Kill switch ar an ródaire a chlúdaíonn FORWARD, OUTPUT agus IPv6

Logálann tú isteach ar an ródaire, greamaíonn tú sraith rialacha kill switch ó phost fóraim, agus stopann an LAN ag brabhsáil an nóiméad a thiteann an tollán. Dhá lá ina dhiaidh sin tá an ródaire fós ag nuashonrú a thaifead DNS dinimiciúil thar an ngnáth-WAN, agus tá an ríomhaire glúine aíonna fós ag sroicheadh suíomhanna IPv6. Tá an dá iompar normal, mar chlúdaigh na rialacha greamaithe slabhra amháin agus teaghlach seoltaí amháin, agus ní hé ceachtar acu an ródaire iomlán. Taispeánann siúl na gconairí paicéad in ord go beacht cad a fágadh ar lár.

Tosaigh ag an ródaire, ní ag an ríomhaire glúine

Tá polasaí ar leibhéal an ródaire tarraingteach do mhion-oifig mar go bhfaigheann gach gléas taobh thiar de an t-iompar céanna agus ní féidir le duine ar bith dearmad a dhéanamh lasc cliaint a chumasú. Tugann sé áit amháin duit freisin chun tástála tar éis gach nuashonraithe firmware. Rud nach dtugann sé duit ná clúdach uathoibríoch ar thrácht an ródaire féin ná ar dhara teaghlach seoltaí, agus is iad sin an dá bhearna atá taobh thiar de mhórchuid na n-imscarthaí teipthe.

Sula ndéanfaidh tú aon rud a eagrú, scríobh trí fhíric ar pháipéar: ainm an chomhéadain WAN, ainm dhroichead an LAN, agus seoladh agus port chríochphointe an VPN. Beidh an triúr ag teastáil uait sna rialacha, agus is é buille faoi thuairim faoi ainmneacha comhéadan an chúis is coitianta nach ndéanann sraith rialacha a bhfuil cuma cheart uirthi aon rud.

Siúil na trí chonair ar féidir le paicéad a thógáil

Déantar trácht ó ríomhaire glúine chuig an idirlíon a chur ar aghaidh, mar sin téann sé trí shlabhra FORWARD. Téann trácht a ghineann an ródaire féin, amhail aistriú DNS, fiosrúcháin NTP, nuashonruithe DDNS agus cainéal rialaithe an VPN, trí OUTPUT. Tagann trácht bainistíochta a chuirtear chuig an ródaire isteach trí INPUT.

Dá bhrí sin ní chosnaíonn kill switch a tógadh in FORWARD amháin ach na cliaint agus faic eile. Taispeánann an tábla cén fáth a bhfuil an sceitheadh sa radharc tosaigh intuartha seach a bheith mistéireach.

I bhformhór na ndearaí ní theastaíonn kill switch ar INPUT uait, ach caithfidh tú rochtain bhainistíochta a choinneáil ag obair agus an tollán síos. Mura ndéanfaidh tú, tiomáinfidh tú chuig an oifig le cábla consóil an chéad uair a theipeann ar an VPN.

Ordaigh na rialacha ionas gur féidir leis an tollán teacht aníos fós

Is liosta ceada é kill switch a oibríonn a chríochnaíonn le diúltú, agus is é an t-ordú a dhéanann kill switch de seachas brící. Ceadaigh loopback, críochphointe an VPN, freagraí do shruthanna bunaithe agus comhéadan an tolláin ar dtús; diúltaigh don chuid eile ar deireadh.

iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 51820 -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j REJECT

Caithfidh an críochphointe a bheith ina sheoladh ag an bpointe seo, ní ina óstainm. Nuair a chuireann an diúltú deiridh bac ar DNS, ní féidir rialú a ainmníonn óstainm an tsoláthraí a réiteach a thuilleadh, agus ní thosaíonn an tollán arís riamh tar éis atosaithe. Má rothlaíonn an soláthraí críochphointí, réitigh an t-ainm sula gcuirtear an polasaí i bhfeidhm agus athnuaigh an riail sin ón script chéanna.

