Doka mai fadin kofa na iya hadiye mai sauraron WireGuard naka

Wani gateway na jama'a ya riga ya yi aiki da WireGuard a UDP 51820, SSH a 22, da wata manhaja da dole ana iya samun ta daga intanet. Dokar da ke jan hankali tana tura kowace kofa zuwa ga peer sannan ta ce an gama. A kan gateway na WireGuard irin wannan doka na iya kama hanyar sadarwar tunnel din kanta sannan ta kulle ka daga na'urar da ke kawo karshen ta. Wallafawa shawara ce ta hanyar sadarwa tare da kebancewar jirgin sarrafawa, ba layin DNAT guda daya ba.

Kofar jama'a ko kofar tunnel: zabi daya

Wallafa sabis yana kirkiro sabuwar hanyar shiga intanet. Ba daidai ba ne da bai wa peer memba na VPN, domin bako ba ya shiga tunnel din kuma gateway ya zama fuskar jama'a ta backend. Wannan bambancin ne ke kayyade masu sauraron dokar da takardar shaidar da ta dace da ita.

Ba kasafai manhajoji na gudanarwa suke zama a wannan matsayi ba. Shafin gudanarwa da abokan cinikin VPN masu izini ke samu yana ajiye filin hari a cikin tunnel kuma yana guje wa fallasa fom na shiga ga bincike mara izini. Har yanzu wuraren manhaja na jama'a suna bukatar takardar shaidar TLS tasu, tabbatarwa da iyakance yawan bukatu; matakin WireGuard da aka boye ba ya kare kafar bako zuwa gateway.

Idan da gaske sabis din ya zama na jama'a, rubuta sunan uwar garke, takardar shaidar da ta rufe shi da kewayon baki da ya kamata su same shi. Wadannan abubuwa uku ne ke kayyade siffar dokar da manufar tacewa daga baya. Duk abin da ya wuce su kari ne a kan mai sauraro na jama'a.

Kofa daya ta shiga, backend daya ta fita

Yi amfani da kofar jama'a guda daya da sabis na backend guda daya. A wannan misalin eth0 yana dauke da adireshin jama'a 198.51.100.20, adireshin tunnel na gateway shine 10.200.0.1, kuma peer yana gudanar da manhajar a 10.200.0.7. Ana mai da TCP 9443 na jama'a zuwa TCP 8443 na peer:

iptables -t nat -A PREROUTING -i eth0 -d 198.51.100.20 -p tcp --dport 9443 -j DNAT --to-destination 10.200.0.7:8443
iptables -t nat -A POSTROUTING -o wg0 -d 10.200.0.7 -p tcp --dport 8443 -m conntrack --ctorigdst 198.51.100.20 --ctorigdstport 9443 -j SNAT --to-source 10.200.0.1

Dokar SNAT tana daidaita da backend da aka fassara da asalin makasudin jama'a, saboda haka wata hanyar sadarwa zuwa wannan sabis na backend tana kasancewa a wajen wannan taswirar. Hakanan tana boye adireshin bakon daga peer, kuma wannan shine musanya da ke sa hanyar komawa da aka yi turawa tare da kiyaye tushe ta zama wani tsari na daban. Tushen kari na iptables yana bayanin dukkan makasudan biyu da zabubbukan daidaitawa.

Har yanzu ana bukatar kunna tura-koji, kuma sarkar tacewa tana bukatar izini ga makasudin da aka fassara da kofar tare da amsoshin da aka kafa. Sarkar FORWARD tana ganin makasudin da aka fassara bayan DNAT, saboda haka doka da aka rubuta a kan adireshin jama'a ba ta dace da fakitin da aka tura ba. Rubuta izinin a kan tuple na backend, ba a kan na jama'a ba.

Peer dole ya karbi hadin sabis daga adireshin tunnel na gateway sannan ya mayar da amsa ta cikin tunnel. AllowedIPs dinsa dole ya ba da izini ga tushen da yake samu a zahiri, wanda a karkashin fassarar tushe shine adireshin tunnel na gateway, kuma babban shigarwa na 0.0.0.0/0 a kan kowane peer ba a bukata ga wannan tsari. Abin da ke zubar da zirga-zirgar komawa shine peer da jerinsa ya rasa wannan adireshin, ko tsari mai kiyaye tushe da ke tura adireshin bakon da kansa a maimako, don haka duba tushen da peer ke gani a zahiri maimakon wanda ke cikin dokarka.

