Set nftables sy'n cael ei fwydo gan DNS i WireGuard: sut mae'r trosglwyddiad yn gweithio

Mae enwau'n datrys i gyfeiriadau, a gall y cyfeiriadau hynny lanio mewn set mur tân sy'n dylanwadu ar lwybro yn ddiweddarach, sy'n gwneud llywio yn seiliedig ar enw yn bosibl heb ddirprwy. Y tric yw bod pedair rhan yn gorfod trosglwyddo'n gywir: y datryswr, y set, y dosbarthydd sy'n marcio llif newydd, a'r cymar sy'n ei gario. Mae pob trosglwyddiad yn methu'n wahanol ac mae gan bob un ei amser ei hun.

Triniwch y cynllun fel cadwyn yn hytrach na chyfluniad. Y cwestiwn ym mhob cam yw pa ran sy'n berchen ar y penderfyniad a beth sy'n digwydd pan fo ei fewnbwn ar goll.

Beth all ateb DNS ei wneud a beth na all

Gall dnsmasq gopïo cyfeiriadau o atebion i set nftables, sef bwydo yn hytrach na phenderfyniad llwybro. Mae'r opsiwn hwnnw, a ddogfenwyd yn llawlyfr dnsmasq, yn enwi'r teulu, y tabl a'r set, ac mae ei 4# blaen yn dewis cofnodion A yn unig, felly mae angen trefniant eu hunain ar gyrchfannau v6. Rhaid i'r set fodoli eisoes, oherwydd mae'r datryswr yn ychwanegu elfennau at rywbeth a grëwyd gan berchennog y mur tân. Nid oes dim yn y cam hwnnw'n dewis rhyngwyneb, tabl na chymar.

Rhaid i'r cleient ddefnyddio'r datryswr hwnnw ar gyfer yr enw hefyd. Mae cymhwysiad â DNS amgryptiedig ei hun, neu ateb wedi'i storio o'r adeg cyn bod y polisi, yn cysylltu heb greu unrhyw gofnod yn y set o gwbl.

Mewnbwn yw'r set, nid llwybr

Mae elfen mewn set yn amod paru. Rhaid i rywbeth edrych arni, penderfynu bod y pecyn hwn yn dechrau llif newydd, a chymhwyso'r polisi sy'n anfon y llif drwy'r tiwnel. Ar Linux mae hynny fel arfer yn golygu llwybr allbwn â gallu llwybro sy'n gallu gosod marc, rheol sy'n anfon pecynnau wedi'u marcio i dabl pwrpasol, a llwybr yn y tabl hwnnw'n pwyntio at ddyfais WireGuard. Nid yw aelodaeth ar ei phen ei hun yn gosod dim o hyn.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

Mae'r cymar yn cymhwyso ail wiriad sylw y mae pobl yn ei anghofio. Nid yw WireGuard yn amgryptio pecyn ond ar gyfer cymar y mae ei gyfeiriadau a ganiateir yn cynnwys y gyrchfan, felly nid yw llwybr polisi i'r rhyngwyneb yn ddigon pan fo rhestr y cymar yn eithrio'r rhagddodiad hwnnw. Cadwch y rhestr o dan reolaeth perchennog y llwybro yn hytrach na dibynnu ar ba bynnag lwybrau y mae'r rheolwr yn digwydd eu creu.

Marcio, tablau a sylw cymar

Mae marciau'n gofod enwau a rennir, felly rhaid cytuno ar y gwerth a'r mwgwd gyda phopeth arall sy'n eu defnyddio. Mae angen canlyniad diffiniedig ar reol sy'n anfon traffig wedi'i farcio i dabl pwrpasol pan nad oes gan y tabl hwnnw lwybr cyfatebol, oherwydd gall chwiliad heb ateb barhau i'r rheol nesaf ac anfon y pecyn allan drwy'r rhyngwyneb corfforol. Mae llwybr diofyn blackhole o fewn y tabl pwrpasol yn troi'r dianc distaw hwnnw'n golled weladwy. Yr hyn na all y cynllun ei wneud o hyd yw cau ar fai ar gyfer cyrchfan na chyrhaeddodd y set erioed.

Rhaid i becynnau allanol y tiwnel ei hun ddianc rhag y dosbarthydd. Mae offer WireGuard yn darparu marc soced ar gyfer yr union bwrpas hwnnw, ac mae ei ddefnyddio'n atal yr amgapsliad rhag cael ei lwybro yn ôl i'r rhyngwyneb y mae'n ei adeiladu.

Profwch bob oes ar wahân

Mae tri storfa'n heneiddio ar dri amserlen: storfa'r datryswr, elfennau'r set a'r cysylltiad a draciwyd. Profwch hwy yn y drefn honno a gwyliwch a yw pob un yn symud pan ddylai. Mae'r gorchmynion isod yn darllen y datryswr, y set, y tabl cysylltiadau a'r rheolau polisi heb newid dim.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

Mae chwiliad newydd sy'n ychwanegu elfen yn profi bod y bwydo'n gweithio, tra bo hen elfen yn byw'n hirach na'i hateb yn gamgymhariad oes sy'n werth ei nodi. Mae cysylltiad newydd yn ymddangos yn y tabl cysylltiadau gyda'r marc disgwyliedig yn dangos bod y dosbarthydd wedi rhedeg, ac mae hen gysylltiad yn cadw ei farc gwreiddiol yn ymddygiad cywir yn hytrach na nam. Mae'r rhestr rheolau'n ateb a yw'r chwiliad polisi'n bodoli o gwbl, sy'n gwestiwn gwahanol i a oedd wedi cyfateb. Darllenwch y pedwar allbwn yn y drefn honno a bydd y trosglwyddiad sy'n methu yn datgelu ei hun.

Pan fo'r gofyniad yn bod enw penodol bob amser yn defnyddio un llwybr, ni all set a fwydir gan DNS brofi hynny, oherwydd mae cyfeiriadau a rennir yn cario enwau eraill hefyd. Dirprwy neu fecanwaith ar lefel cymhwysiad yw'r offeryn ar gyfer y warant honno.