Sut i roi allfa WireGuard ei hun i un LAN brawf

Mae tri chynllun yn datrys yr un broblem labordy: mae rhaid i LAN fach adael drwy gymar WireGuard tra bo'r porth ei hun yn cadw ei gyswllt i fyny arferol. Y llwybr byr deniadol yw symud llwybr diofyn y llwybrydd i mewn i'r tiwnel, sy'n torri llwybr rheoli'r blwch ei hun a phopeth arall y mae'n ei anfon ymlaen. Y dewis diddorol yw llwybro polisi wedi'i gyfyngu i un rhyngwyneb ac un rhagddodiad. Dewiswch rhyngddynt drwy ateb tair cwestiwn am y peiriant sydd gennych mewn gwirionedd.

Penderfynwch ble mae'r allfa'n byw

Cwestiwn cyntaf: a yw'r gwesteiwr hwn yn anfon ymlaen ar gyfer unrhyw beth arall? Gall porth labordy pwrpasol fyw gyda pholisi anfon ymlaen sy'n gwrthod popeth yn ddiofyn. Ni all llwybrydd a dyletswyddau cynhyrchu, a gosod set reolau gystadleuol dros wal dân a reolir yw'r union ffordd y caiff ymyriadau eu trefnu. Yr ail: a allwch chi feddu ar ddau wrthrych polisi a'u trefn ar draws ailgychwyn? Y trydydd: a yw'r cymar sydd gennych yn awdurdodi cyfeiriad ffynhonnell eich tiwnel ac yn cynnig allfa i'r rhyngrwyd? Mae cymar nad yw'n datgelu ond rhwydwaith preifat yn gynnyrch gwahanol, ac nid yw unrhyw newid llwybro lleol yn trwsio hynny. Os yw unrhyw ateb yn na, rhowch yr allfa mewn gofod enwau neu mewn peiriant rhithwir tafladwy yn lle hynny.

Mae gofod enwau neu VM yn costio cof ac yn rhoi radiws ffrwydro glân i chi. Mae llwybro polisi yn costio dwy reol ac yn gadael un blwch i chi ei ddadfygu.

Dewiswch yr allfa sy'n awdurdodi eich ffynhonnell

Mae'r rhan fwyaf o fethiannau yn y labordy hwn yn digwydd cyn bod un rheol wal dân yn bodoli. Mae'n rhaid i weithredwr yr allfa dderbyn y cyfeiriad ffynhonnell y mae eich pecynnau'n ei gario ar ôl cyfieithu, sef yn y cynllun hwn gyfeiriad y tiwnel yn hytrach na rhagddodiad y LAN. Dyna pam mae mwgwdio yn perthyn i'r cynllun o'r dechrau yn hytrach nag fel ychwanegiad hwyr.

Cadarnhewch dri pheth gyda'r gweithredwr: bod y cymar yn awdurdodi cyfeiriad eich tiwnel, ei fod yn anfon IPv4 ymlaen yn hytrach na therfynu arno'i hun, a'i fod yn cymhwyso NAT allfa. Heb y cyntaf, mae eich pecynnau'n cyrraedd ac yn diflannu. Heb y trydydd, maent yn gadael â ffynhonnell breifat ac yn marw ar y naid nesaf. Yna gwiriwch nad yw wg-quick yn gosod ei lwybr diofyn ei hun, sef yr hyn y mae Table = off yn ei rwystro; mae'r gosodiad hwnnw'n atal creu llwybrau, nid gwiriadau AllowedIPs y cymar na'i drin DNS.

Dau wrthrych polisi sy'n gwneud y llywio

Mae llywio angen tabl a rheol. Mae'r tabl yn dal dwy lwybr: rhagddodiad y LAN allan o ryngwyneb y LAN, a llwybr diofyn allan o'r tiwnel. Mae'r rheol yn anfon traffig sy'n cyrraedd rhyngwyneb y LAN ac yn cario'r rhagddodiad hwnnw i mewn i'r tabl. Defnyddiwch y dewisydd iif ochr yn ochr â'r cyfatebiaeth ffynhonnell, oherwydd mae pecynnau WireGuard y porth ei hun yn tarddu'n lleol ac yn byth yn cyfateb i ryngwyneb sy'n dod i mewn.

Mae'r gwarchodwr yn dod cyn y chwiliad, nid ar ei ôl. Y drefn honno yw holl briodwedd diogelwch y cynllun.

Mae'r gwarchodwr yn ail reol ar yr un dewisydd y mae ei farn yn unreachable. Rhowch flaenoriaeth rifiadol uwch iddo fel bod y chwiliad yn dal i ennill tra bo'r tiwnel i fyny. Pan fydd llwybr y tiwnel yn diflannu, nid yw'r chwiliad yn dychwelyd dim a'r gwarchodwr yn atal yr ymchwil yn hytrach na gadael iddo ddisgyn i lwybr diofyn WAN y prif dabl.

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

Caewch y bwlch cwympo cyn ei agor

Gosodwch y gwarchodwr yn gyntaf a'r chwiliad yn ail. Mae gwneud hynny'r ffordd arall yn gadael ffenestr o eiliadau lle gall traffig cleient prawf gyrraedd y cyswllt i fyny.

Mae'r hidlydd yn cwblhau'r darlun. Yn y bachyn forward, derbyniwch y cyfeiriad o'r LAN i'r tiwnel ar gyfer y rhagddodiad prawf a'r cyfeiriad dychwelyd sefydledig, yna gollwng popeth arall; mae NAT ar gyfer y rhagddodiad hwnnw ar ryngwyneb y tiwnel yn mynd yn postrouting. Gadael policy drop ar y gadwyn anfon ymlaen sy'n troi llwybr coll yn ddistawrwydd yn hytrach nag yn ollwng. Mae hidlo llwybr gwrthdro angen modd llac ar ryngwyneb y tiwnel, oherwydd mae gan ffynhonnell gyhoeddus sy'n cyrraedd ar ôl dadgapsylu ei llwybr gwrthdro gorau ar ochr y WAN. Mae Linux yn cymryd yr uwch o'r gwerthoedd all a fesul rhyngwyneb, felly nid yw gosod rhyngwyneb y tiwnel yr un peth â gwanhau'r dilysu ym mhob man.

Profwch hyn gyda'r achos methiant

Gofynnwch gwestiwn manwl i'r cnewyllyn drwy enwi cyfeiriad ffynhonnell y cleient a'r rhyngwyneb y mae'n cyrraedd arno. Mae chwiliad heb y ddau yn ateb cwestiwn gwahanol ac yn ymddangos yn gywir naill ffordd. Yna edrychwch ar gownteri'r wal dân, cyflwr trosglwyddo'r cymar a gwasanaeth y cleient ei hun.

Profwch y tynnu'n ôl yn iawn. Stopiwch y tiwnel gan adael y rheol a'r hidlydd yn eu lle: dylai'r cleient aros yn stond a dylai traffig y porth ei hun barhau i weithio. Yna stopiwch y cymar heb gyffwrdd â'r rhyngwyneb lleol, sef yr achos sy'n dal cynlluniau sy'n dibynnu ar bresenoldeb y llwybr yn unig. Yn olaf ailgychwynnwch ac ailwirio trefn y rheolau, oherwydd mae bachyn dadelfennu sy'n tynnu'r gwarchodwr yn rhoi'r cynllun cyfan yn ôl i'r prif dabl. Cofnodwch rif y tabl, y blaenoriaethau ac enwau'r rhyngwynebau ar y tocyn newid, oherwydd y person nesaf sy'n ychwanegu rheol fydd yr un sy'n torri hyn.