WireGuard peer taldeak hubean: iturriaren jabetza eta politika
Eduki peer taldeak bereizita peer bakoitzeko iturburu helbide estuekin eta aurreratze politika batekin, talde bakoitzeko tunel interfaze bereizirik gabe.
WireGuard exekutatzen duen hub batek peer taldeak bereizita eduki ditzake talde bakoitzeko interfaze edo bideratze taula bereizirik gabe. Bi mekanismok egiten dute lana, eta horiek nahastea da politika bat zuzena dirudien eta ezer egiten ez duen ohiko arrazoia. Geruza batek erabakitzen du nork aldarrikatu dezakeen iturburu helbide bat. Besteak erabakitzen du pakete hori noraino joan daitekeen.
Bi zeregin, bereizita
Tunel geruzak galdera estua erantzuten du: peer honen gakoak baimendu al zuen barneko iturburu helbide hau. Aurreratze geruzak zabalagoa erantzuten du: pakete hau irten al daiteke helmuga horretara. Batek ez du bestearen galdera erantzuten, eta batek ere ez da bere horretan sarbide politika osoa.
Bereizketa horregatik egon daiteke peer bat autentifikatuta eta behar bezala helbideratuta, eta hala ere ez iritsi ez lukeen ostalari batera. Alderantzizkoa ere azaltzen du: dena baimentzen duen suebaki arau batek ez du ezer frogatzen nork zein helbide aldarrikatu dezakeenari buruz.
Diseinatu bi geruzak elkarrekin, eta gero probatu biak. Geruza batean zuzena eta bestean probatu gabea den konfigurazioak irekita edo itxita huts egiten du lehenetsiaren arabera.
Eman peer bakoitzari bere helbidea soilik
Ostalarri anitzeko peerrek zerbitzariaren aldean talde barruti osoa ematera bultzatzen zaituzte. Baimen hori iturburu helbide baten aldarrikapena da, beraz, konprometitutako edo gaizki konfiguratutako bezero batek barrutiko edozein helbide aurkez dezake eta tunelak onartu egingo du. Esleitu /32 bat peer bakoitzeko bere barne helbiderako. Ezarri talde barrutiak bezeroetan soilik, non deskribatzen duten bezero horrek zein helmuga irits ditzakeen eta ez zein iturburu erabil ditzakeen.
Orduan suebakiak fidatu daitekeen iturburu batekin egiten du bat. Taldearen barrutirako idatzitako araua multzokatze erabilgarria da oraindik, eta zentzua hartzen du peer bakar batek ere beste kide bati dagokion helbidea aldarrikatu ezin duenean soilik.
Idatzi taldeak bereizten dituen aurreratze politika
Hemen interesgarria den trafikoa tunel interfaze beretik sartzen eta irteten da, beraz aurreratze bidean zehar igarotzen da, ez ostalariaren sarrera bidean. Arauak ostalariaren jabe den suebaki kudeatzailearen lehendik dagoen aurreratze katean sartzen dira, eta zatiak dira, ez arau multzo osoa.
iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept iifname "wg0" oifname "wg0" drop
Lehen bi arauek talde bakoitzaren barruko trafikoa baimentzen dute. Azkenak interfaze hori zeharkatzen duen gainerako guztia blokeatzen du, eta horrek sortzen du taldeen arteko isolamendua. Gehitu esplizituki arauak beste helbide familiarentzat behar badituzu, IPv4rako idatzitako drop batek ez baitu IPv6ren portaera baimentzen ez deskribatzen.
Ordenak erabakitzen du politika aplikatzen den
Arauen ordena zatiak berak baino garrantzitsuagoa da. Konexio ezarriak onartzen dituen arau generiko bat sarrera hauen aurretik jarriz gero, taldeen arteko fluxu zaharra jarraitzen uzten du, beraz isolamendua konexio berriei soilik aplikatzen zaie. Erabaki bi emaitza horietatik zein nahi duzun birkargatu aurretik.
Onarpen epaia ere ez da beti behin betikoa kateen artean kako berean. Beste oinarrizko kate bat geroago exekutatzen bada, politika eraginkorra konbinazioa da, beraz aztertu kontagailuak eta ez editatu duzun fitxategia. Kontagailuak eskuragarri dagoen frogarik merkeena dira. Pakete kontagailurik gabeko arau bat ez dator bat, eta bat datorren arau batek geroagoko kate batek onartzen duen bitartean drop-a leku okerrean dagoela esaten dizu.
Probatu matrizea, ez fitxategi kopurua
Eraiki espero diren emaitzen matrize txiki bat eta egiaztatu gelaxka bakoitza. A taldetik A taldera funtzionatu beharko luke, B taldetik B taldera funtzionatu beharko luke, eta A-tik B-ra ez luke funtzionatu behar, bi norabidetan eta bi helbide familietarako, onartzen badituzu.
nft list ruleset wg show wg0 allowed-ips ping -c 2 10.66.10.5 conntrack -L -s 10.66.20.7 2>/dev/null | head
Lehen biek erakusten dute zer dagoen konfiguratuta. Talde okerreko kide baten ping-ak erakusten du benetan zer gertatzen den. conntrack zerrendak erakusten du fluxu zaharrago bat onartzen ari den oraindik, eta horrela isolamendu aldaketa bat isil-isilik ez da indarrean jartzen.
Hubean dauden ostalari zerbitzuak eta haren atzeko LAN baterako sarbidea politika bereiziko bide bereiziak dira. Idatzi matrizeak zein estaltzen dituen, peer-to-peer trafikoa soilik egiaztatzen duen proba batek ez baitu horietako inori buruz ezer esaten.