Treoraigh port 25 amháin isteach sa tollán, ní an t-óstach

Caithfidh ceithre rud teacht le chéile sula seolann óstach Linux a SMTP féin amháin amach trí thollán: ród i dtábla tiomnaithe, riail pholasaí a roghnaíonn an trácht, seoladh foinse a nglacfaidh an peer leis, agus cosán fillte a sheasann an neamhshiméadracht. Is cumraíocht ar leithligh gach ceann acu lena mhód teipe féin. Is é an t-ord thíos an ceann a dhéanann teip a dhíriú ar an bpíosa atá contráilte i ndáiríre. Is obair ródaithe atá sainiúil don phort é seo, ní iarraidh ar ród réamhshocraithe VPN.

Ní ród réamhshocraithe é riail phoirt

Seolann riail a mheaitseálann TCP a ghintear go háitiúil le port sprice 25 an trácht sin chuig tábla a ainmníonn tú. Ní chruthaíonn an riail rud ar bith léi féin: roghnaíonn sí, agus caithfidh ród a bheith sa tábla a fhéadann an paicéad a iompar. Ní chlúdaíonn an dá rud le chéile ach treo amach prótacail amháin, mar sin fanann seoladh ar aghaidh d'óstaigh eile, naisc phoist isteach agus IPv6 lasmuigh den socrú. Má thugtar polasaí atá sainiúil don phort air seachas réamhshocrú VPN, coinnítear an teorainn sin macánta.

Is réamhchoinníollacha iad dhá shocrú wg-quick seachas cuid den pholasaí. Ligeann AllowedIPs = 0.0.0.0/0 don peer spriceanna IPv4 treallacha a iompar, agus stopann Table = off wg-quick óna ród réamhshocraithe féin a shuiteáil don réimír sin. Ná measc na treoracha seo le bainisteoir a chuireann a pholasaí ród féin i bhfeidhm, mar ní bheidh an bheirt ar aon intinn faoi cé a shealbhaíonn an phríomhthábla.

Scríobh an ród, an roghnóir agus an garda

Roghnaigh uimhir tábla agus péire tosaíochta nach n-úsáideann aon rud eile, ansin cuir an ród, an roghnóir agus an garda i bhfeidhm san ord sin. Is samplaí iad na huimhreacha thíos, ní luachanna forchoimeádta:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

Cuireann iif lo an riail i dteorainn le trácht a thagann ón áit féin, agus aithníonn ipproto tcp dport 25 treo an naisc; déanann an tagairt ip-rule doiciméadú ar an dá roghnóir. Tá siad ann i gcinníní agus i leaganacha iproute2 reatha, agus ar sheanchóras diúltaítear don riail amach is amach, rud is teip níos soiléire ná riail a lódáiltear agus nach meaitseálann aon rud.

Is é an riail unreachable ag an gcéad tosaíocht eile an garda. Gan í, titeann ród atá ar iarraidh i dtábla 51825 chuig an réamhshocrú gnáth, agus téann an post amach thar an nasc fisiceach le linn briseadh an tolláin, arb é an cás cruinn ar tógadh an polasaí chun é a chosc.

Caithfidh an seoladh foinse teacht leis

Ní líonann tosaíocht src an róid foinse ach amháin do naisc nár cheangail foinse dá gcuid féin. Ní aistriúchán é, agus ní sháraíonn sé ceangal sainráite, mar sin leanann deamhan atá ceangailte leis an seoladh fisiceach de bheith ag seoladh ón seoladh sin. Más é sin a fhaigheann tú, athraigh socrú an deamhain féin nó dearadh polasaí aistriúcháin d'aon ghnó, mar is réiteach eile é masquerade ginearálta déanach a bhfuil iarmhairtí eile aige.

Ag an ngeata, caithfidh peer an chliaint údarú a thabhairt don fhoinse a fhaigheann sé i ndáiríre, is é sin 10.77.0.2/32 seachas réimír sprice leathan. Má chóipeáiltear 0.0.0.0/0 an chliaint isteach i ngach peer geata, déantar mearbhall faoi cé a shealbhaíonn cé acu trácht. Teastaíonn seoladh ar aghaidh, polasaí balla dóiteáin a cheadaíonn an sreabhadh, agus cosán fillte ón ngeata freisin, lena n-áirítear aistriúchán amach nuair nach féidir leis an bhfeadán uachtarach seoladh tolláin phríobháideach a ródú.

Seiceáil an cosán fillte, ansin an marthanacht

Léigh na cuardaigh sula gcuireann tú muinín in aon rud, mar taispeánann siad cé acu tábla agus cé acu foinse a fhaigheann gach treo. Is leor ceann scríbe amháin ar phort 25 agus an ceann scríbe céanna ar phort 443:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Ba cheart go luafadh an chéad chuardach wg0 agus an fhoinse atá beartaithe, agus ba cheart go gcoinneodh an dara ceann an nasc uachtarach gnáth. Nuair a cheanglaíonn an feidhmchlár a sheoladh féin, cuir from leis an seoladh sin leis an gcuardach. Treo freagartha a shroicheann wg0 agus a chaitear go háitiúil ina dhiaidh sin díríonn sé ar scagadh cosáin chontrártha IPv4, mar ní dhéanann riail atá díreach le haghaidh port amach ar an gcuardach contrártha an tollán a roghnú.

Nuair a údaraítear ródú neamhshiméadrach, d'fhéadfadh mód scaoilte atá teoranta don chomhéadan trí net.ipv4.conf.wg0.rp_filter=2 a bheith oiriúnach, agus is fiú uasmhéid éifeachtach na luachanna all agus an chomhéadain a sheiceáil ar dtús. Ná díchumasaigh bailíochtú go domhanda mar aicearra. Ansin tabhair an tábla, na tosaíochtaí agus an garda don té a shealbhaíonn an chumraíocht, agus oscail naisc nua tar éis athnascadh chun a dhearbhú go bhfuil an rogha fós ann. Coinnigh i gcuimhne go n-iompraíonn freagraí ó éisteoir SMTP áitiúil port foinse 25 seachas port sprice 25, is ceist pholasaí ar leith í sin.