Dante SOCKS ar loopback do sheirbhís HTTPS trí WireGuard amháin

Tugann an rúnleabhar seo rochtain d'fheidhmchlár atá feasach ar sheachfhreastalaí ar chonair WireGuard atá ann cheana gan port seachfhreastalaí a fhoilsiú ar fhreastalaí an VPN ná ar an idirlíon. Soláthraíonn an daemon SOCKS comhéadan an fheidhmchláir, soláthraíonn WireGuard an chonair IP atá ceadaithe cheana, agus ní dhíontaíonn ceachtar acu an t-úsáideoir ar do shon. Tá aischur ag gach céim thíos agus tá rud éigin le hiniúchadh ag gach ceann: stop an t-ásc, bain an riail nó bain socrú seachfhreastalaí an fheidhmchláir. Ní athraíonn aon rud anseo bealach réamhshocraithe an óstaigh.

Glacann an sampla go bhfuil Dante 1.4.x suiteáilte mar ásc tiomnaithe, bainistithe ar stáisiún oibre Linux iontaofa, agus cuntas seirbhíse agus cumraíocht logála an phacáiste fágtha ina n-áit. Tá seilbh ag an stáisiún oibre ar 10.77.0.2 ar a chomhéadan WireGuard, sroicheann sé 10.60.0.20:443 tríd an tollán sin, agus is é fíor-ainm na seirbhíse app.corp.example.

Céim 1: ceangail an t-éisteoir le loopback amháin

Cuir na rannóga líonra, modha agus rialacha isteach i gcumraíocht ghníomhach an áisc, agus cuir na seoltaí samplacha ina n-ionad. Tagann gach socrú freastalaí roimh na bloic rialacha:

internal: 127.0.0.1 port = 1080
external: 10.77.0.2
external.protocol: ipv4
clientmethod: none
socksmethod: none

client pass {
    from: 127.0.0.1/32 to: 127.0.0.1/32
}

socks pass {
    from: 127.0.0.1/32 to: 10.60.0.20/32 port = 443
    command: connect
    protocol: tcp
}

Is blúire é seo, ní ionadú ar shocruithe úsáideora agus logála an phacáiste. Roghnaigh port áitiúil nár úsáideadh agus dearbhaigh nach bhfuil aon éisteoirí eile, aon rialacha pasála níos leithne ná aon iontrálacha slabhraithe suas-srutha ag an ásc tiomnaithe seo a athródh an conradh. Má d'fhág cumraíocht roimhe seo socks pass gan srian scríbe, bain é sula ndéanfaidh tú tástáil ar bith.

Is é aischur na céime seo an t-ásc a stopadh; féadfaidh an comhad cumraíochta fanacht ar an diosca agus tú á aischur.

Céim 2: scríobh dhá riail, ní ceann amháin

Tugann treoir chumraíochta Dante jabanna éagsúla don dá chineál rialach. Ligeann riail an chliaint ceangal leis an éisteoir loopback, agus is é a ceann scríbe seoladh an éisteora féin. Ligeann riail SOCKS an ceangal leanúnach iarrtha chuig an óstach agus an port ceadaithe. Cuirtear bac ar iarratais neamh-mheaitseála de réir réamhshocraithe, agus sin an fáth a bhfuil riail atá ar iarraidh cosúil go díreach le bealach briste.

Tabhair faoi deara a ndéanann an chumraíocht seo d'aon ghnó gan déanamh: ní iarrann sí pasfhocal SOCKS ar bith. Oireann sé sin d'óstach áitiúil iontaofa, agus ní díonadh úsáideora é. Is féidir le haon phróiseas eile ar an meaisín sin loopback a úsáid freisin. Coinnigh díonadh an fheidhmchláir chéin ina áit, agus ná hathúsáid an fhoirm neamhdhíonaithe seo d'úsáideoirí áitiúla neamhiontaofa ná d'éisteoir atá dírithe ar an LAN.

Céim 3: fíoraigh an bealach ón bhfoinse cheart

external roghnaíonn sé seoladh foinse amach; ní shuiteálann sé bealach WireGuard. Cuardach inléite amháin don fhoinse agus don cheann scríbe samplach:

ip -4 route get 10.60.0.20 from 10.77.0.2

Rith é sin i bhfíor-spás ainmneacha líonra Dante, ní in aon sliogán a bhíonn oscailte agat. Caithfidh an bealach, roghnú piara WireGuard, an cead ar an taobh cianda agus an bealach fillte teacht leis an seoladh foinse sin. Tá cuardach rathúil riachtanach agus ní leor, mar ní deir sé faic faoi cé acu a ghlacann an taobh cianda leis an iarratas.

Seas in aghaidh an mhealladh chun bealach réamhshocraithe a chur leis ionas go n-éireodh leis an gcuardach. Níl an port seachfhreastalaí ann ach ar an stáisiún oibre seo; má athraítear bealach réamhshocraithe an óstaigh chun é a chruthú, cuirtear an dearadh ar fad bunoscionn.

Céim 4: déan tástáil leis an bhféiniúlacht atá beartaithe

Tar éis don úinéir an chumraíocht suiteáilte a bhailíochtú agus an t-ásc a thosú trína bhainisteoir seirbhíse, is é seo a leanas iarratas léiritheach:

curl --proxy socks5h://127.0.0.1:1080 --noproxy '' https://app.corp.example/

Le socks5h, déanann Dante réiteach an chinn scríbe, ach ritheann Dante ar an stáisiún oibre seo, mar sin ní sheolann an socrú DNS chuig taobh cianda an tolláin as féin. Caithfidh an réiteoir ceadaithe a úsáideann Dante an seoladh ceadaithe a thabhairt ar ais don ainm sin. Cuireann an liosta folamh gan seachfhreastalaí bac ar eisceacht oidhreachta SOCKS a sheachaint go ciúin.

Coinnigh bailíochtú ainm óstaigh agus teastais HTTPS sa tástáil, ansin iniúch an t-éisteoir iarbhír agus dearbhaigh an dá leath den chonradh: éiríonn leis an iarratas ceadaithe agus teipeann ar cheann scríbe eisiata. Fíoraigh freisin go bhfanann orduithe seolta gan tacaíocht diúltaithe, mar ligeann an blúire seo an t-ordú SOCKS CONNECT thar TCP agus aon rud atá cosúil le tollán ginearálta UDP nó tollán na feiste ar fad.

Céim 5: socraigh cad a tharlóidh nuair a thiteann an tollán

Déan tástáil ar chaillteanas tolláin agus ar atosú an áisc sula nglaonn tú táirgeadh air seo. Ní chruthaíonn maoirseoir a thosaíonn Dante tar éis WireGuard ródú fail-closed, agus ní chruthaíonn sé DNS fail-closed ach an oiread; caithfear an dá rud a fhorghníomhú trí úinéir an líonra. Breathnaigh cad a dhéanann an feidhmchlár nuair a bhíonn an tollán síos: is toradh maith é earráid ghlan, ní hé an titim chiúin go réiteoir poiblí.

Comhordaigh nuashonruithe má athraíonn seoladh an tolláin cheangailte, mar external tá sé greamaithe de. Nuair nach bhfuil gá leis an socrú a thuilleadh, scoir an t-ásc seo agus socrú seachfhreastalaí an fheidhmchláir le chéile, agus fág bealach WireGuard ag an té ar leis é.