Aon aip amháin trí WireGuard: ní ródú é ceangal

Breathnaíonn an socrú mar lasc in aghaidh na haipe, mar sin ceanglaíonn daoine an cliant leis an gcomhéadan WireGuard agus bíonn siad ag súil nach n-úsáidfidh ach an cliant sin an tollán. Is é a dhéanann an ceangal i ndáiríre ná seoladh foinse a roghnú. Ansin lorgaíonn an eithne bealach chuig an gceann scríbe, aimsíonn sí an gnáthbhealach réamhshocraithe agus seolann sí an paicéad amach tríd an nasc fisiceach agus seoladh an tolláin ceangailte leis. Ní chomhlánaíonn ach bealach a roghnaíodh don seoladh foinse sin an rún.

Tá dhá leath sa mheicníocht: tábla ródaithe nár cheart ach trácht an tolláin a úsáid, agus riail a sheolann an fhoinse mheaitseálaí ansin.

Socraíonn ceangal seoladh foinse, agus sin uile

Roghnaíonn Linux comhéadan amach trí cheann scríbe a lorg i dtábla ródaithe, tar éis deis a bheith ag rialacha beartais an lorg sin a atreorú. Is féidir le rialacha roghnú de réir an tseolta fhoinse, marc balla dóiteáin, an comhéadain isteach, UID nó fiú port; is bealach eile é gach ceann chun an trácht seo a rá in ionad an tráchta ar fad. Roghnaíonn cumraíocht an chliaint VPN an tábla a choinníonn bealaí an tolláin; roghnaíonn an riail cé an trácht a bhfuil cead aige dul ina chomhairle. Ní sholáthraíonn an ceangal amháin ceachtar acu.

Sin é an fáth a bhfuil cuma chomh haisteach ar an teip. Tá an aip ag úsáid sheoladh an tolláin gan dabht, tá an tollán suas gan dabht, agus tá an trácht ag imeacht tríd an gcomhéadan micheart gan dabht. Tá gach ráiteas fíor, agus le chéile cuireann siad síos ar chóras nach raibh aon rud tar éis an seoladh a nascadh leis an mbealach.

Tabhair a thábla féin don tollán

Suiteálann wg-quick bealaí pé áit a ndeir an phróifíl leis. Má chuirtear Table = 40 faoi [Interface], aistrítear iad go tábla 40 in ionad an phríomhthábla. Ardaigh an comhéadan agus deimhnigh gur shroich siad: ba cheart do ip -4 route ls table 40 bealaí an tolláin a thaispeáint, agus taispeánann ip -4 route get 10.66.127.142 conas a réitíonn an eithne ceann acu faoi láthair. Agus na bealaí ina dtábla féin, leanann an príomhthábla ag obair don chuid eile.

Déan an rud céanna do IPv6 in ionad réimír leathan a mheaitseáil. Socraíonn ip -6 rule add from fd00::2/128 lookup 40 aon seoladh amháin; féadfaidh fc00::/8 teacht salach ar chomhéadain eile ar an óstach agus riail a chruthú a mheaitseálann níos mó ná mar a bhí beartaithe.

Cuir an riail foinse leis agus féach ar na contóirí

Ansin ceangail an dá leath: ip -4 rule add from 10.66.127.142/32 lookup 40, agus an seoladh céanna sin ceangailte leis an gcomhéadan WireGuard. Cuir an dá riail in PostUp ionas go n-athshocróidh athnascadh iad. Fíoraigh le fíor-iarratas in ionad socrú: ba cheart do ip route get 1.1.1.1 from 10.66.127.142 ainmniú gléas an tolláin, agus ba cheart do curl --interface wg0 ifconfig.me seoladh an tolláin a thuairisciú in ionad an tseoladh baile.

Nuair a theipeann fós, léigh ip -s rule. Taispeánann riail atá ann ach nár mheaitseáil riamh contóirí ag nialas, agus déanann sé sin idirdhealú idir riail mhicheart agus easpa rialach ar fad. Sábhálann an t-aon ordú sin a lán buille faoi thuairim faoi cé acu ar thug an aip neamhaird ar a socrú comhéadain.

An cás droim ar ais: coinnigh SSH amach ón tollán

Tá an fhadhb eile chomh coitianta céanna: is le wg-quick an bealach réamhshocraithe agus faigheann an seisiún SSH chuig an bhfreastalaí bás i lár an tseisiúin. Tá a rialacha ar uimhir tosaíochta íseal, mar sin caithfear eisceacht a mheas níos luaithe ná iad. Déanann ip rule add dport 22 ipproto tcp table main priority 123 é sin ar iproute2 nua; áit nach bhfuil an roghnóir ar fáil, marcáil an sreabhadh in nftables agus meaitseáil an marc ina ionad.

Seiceáil cosán an fhreagra freisin. De ghnáth bíonn ródú neamhshiméadrach ag seisiún SSH a bhunaítear agus a éiríonn ciúin ina dhiaidh, agus treo amháin ag imeacht tríd an tollán agus an treo eile tríd an gcomhéadan fisiceach. Insíonn ip route get do sheoladh an fhreastalaí cén treo a rachadh an freagra.

Taifead uimhir an tábla, an riail foinse agus an eisceacht sa phróifíl féin. Baineann an triúr le haon dearadh amháin agus cuirfear in eagar le chéile iad.