Ինչպես մեկ փորձնական LAN-ին տալ սեփական WireGuard ելք

Երեք նախագիծ լուծում են նույն լաբորատոր խնդիրը՝ փոքր LAN-ը պետք է դուրս գա WireGuard գործընկերոջ միջով, մինչ դարպասն ինքը պահպանում է իր սովորական վերին կապուղին։ Գայթակղիչ կարճ ճանապարհը երթուղիչի լռելյայն երթուղին թունելի մեջ տեղափոխելն է, բայց դա կոտրում է արկղի սեփական կառավարման ուղին և այն ամենը, ինչ այն փոխանցում է։ Հետաքրքիր տարբերակը քաղաքականությամբ երթուղավորումն է՝ սահմանափակված մեկ միջերեսով և մեկ նախադասվածքով։ Ընտրեք նրանց միջև՝ պատասխանելով երեք հարցի այն մեքենայի մասին, որն իրապես ունեք։

Որոշեք, թե որտեղ է ապրում ելքը

Առաջին հարցը՝ արդյոք այս հոսթը փոխանցում է նաև ուրիշ բանի համար։ Նվիրված լաբորատոր դարպասը կարող է ապրել լռելյայն ամեն ինչ մերժող փոխանցման քաղաքականությամբ։ Արտադրական պարտականություններ ունեցող երթուղիչը չի կարող, և կառավարվող հրապատի վրա մրցակից կանոնների հավաքածու դնելը հենց այն ձևն է, որով պլանավորում են ընդհատումները։ Երկրորդը՝ կարո՞ղ եք տիրել երկու քաղաքականության օբյեկտի և նրանց հերթականությանը վերագործարկումների ընթացքում։ Երրորդը՝ արդյոք ձեր գործընկերը լիազորում է ձեր թունելի աղբյուրի հասցեն և առաջարկում ինտերնետ ելք։ Գործընկերը, որը բացահայտում է միայն մասնավոր ցանց, այլ ապրանք է, և ոչ մի տեղական երթուղային փոփոխություն դա չի ուղղում։ Եթե որևէ պատասխան ոչ է, ելքը դրեք անվանատարածքում կամ մեկանգամյա վիրտուալ մեքենայում։

Անվանատարածքը կամ VM-ը արժեն հիշողություն և տալիս են մաքուր պայթյունի շառավիղ։ Քաղաքականությամբ երթուղավորումը արժե երկու կանոն և թողնում է ձեզ մեկ արկղ՝ վրիպազերծելու համար։

Ընտրեք այն ելքը, որը լիազորում է ձեր աղբյուրը

Այս լաբորատորիայի անհաջողությունների մեծ մասը տեղի է ունենում նախքան մեկ հրապատի կանոնի գոյությունը։ Ելքի օպերատորը պետք է ընդունի աղբյուրի այն հասցեն, որը ձեր փաթեթները կրում են թարգմանությունից հետո, և այս նախագծում դա թունելի հասցեն է, ոչ թե LAN նախադասվածքը։ Այդ պատճառով քողարկումը նախագծի մեջ է սկզբից, ոչ որպես ուշ լրացում։

Հաստատեք երեք բան օպերատորի հետ՝ գործընկերը լիազորում է ձեր թունելի հասցեն, այն փոխանցում է IPv4-ը՝ իր վրա վերջանալու փոխարեն, և կիրառում է ելքային NAT։ Առաջինի բացակայությամբ ձեր փաթեթները հասնում են և անհետանում։ Երրորդի բացակայությամբ նրանք դուրս են գալիս մասնավոր աղբյուրով և մահանում հաջորդ ցատկին։ Այնուհետև ստուգեք, որ wg-quick-ը չի տեղադրում իր սեփական լռելյայն երթուղին, ինչը կանխում է Table = off-ը․ այդ կարգավորումը ճնշում է երթուղիների ստեղծումը, ոչ գործընկերոջ AllowedIPs ստուգումները կամ նրա DNS մշակումը։

