Tacar nftables á chothú ag DNS go WireGuard: conas a oibríonn an lámhachán

Réitítear ainmneacha go seoltaí, agus is féidir leis na seoltaí sin teacht i dtacar balla dóiteáin a théann i bhfeidhm ar ródú níos déanaí, rud a fhágann gur féidir stiúradh bunaithe ar ainm gan seachfhreastalaí. Is é an deacair ná go gcaithfidh ceithre chomhpháirt lámhachán a dhéanamh i gceart: an réititheoir, an tacar, an t-aicmitheoir a mharcálann sreabhadh nua, agus an piara a iompraíonn é. Teipeann ar gach lámhachán ar bhealach difriúil agus coimeádann gach ceann a am féin.

Caith le dearadh mar shlabhra seachas mar chumraíocht. Is é an cheist ag gach céim cé acu comhpháirt a shealbhaíonn an cinneadh agus cad a tharlaíonn nuair a bhíonn a hionchur ar iarraidh.

Cad is féidir leis an bhfreagra DNS a dhéanamh agus cad nach féidir

Is féidir le dnsmasq seoltaí a chóipeáil ó fhreagraí isteach i dtacar nftables, rud is cothú é seachas cinneadh ródaithe. Ainmníonn an rogha sin, atá doiciméadaithe sa lámhleabhar dnsmasq, an teaghlach, an tábla agus an tacar, agus ní roghnaíonn a 4# tosaigh ach taifid A, mar sin teastaíonn a socrú féin ó chinn scríbe v6. Caithfidh an tacar a bheith ann cheana, mar cuireann an réititheoir eilimintí le rud a chruthaigh úinéir an bhalla dóiteáin. Ní roghnaíonn aon rud sa chéim sin comhéadan, tábla ná piara.

Caithfidh an cliant an réititheoir sin a úsáid don ainm freisin. Ceanglaíonn feidhmchlár a bhfuil a DNS criptithe féin aige, nó freagra i dtaisce ó roimh an bpolasaí, gan aon iontráil sa tacar a chruthú.

Ionchur is ea an tacar, ní ród

Is coinníoll meaitseála é eilimint i dtacar. Caithfidh rud éigin féachaint uirthi, cinneadh a dhéanamh go gcuireann an phacáid seo tús le sreabhadh nua, agus an polasaí a chur i bhfeidhm a sheolann an sreabhadh tríd an tollán. Ar Linux is iondúil go gciallaíonn sé sin cosán amach atá in ann ródú a dhéanamh agus ar féidir marc a shocrú air, riail a sheolann pacáidí marcáilte chuig tábla tiomnaithe, agus ród sa tábla sin a dhíríonn ar an ngléas WireGuard. Ní shuiteálann ballraíocht ina haonar aon cheann díobh sin.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

Cuireann an piara dara seiceáil clúdaigh i bhfeidhm a ndéanann daoine dearmad uirthi. Ní chriptíonn WireGuard pacáid ach do phiara a bhfuil an ceann scríbe i measc a sheoltaí ceadaithe, mar sin ní leor ród polasaí isteach sa chomhéadan nuair a fhágann liosta an phiara an réimír sin ar lár. Coinnigh an liosta faoi smacht úinéir an ródaithe seachas brath ar cibé cruthú ród a dhéanann an bainisteoir.

Marcanna, táblaí agus clúdach an phiara

Is spás ainmneacha comhroinnte iad marcanna, mar sin caithfear an luach agus an masc araon a aontú le haon rud eile a úsáideann iad. Teastaíonn toradh sainithe ó riail a sheolann trácht marcáilte chuig tábla tiomnaithe nuair nach bhfuil aon ród mheaitseála sa tábla sin, mar is féidir le cuardach gan fhreagra leanúint ar aghaidh go dtí an chéad riail eile agus an phacáid a sheoladh amach tríd an gcomhéadan fisiceach. Iompaíonn ród réamhshocraithe blackhole laistigh den tábla tiomnaithe an t-éalú ciúin sin ina mhúchadh infheicthe. Rud nach féidir leis an dearadh fós a dhéanamh is é dúnadh ar theip do cheann scríbe nár tháinig isteach sa tacar riamh.

Caithfidh pacáidí seachtracha an tolláin féin éalú ón aicmitheoir. Soláthraíonn uirlisí WireGuard marc soicéid go díreach chun na críche sin, agus coisceann a úsáid an t-ionchapslú a ródú ar ais isteach sa chomhéadan atá á thógáil aige.

Tástáil gach saol ar leith

Éiríonn trí stóras níos sine de réir trí sceideal: taisce an réititheora, eilimintí an tacair agus an nasc a rianaítear. Tástáil iad san ord sin agus breathnaigh an mbogann gach ceann nuair ba chóir. Léann na horduithe thíos an réititheoir, an tacar, tábla na nasc agus rialacha an pholasaí gan aon rud a athrú.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

Cruthaíonn cuardach úr a chuireann eilimint leis go n-oibríonn an chothú, agus is míshuíomh saoil é eilimint shean a mhaireann níos faide ná a freagra ar fiú é a scríobh síos. Taispeánann nasc nua i dtábla na nasc leis an marc a bhfuiltear ag súil leis gur ritheadh an t-aicmitheoir, agus is iompar ceart é sean-nasc a choimeádann a bhunmharc seachas fabht. Freagraíonn liosta na rialacha an bhfuil an cuardach polasaí ann ar chor ar bith, rud atá difriúil ón gceist ar mheaitseáil sé. Léigh na ceithre aschur san ord sin agus nochtfaidh an lámhachán a theipeann é féin.

Nuair is é an ceanglas go n-úsáideann ainm áirithe cosán amháin i gcónaí, ní féidir le tacar á chothú ag DNS é sin a chruthú, mar iompraíonn seoltaí comhroinnte ainmneacha eile freisin. Is é seachfhreastalaí nó meicníocht ar leibhéal an fheidhmchláir an uirlis don ráthaíocht sin.