Grwpiau cymheiriaid WireGuard yn y canolbwynt: perchnogaeth ffynhonnell a pholisi

Gall canolbwynt sy'n rhedeg WireGuard gadw grwpiau cymheiriaid ar wahân heb ryngwyneb na thabl llwybro ar wahân i bob grŵp. Mae dau fecanwaith yn gwneud y gwaith, a'u drysu yw'r rheswm arferol pam mae polisi'n edrych yn gywir ac yn gwneud dim. Mae un haen yn penderfynu pwy gaiff hawlio cyfeiriad ffynhonnell. Mae'r llall yn penderfynu i ble y caiff y pecyn hwnnw fynd.

Dau waith, wedi'u cadw ar wahân

Mae'r haen twnnel yn ateb cwestiwn cul: a wnaeth allwedd y cymheir hwn awdurdodi'r cyfeiriad ffynhonnell mewnol hwn. Mae'r haen anfon ymlaen yn ateb un ehangach: a gaiff y pecyn hwn adael tuag at y gyrchfan honno. Nid yw'r naill yn ateb cwestiwn y llall, ac nid yw'r naill ar ei ben ei hun yn bolisi mynediad cyflawn.

Dyna pam y gall cymheir gael ei ddilysu, gael cyfeiriad cywir, ac eto fethu cyrraedd gwesteiwr na ddylai ei gyrraedd. Mae hefyd yn esbonio'r gwrthwyneb: nid yw rheol wal dân sy'n caniatáu popeth yn profi dim am bwy gaiff hawlio pa gyfeiriad.

Dyluniwch y ddwy haen gyda'i gilydd, yna profwch y ddwy. Mae cyfluniad sy'n gywir mewn un haen ac heb ei brofi yn y llall yn methu'n agored neu'n gaeëdig yn dibynnu ar y rhagosodiad.

Rhowch ei gyfeiriad ei hun yn unig i bob cymheir

Mae cymheiriaid amlwesteiwr yn eich temtio i roi'r amrediad grŵp cyfan ar ochr y gweinydd. Mae'r caniatâd hwnnw'n hawliad cyfeiriad ffynhonnell, felly gall cleient sydd wedi'i gyfaddawdu neu wedi'i gamgyflunio gyflwyno unrhyw gyfeiriad yn yr amrediad a bydd y twnnel yn ei dderbyn. Neilltuwch /32 i bob cymheir ar gyfer ei gyfeiriad mewnol ei hun. Gosodwch amrediadau grŵp yn y cleientiaid yn unig, lle maent yn disgrifio pa gyrchfannau y caiff y cleient hwnnw eu cyrraedd yn hytrach na pha ffynonellau y caiff eu defnyddio.

Yna mae'r wal dân yn paru ffynhonnell y gall ymddiried ynddi. Mae rheol a ysgrifennwyd ar gyfer amrediad y grŵp yn dal yn grwpio defnyddiol, ac nid yw'n ystyrlon oni bai na all unrhyw gymheir unigol hawlio cyfeiriad sy'n perthyn i aelod arall.

Ysgrifennwch y polisi anfon ymlaen sy'n gwahanu grwpiau

Mae'r traffig diddorol yma'n mynd i mewn ac allan drwy'r un rhyngwyneb twnnel, felly mae'n croesi'r llwybr anfon ymlaen yn hytrach na llwybr mewnbwn y gwesteiwr. Mae rheolau'n perthyn i'r gadwyn anfon ymlaen bresennol gan ba bynnag reolwr wal dân sy'n berchen ar y gwesteiwr, ac maent yn ddarnau yn hytrach na set reolau gyflawn.

iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept
iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept
iifname "wg0" oifname "wg0" drop

Mae'r ddwy reol gyntaf yn caniatáu traffig o fewn pob grŵp. Mae'r olaf yn rhwystro popeth arall sy'n croesi'r rhyngwyneb hwnnw, a dyna sy'n creu ynysu rhwng y grwpiau. Ychwanegwch reolau penodol ar gyfer y teulu cyfeiriadau arall os oes eu hangen arnoch, oherwydd nid yw gollwng a ysgrifennwyd ar gyfer IPv4 yn awdurdodi nac yn disgrifio ymddygiad IPv6.

Mae'r drefn yn penderfynu a yw'r polisi'n gymwys

Mae trefn rheolau'n bwysicach na'r darn ei hun. Mae rheol generig sy'n derbyn cysylltiadau sefydledig, wedi'i gosod o flaen y cofnodion hyn, yn gadael i hen ffrwd drawsgrŵp barhau, felly dim ond i gysylltiadau newydd y mae'r ynysu'n gymwys. Penderfynwch pa un o'r ddau ganlyniad a ddymunwch cyn ail-lwytho.

Nid yw dedfryd derbyn ychwaith bob amser yn derfynol ar draws cadwyni ar yr un bachyn. Os bydd cadwyn sylfaen arall yn rhedeg yn ddiweddarach, y polisi effeithiol yw'r cyfuniad, felly archwiliwch y cyfrifwyr yn hytrach na'r ffeil a olygwyd gennych. Y cyfrifwyr yw'r dystiolaeth ratoeaf sydd ar gael. Nid yw rheol heb gyfrif pecynnau yn paru, ac mae rheol sy'n paru tra bo cadwyn ddiweddarach yn derbyn yn dweud wrthych fod y gollwng yn y lle anghywir.

Profwch y matrics, nid nifer y ffeiliau

Adeiladwch fatrics fach o ganlyniadau disgwyliedig a gwiriwch bob cell. Dylai grŵp A i grŵp A weithio, dylai grŵp B i grŵp B weithio, ac ni ddylai A i B weithio, yn y ddau gyfeiriad ac ar gyfer y ddau deulu cyfeiriadau os ydych yn eu cefnogi.

nft list ruleset
wg show wg0 allowed-ips
ping -c 2 10.66.10.5
conntrack -L -s 10.66.20.7 2>/dev/null | head

Mae'r ddau gyntaf yn dangos beth sydd wedi'i ffurfweddu. Mae'r ping oddi wrth aelod o'r grŵp anghywir yn dangos beth sy'n digwydd mewn gwirionedd. Mae'r rhestr conntrack yn dangos a oes hen ffrwd yn dal i gael ei derbyn, a dyna sut mae newid mewn ynysu'n methu'n dawel â dod i rym.

Mae gwasanaethau gwesteiwr ar y canolbwynt a mynediad i LAN y tu ôl iddo'n llwybrau ar wahân â pholisi ar wahân. Cofnodwch pa un ohonynt y mae'r matrics yn ei gwmpasu, oherwydd nid yw prawf sy'n gwirio traffig cymheir-i-gymheir yn unig yn dweud dim am y naill na'r llall.