Suuna tunnelisse ainult port 25, mitte host

Pordipõhine reegel saadab tunnelist välja ainult väljuva SMTP. Tabel, lähteaadress ja tagasitee peavad kokku sobima, muidu ei tööta miski.

Neli asja peavad klappima enne, kui Linuxi host saadab tunnelist välja ainult oma SMTP: marsruut eraldi tabelis, poliitikareegel, mis liikluse valib, lähteaadress, mille peer vastu võtab, ja tagasitee, mis asümmeetriale vastu peab. Igaüks on eraldi konfiguratsioon oma vearežiimiga. Allpool olev järjekord on see, mis paneb vea osutama osale, mis on tegelikult vale. See on pordipõhine marsruutimistöö, mitte VPN-i vaikimisi marsruudi taotlus.

Pordireegel ei ole vaikimisi marsruut

Reegel, mis sobitab kohalikult loodud TCP sihtpordiga 25, saadab selle liikluse tabelisse, mille te nimetate. Reegel ise ei loo midagi: see valib, ja tabelis peab olema marsruut, mis suudab paketi kanda. Kahe koosmõju katab ainult ühe protokolli väljuvat suunda, seega teiste hostide edasisaatmine, sissetulevad postiühendused ja IPv6 jäävad sellest korraldusest välja. Selle nimetamine pordipõhiseks poliitikaks, mitte VPN-i vaikimisi režiimiks, hoiab selle piiri ausana.

Kaks wg-quick seadet on eeltingimused, mitte poliitika osa. AllowedIPs = 0.0.0.0/0 lubab peeril kanda suvalisi IPv4 sihtkohti ja Table = off takistab wg-quickil selle prefiksi jaoks oma vaikimisi marsruuti paigaldada. Ärge segage neid juhiseid halduriga, mis rakendab oma marsruudipoliitikat, sest need kaks ei jõua kokkuleppele, kellele põhitabel kuulub.

Kirjutage marsruut, valija ja valve

Valige tabelinumber ja prioriteedipaar, mida miski muu ei kasuta, seejärel rakendage marsruut, valija ja valve selles järjekorras. Allpool olevad numbrid on näited, mitte reserveeritud väärtused:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo piirab reegli kohaliku päritoluga liiklusele ja ipproto tcp dport 25 määrab ühenduse suuna; ip-rule viide dokumenteerib mõlemad valijad. Need on olemas praegustes tuumades ja iproute2 väljaannetes, ning vanemas süsteemis lükatakse reegel täielikult tagasi, mis on selgem viga kui reegel, mis laaditakse ja ei sobi millegagi.

Järgmise prioriteedi unreachable-reegel on valve. Ilma selleta langeb tabelis 51825 puuduv marsruut tavalisse vaikimisi marsruuti ja post väljub tunnelikatkestuse ajal füüsilise lingi kaudu, mis on täpselt see juhtum, mille vältimiseks poliitika loodi.

Lähteaadress peab klappima

Marsruudi src eelistus täidab lähte ainult ühenduste jaoks, mis ei ole sidunud oma lähet. See ei ole tõlge ega tühista selgesõnalist sidumist, seega füüsilise aadressiga seotud deemon jätkab saatmist sellelt aadressilt. Kui leiate täpselt selle, muutke deemoni enda seadet või kujundage teadlik tõlkepoliitika, sest hiline üldine masquerade on teine lahendus teiste tagajärgedega.

Lüüsil peab kliendi peer autoriseerima lähte, mille see tegelikult vastu võtab, see tähendab 10.77.0.2/32, mitte lai sihtprefiks. Kliendi 0.0.0.0/0 kopeerimine igasse lüüsi peeri ajab segi, milline peer mille liiklust omab. Lüüs vajab ka edasisaatmist, tulemüüripoliitikat, mis voolu lubab, ja tagasiteed, sealhulgas väljuvat tõlget, kui ülemine ots ei saa privaatset tunneli aadressi marsruutida.

Kontrollige tagasiteed ja seejärel püsivust

Lugege otsinguid enne, kui millegi peale loote, sest need näitavad, millise tabeli ja millise lähte iga suund saab. Üks sihtkoht pordil 25 ja sama sihtkoht pordil 443 on piisavad:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Esimene otsing peaks nimetama wg0 ja kavatsetud lähte, teine aga hoidma tavalist üleslinki. Kui rakendus seob oma aadressi, lisage otsingule from selle aadressiga. Vastuse suund, mis jõuab wg0-ni ja seejärel lükatakse kohapeal kõrvale, viitab IPv4 pöördtee filtreerimisele, sest ainult väljuva pordi reegel ei pane pöördotsingut tunnelit valima.

Kus asümmeetriline marsruutimine on lubatud, võib liidesepõhine lõtv režiim net.ipv4.conf.wg0.rp_filter=2 kaudu olla asjakohane, ja tasub esmalt kontrollida all ja liidese väärtuste tegelikku maksimumi. Ärge lülitage valideerimist ülemaailmselt välja lühiühendusena. Seejärel andke tabel, prioriteedid ja valve sellele, kes konfiguratsiooni omab, ja avage pärast uuesti ühendamist värsked ühendused, et kinnitada, et valik peab endiselt. Pidage meeles, et kohaliku SMTP-kuulaja vastused kannavad lähteporti 25, mitte sihtporti 25, mis on eraldi poliitikaküsimus.

Seotud artiklid