Ka nisantar da masu sauraron gateway daga dokar

Idan ka canza daidaitawar kofa zuwa doka da ta rufe kowane makasudi na TCP da UDP, sai socket na WireGuard na gateway ya shiga cikinta. Fassarar makasudi tana faruwa kafin na'urar ta yanke shawara cewa fakiti na gida ne, saboda haka UDP 51820 na iya karcewa a wurin peer maimakon a wurin tsarin da ke rike da dukkan hadin peer. Dokar tana lodawa cikin nasara kuma tunnel yana mutuwa, wanda shine gazawa mai wahalar karantawa daga bangaren peer.

SSH, wakilan sa ido da duk wani sabis da ke kan gateway suna da irin wannan fallasa. Doka da ke tura komai ba ta bambanta jirgin sarrafawa da manhajar da aka wallafa ba, kuma sake kunnawa na farko bayan canjin shine lokacin da kullewar ta bayyana. Dokar da ta rufe komai ba ta yi gargadi game da sabis din da ta karbe a boye. Kana gano ta ne lokacin da hadi na gaba ya kasa.

Idan da gaske ana bukatar tura-koji mai fadi, ka tanadi kofofin sarrafawa kafin dokar da ta rufe komai ko kuma yi amfani da wani adireshin jama'a na wallafawa. Zabi na biyu ya fi tsafta domin adireshin sarrafawa yana rike da manufarsa, amma mai bayarwa dole ya samar da wannan adireshin; kara rikodin DNS ba ya kebe daya.

Tura-koji mai fadi na TCP da UDP kuma ba duk ka'idoji bane. ICMP, IPv6, martanin MTU na hanya da hanyar jigilar VPN ta waje suna bukatar manufarsu, kuma doka da ta rufe TCP da UDP tana barin wadannan al'amuran ga sarkar da aka saba.

Ka zabi tsarin kafin rubuta dokoki

Siffofi hudu ne ke rufe yawancin wallafe-wallafen gateway, kuma zabin ya dogara da yawan sabis da kake gudanarwa da yawan hadarin jirgin sarrafawa da za ka iya jurewa. Jaddawalin da ke kasa yana tsara su daga mafi kunci zuwa mafi fadi.

Fara da kunciyar tsari ko da kana tsammanin karin sabis daga baya. Shine mafi saukin dubawa, kuma mayar da jerin kananan dokoki zuwa wata babbar doka da aka duba ya fi sauki fiye da gano wane mai sauraro babbar doka ta kama. Ko wane tsari ka zaba, ka rike dokoki a wurin mai kula da Firewall. Sanya layukan iptables kusa da tsarin UFW ko nftables da ke kula da sarkoki daya yana haifar da manufar da ke canzawa dangane da tsarin kunnawa.

Tabbatar da wallafawa da hanyar sarrafawa

Gwada daga abokin ciniki na waje mai izini ta amfani da sunan uwar garke da aka amince da shi da takardar shaidar da ta dace da shi. Tabbatar wane backend ya amsa, sannan duba cewa kofofin jama'a marasa alaka sun kasance an hana su. Kashe duban takardar shaidar ba gwajin HTTPS mai nasara bane, kuma hadin da ya isa ga ba daidai ba backend ya fi muni fiye da wanda ya kasa.

Bayan haka, tabbatar da gateway kansa: hada peer na WireGuard, bude zaman SSH sannan ka tabbatar sa ido har yanzu yana bayar da rahoto. Sabis din da aka wallafa na iya aiki yayin da jirgin sarrafawa ya lalace, don haka duka dubawa biyu suna cikin tagar canjin guda. Sake kunnawa sau daya don tabbatar da an sake amfani da dokoki a tsarin da ake tsammani, sannan cire wallafawar ka tabbatar cirewar ya dace da kari. Yawan kari na farko tare da sharewa marar cikawa shine yadda gwaji na dan lokaci ya zama budewa ta dindindin.