Saitin nftables da DNS ke ciyarwa zuwa WireGuard: yadda miƙa mulki ke aiki

Sunaye suna warwarewa zuwa adireshi, kuma waɗannan adireshin na iya shiga cikin saitin bangon wuta wanda daga baya ke shafar sarrafa hanya, wanda ke sa jagoranci bisa suna ya yiwu ba tare da wakili ba. Ƙalubalen shi ne cewa sassa huɗu dole su miƙa mulki daidai: mai warwarewa, saitin, mai rarrabe wanda ke yi wa sabon kwarara alama, da abokin da ke ɗaukar shi. Kowace miƙa mulki tana kasawa daban kuma kowace tana riƙe nata lokacin.

Ɗauki ƙirar a matsayin sarkar ba tsari ba. Tambaya a kowane mataki ita ce wace sashe ce ta mallaki shawarar kuma me ke faruwa idan shigarta ba ta nan.

Abin da amsar DNS za ta iya yi da abin da ba za ta iya ba

dnsmasq na iya kwafin adireshi daga amsoshi zuwa saitin nftables, wanda ciyarwa ne ba shawarar sarrafa hanya ba. Wannan zaɓi, wanda aka rubuta a cikin littafin jagora na dnsmasq, yana ambaton iyali, tebur da saiti, kuma 4# na farko yana zaɓar rikodin A kawai, don haka wuraren v6 suna buƙatar nasu tsarin. Saitin dole ya riga ya wanzu, domin mai warwarewa yana ƙara abubuwa cikin abin da mai bangon wuta ya ƙirƙira. Babu abin da ke zaɓar maƙalli, tebur ko aboki a wannan matakin.

Abokin ciniki kuma dole ya yi amfani da wannan mai warwarewa don sunan. Aikace-aikacen da ke da nasa DNS mai ɓoyewa, ko amsar da aka adana kafin manufar ta wanzu, yana haɗi ba tare da ƙirƙirar kowane shigarwa a cikin saitin ba.

Saitin shigarwa ne, ba hanya ba

Abu a cikin saiti sharadi ne na daidaitawa. Wani abu dole ya dube shi, ya yanke shawarar cewa wannan fakiti yana fara sabon kwarara, kuma ya yi amfani da manufar da ke tura kwararar ta cikin rami. A Linux wannan yawanci yana nufin hanyar fitarwa mai iya sarrafa hanya wadda za ta iya sanya alama, ƙa'ida da ke tura fakiti masu alama zuwa tebur na musamman, da hanya a cikin wannan tebur da ke nuni ga na'urar WireGuard. Kasancewa memba shi kaɗai ba ya girka ko ɗaya daga cikinsu.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

Abokin yana amfani da wata duba ta biyu da mutane ke mantawa. WireGuard yana ɓoye fakiti ne kawai ga abokin da adireshin da aka yarda da shi suka haɗa da inda ake zuwa, don haka hanyar manufa zuwa maƙalli ba ta isa ba idan jerin abokin ya ware wannan prefix. Riƙe jerin ƙarƙashin ikon mai sarrafa hanya maimakon dogaro da duk wani ƙirƙirar hanya da manaja zai yi.

Alamu, tebura da rufe aboki

Alamu wuri ne na suna da aka raba, don haka duka daraja da abin rufe fuska dole a daidaita su da duk wani abin da ke amfani da su. Ƙa'idar da ke tura zirga-zirgar da aka yi wa alama zuwa tebur na musamman tana buƙatar tabbataccen sakamako idan wannan tebur ba shi da hanyar da ta dace, domin bincike mara amsa na iya ci gaba zuwa ƙa'ida ta gaba kuma ya fitar da fakitin ta maƙallin zahiri. Tsohuwar hanya ta blackhole a cikin tebur na musamman tana mai da wannan tserewar shiru ya zama faduwa da ake gani. Abin da ƙirar har yanzu ba za ta iya ba shi ne rufewa idan ya gaza ga inda ba ta taɓa shiga saitin ba.

Fakitin waje na ramin da kansa dole su tsere daga mai rarrabe. Kayan aikin WireGuard suna ba da alamar soket don wannan manufa, kuma amfani da ita yana hana a mayar da naɗewar cikin maƙallin da yake ginawa.

Gwada kowace rayuwa daban

Rumbuna uku suna tsufa bisa jadawali uku: ajiyar mai warwarewa, abubuwan saitin da haɗin da ake bibiya. Gwada su a wannan tsari kuma ka duba ko kowanne yana motsi lokacin da ya kamata. Umarnin da ke ƙasa suna karanta mai warwarewa, saitin, teburin haɗi da ƙa'idodin manufa ba tare da canza komai ba.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

Sabon bincike da ya ƙara abu yana tabbatar da ciyarwar tana aiki, yayin da tsohon abu da ya fi amsarsa tsayi rashin daidaiton rayuwa ne da ya cancanci rubutawa. Sabon haɗi da ya bayyana a teburin haɗi da alamar da ake tsammani yana nuna mai rarrabe ya gudu, kuma tsohon haɗi da ya riƙe ainihin alamar sa ɗabi'a ce daidai ba kuskure ba. Jerin ƙa'idoji yana amsa ko binciken manufar ya wanzu kwata-kwata, wanda tambaya ce dabam da ko ya daidaita. Karanta fitarwa huɗu a wannan tsari kuma miƙa mulkin da ya gaza zai bayyana kansa.

Inda buƙatar ita ce wani suna koyaushe ya yi amfani da hanya ɗaya, saitin da DNS ke ciyarwa ba zai iya tabbatar da hakan ba, domin raba adireshi suna ɗauke da wasu sunaye kuma. Wakili ko tsarin matakin aikace-aikace shine kayan aikin wannan tabbacin.