Llwybro dim ond porth 25 i’r twnnel, nid y gwesteiwr

Rhaid i bedwar peth alinio cyn i westai Linux anfon dim ond ei SMTP ei hun allan drwy dwnnel: llwybr mewn tabl pwrpasol, rheol polisi sy’n dewis y traffig, cyfeiriad ffynhonnell y bydd y peer yn ei dderbyn, a llwybr dychwelyd sy’n goroesi’r anghymesuredd. Mae pob un yn ffurfweddiad ar wahân gyda’i fodd methiant ei hun. Y drefn isod yw’r un sy’n gwneud i fethiant bwyntio at y darn sydd wir yn anghywir. Gwaith llwybro sy’n benodol i borth yw hwn, nid cais am lwybr diofyn VPN.

Nid yw rheol porth yn llwybr diofyn

Mae rheol sy’n paru TCP a gynhyrchwyd yn lleol â phorth cyrchfan 25 yn anfon y traffig hwnnw i dabl a enwch. Nid yw’r rheol yn creu dim ar ei phen ei hun: mae’n dewis, ac rhaid i’r tabl ddal llwybr a all gario’r pecyn. Mae cyfuno’r ddau ond yn cwmpasu cyfeiriad allan un protocol, felly mae anfon ymlaen ar gyfer gwesteiwyr eraill, cysylltiadau post sy’n dod i mewn ac IPv6 yn aros y tu allan i’r trefniant. Mae galw hyn yn bolisi penodol i borth yn hytrach na VPN diofyn yn cadw’r ffin honno’n onest.

Mae dau osodiad wg-quick yn ragofynion yn hytrach na rhan o’r polisi. Mae AllowedIPs = 0.0.0.0/0 yn gadael i’r peer gario cyrchfannau IPv4 mympwyol, ac mae Table = off yn atal wg-quick rhag gosod ei lwybr diofyn ei hun ar gyfer y rhagddodiad hwnnw. Peidiwch â chymysgu’r cyfarwyddiadau hyn â rheolwr sy’n cymhwyso’i bolisi llwybrau ei hun, oherwydd bydd y ddau’n anghytuno ynglŷn â phwy sy’n berchen ar y prif dabl.

Ysgrifennwch y llwybr, y dewisydd a’r gwarchodwr

Dewiswch rif tabl a phâr o flaenoriaethau nad oes dim arall yn eu defnyddio, yna cymhwyswch y llwybr, y dewisydd a’r gwarchodwr yn y drefn honno. Mae’r rhifau isod yn enghreifftiau, nid yn werthoedd neilltuedig:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

Mae iif lo yn cyfyngu’r rheol i draffig sy’n tarddu’n lleol, ac mae ipproto tcp dport 25 yn nodi cyfeiriad y cysylltiad; mae’r cyfeirlyfr ip-rule yn dogfennu’r ddau ddewisyydd. Maent yn bodoli ar gnewynnau a rhyddaliadau iproute2 cyfredol, ac ar hen system mae’r rheol yn cael ei gwrthod yn llwyr, sy’n fethiant cliriach na rheol sy’n llwytho ac yn paru â dim.

Y rheol unreachable yn y flaenoriaeth nesaf yw’r gwarchodwr. Hebddi, mae llwybr ar goll yn nhabl 51825 yn disgyn i’r diofyn arferol, ac mae’r post yn gadael dros y ddolen ffisegol yn ystod methiant twnnel, sef yr union achos y lluniwyd y polisi i’w atal.

Rhaid i’r cyfeiriad ffynhonnell gytuno

Mae ffafriaeth src y llwybr ond yn llenwi ffynhonnell ar gyfer cysylltiadau nad ydynt wedi rhwymo un eu hunain. Nid cyfieithiad yw hyn, ac nid yw’n diystyru rhwymiad penodol, felly mae daemon wedi’i rwymo i’r cyfeiriad ffisegol yn dal i anfon o’r cyfeiriad hwnnw. Os mai dyma’r hyn a welwch, newidiwch osodiad y daemon ei hun neu dyluniwch bolisi cyfieithu bwriadol, oherwydd mae masquerade cyffredinol hwyr yn ateb gwahanol â chanlyniadau gwahanol.

Yn y porth, rhaid i bartner y cleient awdurdodi’r ffynhonnell y mae’n ei derbyn mewn gwirionedd, sef 10.77.0.2/32 yn hytrach na rhagddodiad cyrchfan eang. Mae copïo 0.0.0.0/0 y cleient i bob partner porth yn drysu pwy sy’n berchen ar ba draffig. Mae’r porth hefyd angen anfon ymlaen, polisi mur gwarchod sy’n caniatáu’r llif, a llwybr dychwelyd, gan gynnwys cyfieithu allanfa pan na all yr uwchstrwm lwybro cyfeiriad twnnel preifat.

Gwiriwch y llwybr dychwelyd, yna’r parhad

Darllenwch y chwiliadau cyn ymddiried yn unrhyw beth, oherwydd maent yn dangos pa dabl a pha ffynhonnell y mae pob cyfeiriad yn ei chael. Mae un gyrchfan ar borth 25 a’r un gyrchfan ar borth 443 yn ddigon:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Dylai’r chwiliad cyntaf enwi wg0 a’r ffynhonnell a fwriedir, a dylai’r ail gadw’r ddolen uwch arferol. Pan fydd y rhaglen yn rhwymo ei chyfeiriad ei hun, ychwanegwch from â’r cyfeiriad hwnnw at y chwiliad. Mae cyfeiriad ateb sy’n cyrraedd wg0 ac yna’n cael ei ollwng yn lleol yn pwyntio at hidlo llwybr gwrthdro IPv4, oherwydd nid yw rheol sy’n unig ar gyfer porth allan yn gwneud i’r chwiliad gwrthdro ddewis y twnnel.

Lle caniateir llwybro anghymesur, gall modd llac wedi’i gyfyngu i’r rhyngwyneb drwy net.ipv4.conf.wg0.rp_filter=2 fod yn briodol, ac mae’n werth gwirio uchafswm effeithiol y gwerthoedd all a’r rhyngwyneb yn gyntaf. Peidiwch ag analluogi dilysu’n fyd-eang fel tramwyfa. Yna trosglwyddwch y tabl, y blaenoriaethau a’r gwarchodwr i bwy bynnag sy’n berchen ar y ffurfweddiad, ac agorwch gysylltiadau newydd ar ôl ailgysylltu i gadarnhau bod y dewis yn dal. Cofiwch fod atebion o wrandawr SMTP lleol yn cario porth ffynhonnell 25 yn hytrach na phorth cyrchfan 25, sy’n gwestiwn polisi ar wahân.