Nola eman probako LAN bati bere WireGuard irteera propioa

Hiru diseinuk laborategiko arazo bera konpontzen dute: LAN txiki batek WireGuard pareko baten bidez irten behar du, pasabideak berak ohiko goranzko esteka mantentzen duen bitartean. Lasterbide tentagarria routerraren lehenetsitako bidea tunelera eramatea da, baina horrek kutxaren beraren kudeaketa-bidea eta birbidaltzen duen guztia hausten ditu. Aukera interesgarria interfaze bakarrera eta aurrizki bakarrera mugatutako politika-bideratzea da. Hautatu haien artean benetan duzun makinari buruzko hiru galderari erantzunez.

Erabaki non bizi den irteera

Lehen galdera: host honek beste zerbaitetarako birbidaltzen al du? Laborategiko pasabide dedikatu batek lehenespenez guztia baztertzen duen birbidaltze-politika onar dezake. Ekoizpen-zereginak dituen router batek ezin du, eta kudeatutako suebaki baten gainean arau-multzo lehiakor bat jartzea da hain zuzen ere etenaldiak programatzeko modua. Bigarrena: bi politika-objektu eta haien ordena berrabiarazten zehar eduki ditzakezu? Hirugarrena: duzun parekoak zure tunelaren iturburu-helbidea baimentzen al du eta interneteko irteera eskaintzen al du? Bakarrik sare pribatu bat erakusten duen parekoa beste produktu bat da, eta tokiko bideratze-aldaketak ez du hori konpontzen. Edozein erantzun ezezkoa bada, jarri irteera izen-espazio batean edo behin erabiltzeko makina birtual batean.

Izen-espazio batek edo VM batek memoria kostatzen du eta talka-erradio garbia ematen dizu. Politika-bideratzeak bi arau kostatzen ditu eta arazteko kutxa bakarra uzten dizu.

Hautatu zure iturburua baimentzen duen irteera

Laborategi honetako hutsegite gehienak suebakiko arau bakar bat ere existitu aurretik gertatzen dira. Irteerako operadoreak zure paketeek itzulpenaren ondoren daramaten iturburu-helbidea onartu behar du, eta diseinu honetan hori tunelaren helbidea da, ez LANaren aurrizkia. Horregatik maskaratzea hasieratik dagokio diseinuari, eta ez beranduko gehigarri gisa.

Egiaztatu hiru gauza operadorearekin: parekoak zure tunelaren helbidea baimentzen du, IPv4 birbidaltzen du bere buruan amaitzen ez delarik, eta irteerako NATa aplikatzen du. Lehenengoa gabe zure paketeak iritsi eta desagertu egiten dira. Hirugarrena gabe iturburu pribatu batekin irteten dira eta hurrengo jauzian hiltzen dira. Ondoren egiaztatu wg-quickek ez duela bere lehenetsitako bidea instalatzen, eta hori Table = off-k eragozten du; ezarpen horrek bideen sorrera gelditzen du, ez parekoaren AllowedIPs egiaztapenak ez haren DNS kudeaketa.

Bi politika-objektuk egiten dute gidaritza

Gidaritzak taula bat eta arau bat behar ditu. Taulak bi bide ditu: LANaren aurrizkia LAN interfazetik kanpora eta lehenetsitako bide bat tunelatik kanpora. Arauak LAN interfazean iristen den eta aurrizki hori daraman trafikoa taulara bidaltzen du. Erabili iif hautatzailea iturburuaren bat-etortzearekin batera, pasabidearen WireGuard pakete propioak tokian bertan sortzen baitira eta ez baitatoz inoiz bat etorri sarrerako interfaze batekin.

Zaintzailea bilaketaren aurretik dator, ez ondoren. Ordena hori da diseinuaren segurtasun-ezaugarri osoa.

Zaintzailea hautatzaile bereko bigarren araua da, eta haren epaia unreachable da. Emaiozu prioritate numeriko handiagoa, bilaketak irabazten jarrai dezan tunela altxatuta dagoen bitartean. Tunelaren bidea desagertzen denean, bilaketak ez du ezer itzultzen eta zaintzaileak bilaketa gelditzen du, taula nagusiko WAN lehenetsira erortzen utzi beharrean.

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

Itxi atzerapen-hutsunea ireki aurretik

Instalatu zaintzailea lehenengo eta bilaketa geroago. Alderantziz eginez gero, segundo batzuetako leihoa geratzen da, eta bertan probako bezeroaren trafikoak goranzko esteka har dezake.

Iragazkiak osatzen du irudia. forward kakoan onartu LANetik tunelera noranzkoa probako aurrizkiarentzat eta ezarritako itzulera-noranzkoa, eta gero baztertu gainerako guztia; aurrizki horren NATa tunelaren interfazera postrouting-n doa. policy drop birbidaltze-katean uztea da bide falta isuriaren ordez isiltasun bihurtzen duena. Alderantzizko bidearen iragazketak modu lasaia behar du tunelaren interfazean, deskapsulaturik iristen den iturburu publiko batek WAN aldean baitu bere alderantzizko biderik onena. Linuxek all eta interfaze bakoitzeko balioen handiena hartzen du, beraz tunelaren interfazea ezartzea ez da berdinera baliozkotzea nonahi ahultzea.

Frogatu hutsegite-kasuarekin

Galdetu kernelari galdera zehatz bat, bezeroaren iturburu-helbidea eta iristen den interfazea izendatuz. Biak gabe egindako bilaketak beste galdera bati erantzuten dio eta zuzena emango du bi kasuetan. Ondoren begiratu suebakiko kontagailuei, parekoaren transferentzia-egoerari eta bezeroaren zerbitzuari berari.

Probatu kentzea behar bezala. Gelditu tunela araua eta iragazkia lekuan utzita: bezeroa trabatu egin beharko litzateke eta pasabidearen trafiko propioak lanean jarraitu beharko luke. Ondoren gelditu parekoa tokiko interfazeari ukitu gabe, eta hori da bakarrik bidearen presentzian fidatzen diren diseinuak harrapatzen dituen kasua. Azkenik berrabiarazi eta egiaztatu berriro arauen ordena, zaintzailea kentzen duen desmuntatze-kako batek diseinu osoa taula nagusira itzultzen baitu. Idatzi taularen zenbakia, prioritateak eta interfaze-izenak aldaketaren tiketeari, araua gehituko duen hurrengo pertsona izango baita hau hautsiko duena.