WireGuard-peer-groepen op de hub: boarne-eigenskip plus belied

In hub dy't WireGuard draait, kin peer-groepen apart hâlde sûnder in aparte interface of routingtabel per groep. Twa meganismen dogge it wurk, en it trochinoar heljen derfan is de gewoane reden dat in belied korrekt liket en neat docht. Ien laach beslút wa't in boarne-adres opeaskje mei. De oare beslút wêr't dat pakket hinne mei.

Twa taken, apart hâlden

De tunnellaach beantwurdet in smelle fraach: hat de kaai fan dizze peer dit ynderlike boarne-adres autorisearre. De trochstjoerlaach beantwurdet in bredere: mei dit pakket nei dy bestimming fuortgean. Gjint fan beiden beantwurdet de fraach fan de oare, en gjint is op himsels in folslein tagongsbelied.

Dy skieding is de reden dat in peer autentisearre, korrekt adressearre en dochs net by steat wêze kin om in host te berikken dy't er net berikke moat. It ferklearret ek it omkearde: in firewallregel dy't alles tastean lit, bewiist neat oer wa't hokker adres opeaskje mei.

Untwerp de beide lagen tegearre en test se dan beide. In konfiguraasje dy't op ien laach korrekt en op de oare net test is, falt iepen of ticht ôfhingjend fan de standertwearde.

Jou elke peer allinnich syn eigen adres

Peers mei meardere hosts ferliede jo om oan de tsjinnerkant it hiele groepsberik te jaan. Dy tastimming is in opeasking fan in boarne-adres, dus in kompromittearre of ferkeard konfigurearre klant kin elk adres yn it berik foarlizze en de tunnel sil it akseptearje. Tawize in /32 per peer foar syn eigen ynderlike adres. Stel groepsberikken allinnich op de klanten yn, dêr't se beskriuwe hokker bestimmingen dy klant berikke mei yn stee fan hokker boarnen er brûke mei.

De firewall fergetallet dan in boarne dêr't er op fertrouwe kin. In regel skreaun foar it berik fan de groep bliuwt in nuttige groepearring, en hy wurdt pas betsjuttingsfol as gjin inkelde peer in adres opeaskje kin dat ta in oar lid heart.

Skriuw it trochstjoerbelied dat groepen skiedt

It nijsgjirrige ferkear giet hjir troch deselde tunnelinterface yn en út, dus it giet oer it trochstjoerpaad en net oer it ynfierpaad fan de host. Regels hearre by de besteande trochstjoerkeatling fan wa't de firewallbehearder ek is dy't de host besit, en se binne fragminten, net in folsleine regelset.

iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept
iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept
iifname "wg0" oifname "wg0" drop

De earste twa regels tastean ferkear binnen elke groep. De lêste blokkearret al it oare dat dy interface oerstekt, en dat is wat de isolaasje tusken de groepen produsearret. Foegje eksplisite regels ta foar de oare adresfamylje as jo dy nedich binne, want in drop skreaun foar IPv4 autorisearret of beskriuwt it gedrach fan IPv6 net.

De oarder beslúts oft it belied jildt

De oarder fan regels is wichtiger as it fragmint sels. In generike regel dy't festige ferbiningen akseptearret en foar dizze ynfieringen pleatst is, lit in âlde stream tusken groepen trochgean, dus de isolaasje jildt allinnich foar nije ferbiningen. Beslút hokker fan dy beide útkomsten jo wolle foardat jo weromlade.

In akseptútsprutsen is ek net altyd definityf oer keatlingen op deselde heak. As in oare basiskeatling letter rint, is it effektive belied de kombinaasje, dus besjoch de tellers yn stee fan it bestân dat jo bewurke hawwe. Tellers binne it goedkeapste bewiis dat der is. In regel sûnder pakkettelling komt net oerien, en in regel dy't oerienkomt wylst in lettere keatling akseptearret, fertelt jo dat de drop op it ferkearde plak stiet.

Test de matriks, net it oantal bestannen

Bou in lytse matriks fan ferwachte resultaten en kontrolearje elke sel. Groep A nei groep A soe wurkje moatte, groep B nei groep B soe wurkje moatte, en A nei B soe net moatte, yn beide rjochtingen en foar beide adresfamyljes as jo se stypje.

nft list ruleset
wg show wg0 allowed-ips
ping -c 2 10.66.10.5
conntrack -L -s 10.66.20.7 2>/dev/null | head

De earste twa litte sjen wat konfigurearre is. De ping fan in lid fan de ferkearde groep lit sjen wat der echt bart. De conntrack-list lit sjen oft in âldere stream noch akseptearre wurdt, en sa slagget in isolaasjewiziging der stil net yn om fan krêft te wurden.

Host-tsjinsten op 'e hub en tagong ta in LAN derachter binne aparte paden mei apart belied. Skriuw op hokker fan dy't de matriks dekt, want in test dy't allinnich peer-oant-peer-ferkear kontrolearret, seit oer gjin fan beide wat.