Macasamhlaigh an cruth in FORWARD do thrácht na gcliaint, agus cuir riail bhainistíochta shoiléir os cionn an diúltaithe. Coinnigh an riail bhainistíochta sin cúng ach inrochtana, agus deimhnigh í trí dhara seisiún SSH a oscailt sula ndúnann tú an chéad cheann. Tá tú féin a chur faoi ghlas le linn athraithe kill switch coitianta go leor le pleanáil dó. Ar ródaire a ritheann WireGuard, cinneann allowed-ips an phiara cad a théann isteach sa tollán, agus cinneann na rialacha seo cad a cheadaítear dul amach gan é.

Teastaíonn a dhoras tosaigh féin ó IPv6

Is IPv4 gach rud thuas. Má tá IPv6 ag obair ar do LAN agus nach n-iompraíonn an tollán ach IPv4, tá bealach díreach chuig an idirlíon ag gach gléas clúdaithe nach bhfeiceann do rialacha nua riamh. B’fhearr le ríomhaire glúine dé-stac é gan stró, agus ní bheidh an kill switch le feiceáil briste ach ag an duine a thástálann le IPv4.

ip6tables -A FORWARD -i br-lan -j REJECT
ip6tables -A OUTPUT -o eth0 -j REJECT
ip6tables -A OUTPUT -o lo -j ACCEPT

Tá tábhacht leis an ordú anseo freisin: caithfidh glacadh an loopback teacht roimh dhiúltú an WAN, nó tosóidh seirbhísí áitiúla ar an ródaire ag teip ar bhealaí aisteacha. Mura n-úsáideann an líonra IPv6 ar chor ar bith, is simplí é a dhíchumasú ar an WAN agus ar an LAN agus ní fhágann sé aon rud le dearmad.

Suiteálann roinnt cliant VPN bealach réamhshocraithe do IPv4 amháin agus fágann siad an bealach réamhshocraithe IPv6 atá ann cheana gan teagmháil. Seiceáil an tábla ródaithe tar éis an tollán a nascadh seach a bheith ag glacadh leis go ndearna an cliant é.

Cruthaigh é leis an tollán síos

Stop an tollán ón ródaire agus tástáil ó thrí áit san ord seo:

# systemctl stop wg-quick@wg0
# ip route get 203.0.113.1
# curl -m 5 -sS http://example.com || echo blocked
# iptables -vnL OUTPUT | head
# ip6tables -vnL OUTPUT | head

Insíonn an chuardach ródaithe duit cá rachadh paicéad, agus insíonn na cuntair duit ar mheaitseáil do rialacha riamh. Ní chosnaíonn riail le nialas paicéad tar éis tástála teipthe aon rud, agus is é an ghnáthchúis ainm comhéadain atá difriúil ón gceann a chlóscríobh tú. Tástáil go sainráite trácht a ghineann an ródaire, mar ní féidir le tástáil ó thaobh an LAN OUTPUT a fheidhmiú.

Socraigh mód na teipe sula mbeidh sé ag teastáil uait. Coinníonn fail-closed na cliaint as líne go dtí go bhfillfidh an tollán; cuireann fail-open rochtain ghnáth-WAN ar ais agus milleann sé an chuspóir don trácht a raibh cúram ort faoi. Is dara sraith úsáideach d’fhormhéid fail-closed é bealach blackhole chuig linn an VPN le meitreo ard, ós rud é go maireann sé nuair a imíonn bealach an tolláin in ionad titim ar ais chuig an réamhshocrú.

Ná glac leis an socrú go dtí go dteipeann ar chliant LAN, ar iarratas a ghineann an ródaire agus ar iarratas IPv6 go léir leis an tollán síos, agus go n-oibríonn an triúr arís nuair a bhíonn sé suas.