Cuir cosc ar chliaint VPN a chéile a shroicheadh ar an tollán

Is féidir le beirt chliant an t-óstach léime a oscailt araon agus fós gan gnó ar bith acu a chéile a oscailt. Is cinneadh seolta é seirbhís a shroicheadh, agus is cinneadh polasaí é piara a shroicheadh, agus coimeádann formhór na gcruach VPN iad in oibiachtaí ar leithligh. Ní chuireann aon rud a chumraíonn tú don chéad cheann an dara ceann i bhfeidhm. Mar sin ní hé an tasc riail a chur leis, ach an oibiacht a aimsítear a chinneann trácht na bpiaraí ar an bhfreastalaí seo, an diúltú a scríobh ann agus é a chruthú ó chliant.

Ní cead idir bpiaraí é bealach chuig an tseirbhís chomhroinnte

Insíonn fógairt an fho-líonra cliant do phiara conas paicéad a chur ar an sreang i dtreo sheoladh cliaint eile. Socraítear níos déanaí an seachadfar an paicéad sin, ag an rud a sheolann é. Ar gheata Linux is é an tslabhra FORWARD; taobh istigh de dhaemon i spás úsáideora is é tábla seisiún an tolláin féin. Freagraíonn bealach don inrochtaineacht agus fágann sé an cead gan bhaint.

Sin é an fáth nach gcruthaíonn seiceáil leithlise nach léann ach bealaí aon rud. Is féidir /24 a bhrú chuig gach cliant agus gach paicéad idir bpiaraí á scaoileadh ag an gcrúca seolta. Is é an cás contúirteach a mhalairt: gan riail shainráite, réamhshocrú ceadaitheach, agus leithlisiú nach bhfuil ann ach toisc nach ndearna éinne tástáil air.

Scríobh an ceanglas in aon líne sula n-osclaíonn tú teirminéal. Sroich bloc na seirbhíse agus an t-óstach léime, ná sroich aon rud eile laistigh de bhloc na gcliant.

Aimsigh cé a sheolann paicéad an phiara i ndáiríre

Féachann dhá iompar freastalaí mar an gcéanna ó thaobh an chliaint agus teastaíonn rialacha difriúla uathu. Buailfidh an t-eithne an paicéad amach as comhéadan an tolláin arís, nó déanfaidh an daemon cóip de idir seisiúin agus ní fheicfidh an t-eithne riamh é.

Baineann WireGuard leis an gcéad ghrúpa: níl aon lasc idir bpiaraí ann, mar sin sroicheann paicéad ó 10.8.0.4 go 10.8.0.5 wg0, buaileann sé an crúca seolta agus déantar é a ródú amach as wg0 arís nuair a chlúdaíonn AllowedIPs an dá sheoladh. Is é OpenVPN an dara grúpa nuair a bhíonn client-to-client socraithe i gcumraíocht an fhreastalaí, toisc go dtugann an treoir sin an paicéad idir seisiúin i spás úsáideora. Seiceáil an chumraíocht lódáilte don treoir sin sula scríobhann tú aon rud. Ní féidir riail eithne nach bhfeiceann trácht riamh a idirdhealú ó riail a oibríonn, agus sin mar a chríochnaíonn rolladh amach gan aon leithlisiú.

Léigh an chumraíocht éifeachtach seachas an comhad a ghlacann tú atá lódáilte, mar tagann pacáistí dáileacháin lena n-áirítear féin. Má dhéanann an daemon an seoladh, baineann an diúltú lena rialúcháin féin de réir cliaint, agus ní scagann balla dóiteáin an óstaigh ach trácht atá dírithe chuig an óstach. Má sheolann an t-eithne, is é an crúca seolta an t-aon áit a bhfuil tábhacht leis.

Teastaíonn seiceáil amháin eile ó rolltaí amach ródaithe agus aistrithe: b'fhéidir nach é an fhoinse a fheiceann cliant i bhfad an ceann a mbíonn tú ag súil leis. Ansin ní thagann riail a mheaitseálann fo-líonra na gcliant le haon rud. Tabhair faoi deara an seoladh a mhaireann an t-aistriúchán sula scríobhann tú an mheaitseáil, agus b'fhearr leat an péire comhéadan a mheaitseáil ná buille faoi thuairim a thabhairt faoi sheoltaí NAT.