Երկու քաղաքականության օբյեկտ են կատարում ղեկավարումը

Ղեկավարմանը պետք է աղյուսակ և կանոն։ Աղյուսակը պահում է երկու երթուղի՝ LAN նախադասվածքը՝ LAN միջերեսից դուրս, և լռելյայն՝ թունելից դուրս։ Կանոնը ուղարկում է այն երթևեկությունը, որը հասնում է LAN միջերեսին և կրում է այդ նախադասվածքը, աղյուսակի մեջ։ Օգտագործեք iif ընտրիչը աղբյուրի համընկնման հետ միասին, որովհետև դարպասի սեփական WireGuard փաթեթները ծագում են տեղում և երբեք չեն համընկնում ներգնա միջերեսի հետ։

Պահապանը գալիս է որոնումից առաջ, ոչ հետո։ Այդ հերթականությունն է նախագծի ամբողջ անվտանգության հատկությունը։

Պահապանը երկրորդ կանոնն է նույն ընտրիչի վրա, որի վճիռը unreachable է։ Տվեք նրան ավելի բարձր թվային առաջնահերթություն, որպեսզի որոնումը դեռ հաղթի, քանի դեռ թունելը բարձրացված է։ Երբ թունելի երթուղին անհետանում է, որոնումը ոչինչ չի վերադարձնում, և պահապանը կանգնեցնում է փնտրումը՝ թույլ չտալով, որ այն ընկնի հիմնական աղյուսակի WAN լռելյային։

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

Փակեք հետընթացի բացը, նախքան այն կբացեք

Նախ տեղադրեք պահապանը, ապա որոնումը։ Հակառակ կարգով մնում է վայրկյաններ տևող պատուհան, որի ընթացքում փորձնական հաճախորդի երթևեկությունը կարող է հասնել վերին կապուղուն։

Զտիչը ավարտում է պատկերը։ forward կեռիկում ընդունեք LAN-ից թունել ուղղությունը փորձնական նախադասվածքի համար և հաստատված վերադարձի ուղղությունը, ապա մերժեք մնացած ամեն ինչ․ այդ նախադասվածքի NAT-ը թունելի միջերեսի վրա գնում է postrouting-ում։ Հենց policy drop-ը փոխանցման շղթայի վրա թողնելն է, որ բացակայող երթուղին արտահոսքի փոխարեն լռություն է դարձնում։ Հակադարձ ուղու զտումը պահանջում է թույլ ռեժիմ թունելի միջերեսում, որովհետև ապապարկավորված հասնող հանրային աղբյուրն իր լավագույն հակադարձ երթուղին ունի WAN կողմում։ Linux-ը վերցնում է all-ի և միջերեսային արժեքներից բարձրը, այնպես որ թունելի միջերեսը դնելը նույնը չէ, ինչ ամենուր վավերացումը թուլացնելը։

Ապացուցեք դա ձախողման դեպքով

Միջուկին ճշգրիտ հարց տվեք՝ նշելով հաճախորդի աղբյուրի հասցեն և այն միջերեսը, որով այն գալիս է։ Առանց երկուսի որոնումը պատասխանում է այլ հարցի և երկու դեպքում էլ ճիշտ կթվա։ Ապա նայեք հրապատի հաշվիչներին, գործընկերոջ փոխանցման վիճակին և հաճախորդի սեփական ծառայությանը։

Փորձարկեք հեռացումը պատշաճ կերպով։ Կանգնեցրեք թունելը՝ կանոնը և զտիչը թողնելով տեղում․ հաճախորդը պետք է կանգ առնի, իսկ դարպասի սեփական երթևեկությունը պետք է շարունակի աշխատել։ Ապա կանգնեցրեք գործընկերոջը՝ չդիպչելով տեղական միջերեսին, և հենց այդ դեպքն է բռնում միայն երթուղու առկայությանը հույս դնող նախագծերը։ Վերջում վերագործարկեք և նորից ստուգեք կանոնների հերթականությունը, որովհետև պահապանը հանող ապամոնտաժման կեռիկը ամբողջ նախագիծը հետ է տալիս հիմնական աղյուսակին։ Գրանցեք աղյուսակի համարը, առաջնահերթությունները և միջերեսների անունները փոփոխության տոմսի վրա, որովհետև հաջորդ մարդը, ով կանոն կավելացնի, հենց նա է, ով դա կկոտրի։