Grúpaí piaraí WireGuard ag an mol: úinéireacht foinse agus beartas

Is féidir le mol a ritheann WireGuard grúpaí piaraí a choinneáil scartha gan chomhéadan ná tábla ródaithe ar leith do gach grúpa. Déanann dhá mheicníocht an obair, agus is é a meascadh an chúis is gnáthaí go bhfeictear beartas atá ceart agus nach ndéanann sé aon rud. Socraíonn aon chiseal cé a fhéadfaidh seoladh foinse a éileamh. Socraíonn an ceann eile cá bhfuil cead ag an bpacáiste sin dul.

Dhá thasc, coinnithe ó chéile

Freagraíonn ciseal an tolláin do cheist chúng: ar údaraigh eochair an phiara seo an seoladh foinse inmheánach seo. Freagraíonn ciseal an tseolta ar aghaidh do cheist níos leithne: an bhféadfaidh an pacáiste seo imeacht i dtreo an chinn scríbe sin. Ní fhreagraíonn ceachtar acu ceist an chinn eile, agus ní beartas rochtana iomlán ceachtar acu ann féin.

Is é an deighilt sin an chúis gur féidir piara a bheith fíordheimhnithe, seolta i gceart agus fós gan a bheith in ann teacht ar óstach nár cheart dó teacht air. Míníonn sé an droim ar ais freisin: ní chruthaíonn riail balla dóiteáin a cheadaíonn gach rud aon rud faoi cé a fhéadfaidh cén seoladh a éileamh.

Dear an dá chiseal le chéile, ansin tástáil an dá cheann. Cliseann cumraíocht atá ceart i gciseal amháin agus gan tástáil sa cheann eile go hoscailte nó go dúnta ag brath ar an réamhshocrú.

Ná tabhair do gach piara ach a sheoladh féin

Meallann piaraí il-óstach tú chun an raon grúpa iomlán a dheonú ar thaobh an fhreastalaí. Is éileamh ar sheoladh foinse an cead sin, mar sin is féidir le cliant atá curtha i gcontúirt nó mí-chumraithe aon seoladh sa raon a chur i láthair agus glacfaidh an tollán é. Sann /32 in aghaidh an phiara dá sheoladh inmheánach féin. Socraigh raonta grúpa ar na cliaint amháin, áit a ndéanann siad cur síos ar cé na cinn scríbe a fhéadfaidh an cliant sin a bhaint amach seach cé na foinsí a fhéadfaidh sé a úsáid.

Meaitseálann an balla dóiteáin foinse is féidir leis muinín a bheith aige aisti ansin. Fanann riail a scríobhadh do raon an ghrúpa ina grúpáil úsáideach, agus ní bhíonn sí bríoch go dtí nach féidir le haon phiara aonair seoladh a éileamh a bhaineann le ball eile.

Scríobh an beartas seolta ar aghaidh a scarann grúpaí

Tagann an trácht suimiúil isteach agus amach anseo tríd an gcomhéadan tolláin céanna, mar sin trasnaíonn sé an chonair seolta ar aghaidh seach conair ionchuir an óstaigh. Baineann na rialacha le slabhra seolta ar aghaidh atá ann cheana ag cibé bainisteoir balla dóiteáin a shealbhaíonn an t-óstach, agus is blúiríní iad seach tacar rialacha iomlán.

iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept
iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept
iifname "wg0" oifname "wg0" drop

Ceadaíonn an chéad dá riail trácht laistigh de gach grúpa. Cuireann an ceann deireanach bac ar gach aon rud eile a thrasnaíonn an comhéadan sin, agus is é sin a tháirgeann an t-aonrú idir na grúpaí. Cuir rialacha follasacha leis don teaghlach seoladh eile má theastaíonn siad uait, mar ní údaraíonn ná ní chuireann drop a scríobhadh do IPv4 síos ar iompar IPv6.

Socraíonn an t-ordú an gcuirtear an beartas i bhfeidhm

Tá ord na rialacha níos tábhachtaí ná an blúire féin. Ligeann riail ghinearálta a ghlacann le naisc bhunaithe, agus a chuirtear roimh na hiontrálacha seo, do shean-sreabhadh idirghrúpa leanúint ar aghaidh, mar sin ní bhaineann an t-aonrú ach le naisc nua. Socraigh cé acu den dá thoradh sin a theastaíonn uait sula n-athlódáil tú.

Ní bhíonn breithiúnas glactha ina chinntitheach idir slabhraí ag an gcrúca céanna i gcónaí ach an oiread. Má ritheann bunslabhra eile níos déanaí, is é an beartas éifeachtach an meascán, mar sin scrúdaigh na cuntair seach an comhad a d'athraigh tú. Is iad na cuntair an fhianaise is saoire atá ar fáil. Ní mheaitseálann riail gan chomhaireamh pacáistí, agus insíonn riail a mheaitseálann agus slabhra níos déanaí ag glacadh di duit go bhfuil an drop san áit mhícheart.

Tástáil an mhaitrís, ní líon na gcomhad

Tóg maitrís bheag de thorthaí ionchais agus seiceáil gach cill. Ba cheart go n-oibreodh grúpa A go grúpa A, ba cheart go n-oibreodh grúpa B go grúpa B, agus nár cheart A go B, sa dá threo agus don dá theaghlach seolta má thacaíonn tú leo.

nft list ruleset
wg show wg0 allowed-ips
ping -c 2 10.66.10.5
conntrack -L -s 10.66.20.7 2>/dev/null | head

Taispeánann an chéad dá rud cad atá cumraithe. Taispeánann an ping ó bhall den mhíghrúpa cad a tharlaíonn i ndáiríre. Taispeánann liosta conntrack an bhfuil sean-sreabhadh fós á ghlacadh, agus is mar sin a chliseann athrú aonraithe go ciúin ar theacht i bhfeidhm.

Is cosáin ar leith le beartas ar leith iad seirbhísí óstaigh ar an mol agus rochtain ar LAN taobh thiar de. Taifead cé acu acu a chlúdaíonn an mhaitrís, mar ní deir tástáil nach seiceálann ach trácht piara-go-piara aon rud faoi cheachtar acu.