Tabhair féiniúlacht do gach seoladh is féidir a chúlghairm léi féin

Tagann an leithlisiú chun titim chomh luath agus a roinneann dhá ghléas aon dintiúr amháin. Ní féidir le riail atá ceangailte leis an bhféiniúlacht sin iad a dheighilt, agus cúlghaireann cúlghairm ríomhaire glúine caillte an ghrúpa ar fad. Coimeádann deimhniúcháin in aghaidh an ghléis nó eochracha in aghaidh an phiara an chúlghairm áitiúil agus an polasaí inléite, mar freagraíonn gach seoladh do dhuine nó do mheaisín amháin go beacht. Nuair nach féidir leis an dearadh é sin a dhéanamh, abair é sa runbook seachas cur síos a dhéanamh ar an riail mar cheann mínghráinneach.

Caithfidh leithdháileadh seoladh teacht leis an bpolasaí. Cuir bloc in áirithe do sheirbhísí, bloc do chliaint, agus dáil seoltaí cliant ó linne a rialaíonn tú seachas ó raon an chéad duine a thagann. Má aistríonn nó má dhéanann an freastalaí droichead, coinnigh an tábla mapála in aice na cumraíochta, mar is é an tábla sin a theastaíonn ón gcéad léitheoir eile chun an riail a bhaint amach as an nua.

Cuir an diúltú san áit a dtrasnaíonn an paicéad an tollán

Ar gheata a sheolann trácht WireGuard, clúdaíonn dhá riail an cás: ceadaigh bloc na seirbhíse, ansin scaoil an chuid eile de bhloc na gcliant. Tá an péire comhéadan chomh tábhachtach leis na seoltaí, mar ceapann meaitseáil ar an gceann scríbe amháin trácht a thagann ón LAN freisin. Lódáil iad san ord sin ionas go measúnaítear an cead ar dtús.

Le nftables téann an péire isteach i dtábla inet filter atá ann cheana, cead ar dtús agus scaoileadh ina dhiaidh. Ceanglaíonn an dá mheaitseáil an péire comhéadan chomh maith leis na seoltaí.

nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.2.0/24 accept
nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.0.0/24 drop

Léigh an tslabhra ar ais tar éis an lódála seachas muinín a bheith agat as an stádas scoir, agus deimhnigh go bhfuil an dá riail san ord a bhí beartaithe agat. Cuir rialacha ip6 meaitseálacha leis don pholl IPv6, nó ní bheidh sa phéire v4 ar thollán dé-stac ach maisiú. Má tá polasaí seolta ceadaitheach ag an bhfreastalaí cheana, cuir an scaoileadh leis seachas an tslabhra a athsholáthar go hiomlán.

Nuair a bhíonn client-to-client cumasaithe ar OpenVPN, ní thagann na rialacha seolta seo riamh le trácht na bpiaraí agus caithfidh an diúltú a bheith in rialúcháin féin an daemon. Coinnigh rialacha an eithne do thrácht atá dírithe chuig an óstach, ach ná hairmeáth iad mar an rialú leithlise.

Cruthaigh an diúltú ó chliant, ní ón bhfreastalaí

Ní chruthaíonn tástáil ón gheata aon rud, mar glacann trácht a ghintear go háitiúil an cosán amach agus ní thrasnaíonn sé an crúca seolta riamh. Úsáid beirt chliant fíor: ceann ar chóir an tseirbhís a shroicheadh, ceann ar chóir diúltú dó. Rith an cás ceadaithe ar dtús, ionas nach measfar tollán briste mar pholasaí a oibríonn.

Ón gcliant ceadaithe, deimhnigh go bhfreagraíonn an tseirbhís ar a port. Ón gcliant céanna, bain triail as seoladh an phiara agus bí ag súil le scaoileadh ciúin seachas le diúltú:

ping -c 3 -W 2 10.8.0.5
nc -z -w 2 10.8.0.5 22
nft list chain inet filter forward
iptables -vnL FORWARD
ping -6 -c 3 -W 2 fd00:8::5

Féachann paicéad scaoilte agus piara as líne araon mar chliseadh ama, mar sin seiceáil na háirimh sula dtagann tú ar aon chonclúid. Deimhnigh go dtagann méadú ar áireamh na riail scaoilte agus an piara go soiléir suas. Déan arís thar IPv6, áit a bhfágann ip6-riail in easnamh go bhfeictear diúltú v4 mar rud éifeachtach. Taifead na torthaí a nglactar leo agus a ndiúltaítear dóibh sa runbook leis an dáta, mar bainfidh an chéad imirce eile an riail amach as an nua.