одно из правил в таблице не привело к решению судьбы пакета, тогда срабатывает дефолтное правило.

Подготовка таблицы FORWARD:

# сбросить все
iptables -F FORWARD
# дефолтное правило для таблицы FORWARD - не пропускать ничего
iptables -P FORWARD DROP
# пропускать уже установленные соединения
iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

Пример правил для конкретного клиента. Поскольку дефолтное правило для таблицы — DROP, осталось только разрешить те пары хост порт, куда можно. Разрешить доступ к порту на хосте пинговать сам хост: