Bideratu 25. portua soilik tunelera, ez hosta

Lau gauza lerrokatu behar dira Linux host batek bere SMTP soilik tunel batetik bidali aurretik: bide bat taula dedikatu batean, trafikoa hautatzen duen politika-arau bat, peer-ak onartuko duen jatorri-helbide bat eta asimetriari eusten dion itzulera-bide bat. Bakoitza konfigurazio bereizia da, bere hutsegite-modu propioarekin. Beheko ordenak huts egiteak benetan oker dagoen piezari erakusten dio. Portu zehatzeko bideratze-lana da, ez VPN bide lehenetsiaren eskaera.

Portu-arau bat ez da bide lehenetsia

Tokian sortutako TCP helburuko 25 portuarekin bat egiten duen arau batek trafiko hori izendatzen duzun taula batera bidaltzen du. Arauak ez du ezer sortzen berez: hautatu egiten du, eta taulak paketea eraman dezakeen bide bat eduki behar du. Bien konbinazioak protokolo bakarraren irteera-norabidea soilik hartzen du, beraz beste host batzuetarako birbidaltzea, sartzen diren posta-konexioak eta IPv6 antolamendutik kanpo geratzen dira. Hau VPN lehenetsia beharrean portu zehatzeko politika deitzeak muga hori zintzo mantentzen du.

wg-quick-en bi ezarpen baldintzak dira, ez politikaren zati. AllowedIPs = 0.0.0.0/0 ezarpenak peer-ari IPv4 helburu arbitrarioak eramatea ahalbidetzen dio, eta Table = off ezarpenak wg-quick-i prefixu horretarako bere bide lehenetsia instalatzea eragozten dio. Ez nahastu argibide hauek bere bide-politika aplikatzen duen kudeatzaile batekin, biak ez baitira ados jarriko taula nagusia norena den.

Idatzi bidea, hautatzailea eta zaintzailea

Aukeratu inork beste erabiltzen ez duen taula-zenbaki bat eta lehentasun-pare bat, eta gero aplikatu bidea, hautatzailea eta zaintzailea ordena horretan. Beheko zenbakiak adibideak dira, ez balio erreserbatuak:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo arauak tokiko jatorriko trafikora mugatzen du, eta ipproto tcp dport 25 konexioaren norabidea identifikatzen du; ip-rule erreferentziak bi hautatzaileak dokumentatzen ditu. Nukleo eta iproute2 bertsio unekoetan daude, eta sistema zahar batean araua erabat baztertzen da, hau da, kargatu eta ezerarekin bat egiten ez duen arau bat baino hutsegite argiagoa.

Hurrengo lehentasunean dagoen unreachable araua zaintzailea da. Hura gabe, 51825 taulan falta den bide bat ohiko lehenetsira erortzen da, eta posta esteka fisikoan zehar ateratzen da tunelaren etenaldian, hau da politikak saihesteko eraiki zen kasu zehatza.

Jatorri-helbideak bat etorri behar du

Bidearen src hobespenak beren jatorria lotu ez duten konexioetarako jatorria betetzen du soilik. Ez da itzulpena, eta ez dio lotura esplizituari gainditzen, beraz helbide fisikoari lotutako deabruak helbide horretatik bidaltzen jarraitzen du. Hori aurkitzen baduzu, aldatu deabruaren ezarpena edo diseinatu nahita egindako itzulpen-politika bat, beranduko masquerade orokorra beste konponbide bat baita beste ondorio batzuekin.

Pasabidean, bezeroaren peer-ak benetan jasotzen duen jatorria baimendu behar du, hau da 10.77.0.2/32, ez helburu-prefixu zabala. Bezeroaren 0.0.0.0/0 pasabideko peer bakoitzean kopiatzeak nahasten du zein peer-i dagokion zein trafiko. Pasabideak birbidaltzea, fluxua baimentzen duen suebaki-politika eta itzulera-bidea behar ditu, baita irteera-itzulpena ere goi-erreferentziak tunel-helbide pribatu bat bideratu ezin duenean.

Egiaztatu itzulera-bidea, gero iraunkortasuna

Irakurri bilaketak ezeri sinetsi aurretik, norabide bakoitzak zein taula eta zein jatorri hartzen dituen erakusten baitute. Portu 25eko helburu bat eta portu 443ko helburu bera nahikoa dira:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Lehen bilaketak wg0 eta nahi den jatorria izendatu beharko lituzke, eta bigarrenak ohiko goi-esteka mantendu. Aplikazioak bere helbidea lotzen duenean, gehitu from helbide horrekin bilaketari. wg0-ra iritsi eta gero tokian baztertzen den erantzun-norabideak IPv4 alderantzizko bidearen iragazketari seinalatzen dio, irteerako portuaren arauak ez baitu alderantzizko bilaketak tunela hautatzea eragiten.

Bideratze asimetrikoa baimenduta dagoen lekuan, interfaze-era mugatutako modu lasaia net.ipv4.conf.wg0.rp_filter=2 bidez egokia izan daiteke, eta lehenik all eta interfazearen balioen gehienezko eraginkorra egiaztatzea merezi du. Ez desgaitu baliozkotzea globalki lasterbide gisa. Gero eman taula, lehentasunak eta zaintzailea konfigurazioa duenari, eta ireki konexio berriak berriz konektatu ondoren hautaketak oraindik eusten duela baieztatzeko. Kontuan izan tokiko SMTP entzule baten erantzunek jatorri-portua 25 daramatela, ez helburu-portua 25, eta hori politika-kontu bereizia da.