Dante SOCKS á loopback fyrir HTTPS-þjónustu sem aðeins fer um WireGuard

Tengdu sérstakan SOCKS-hlustara við loopback og leyfðu eitt TCP-áfangastað. Haltu útgönguuppsprettu Dante, kjarnaferli, DNS og stefnu um tap á göngum aðskildum.

Þessi handbók veitir forriti sem þekkir milliþjón aðgang að fyrirliggjandi WireGuard-slóð án þess að birta milliþjónsport á VPN-þjóninum eða á internetinu. SOCKS-dæmoninn veitir viðmót forritsins, WireGuard veitir þegar samþykkta IP-slóð, og hvorugt þeirra sannvottar notandann fyrir þig. Hvert skref hér að neðan framleiðir eitthvað sem þú getur skoðað, og hvert hefur afturköllun: stöðvaðu tilvikið, fjarlægðu regluna eða fjarlægðu milliþjónsstillingu forritsins. Ekkert hér breytir sjálfgefinni leið hýsilsins.

Dæmið gerir ráð fyrir að Dante 1.4.x sé uppsett sem sérstakt, stýrt tilvik á traustri Linux-vinnustöð, með þjónustureikningi pakkans og skráningargrunnstillingu látnum vera í stað. Vinnustöðin á 10.77.0.2 á WireGuard-viðmótinu sínu, nær 10.60.0.20:443 í gegnum þá göng, og rétt nafn þjónustunnar er app.corp.example.

Skref 1: tengdu hlustarann aðeins við loopback

Settu nettengingar-, aðferðar- og regluhluta í virka uppsetningu tilviksins og skiptu út dæmisvistföngunum. Allar þjónsstillingar koma á undan reglublokkunum:

internal: 127.0.0.1 port = 1080
external: 10.77.0.2
external.protocol: ipv4
clientmethod: none
socksmethod: none

client pass {
    from: 127.0.0.1/32 to: 127.0.0.1/32
}

socks pass {
    from: 127.0.0.1/32 to: 10.60.0.20/32 port = 443
    command: connect
    protocol: tcp
}

Þetta er brot, ekki staðgengill fyrir notanda- og skráningarstillingar pakkans. Veldu ónotað staðbundið port og staðfestu að þetta sérstaka tilvik hafi enga aðra hlustara, engar víðtækari gegnumferðarreglur og engar keðjutengingar ofar sem myndu breyta samningnum. Ef fyrri uppsetning skildi eftir socks pass án áfangastaðatakmörkunar, fjarlægðu hana áður en þú prófar nokkuð.

Afturköllun þessa skrefs er að stöðva tilvikið; uppsetningarskráin getur verið áfram á diskinum á meðan þú veltir henni til baka.

Skref 2: skrifaðu tvær reglur, ekki eina

Uppsetningarhandbók Dante gefur reglunum tveimur mismunandi verkefni. Biðlara-reglan hleypir tengingu við loopback-hlustarann, og áfangastaður hennar er heimilisfang hlustarans sjálfs. SOCKS-reglan leyfir umbeðna áframhaldandi tengingu við samþykktan hýsil og port. Ósamræmdar beiðnir eru lokaðar sjálfgefið, og þess vegna lítur vantaða regla nákvæmlega eins út og brotin leið.

Taktu eftir því sem þessi uppsetning gerir viljandi ekki: hún biður um ekkert SOCKS-lykilorð. Það hentar traustum staðbundnum hýsil og er ekki notandasannvottun. Hvert annað ferli á þeirri vél getur líka notað loopback. Haltu eigin sannvottun fjartengda forritsins og endurnýttu ekki þetta ósannvottaða form fyrir ótrausta staðbundna notendur eða hlustara sem snýr að LAN.

Skref 3: staðfestu leiðina frá réttri uppsprettu

external velur útgönguuppsprettu; það setur ekki upp WireGuard-leið. Lestraraðgangur eingöngu fyrir dæmisuppsprettu og áfangastað:

ip -4 route get 10.60.0.20 from 10.77.0.2

Keyrðu þetta í raunverulegu netnafnrými Dante, ekki í hvaða skel sem þú átt opna. Leiðin, val á WireGuard-jafningja, leyfið á fjarlægu hliðinni og afturleiðin verða öll að passa við þetta uppsprettufang. Árangursrík leit er nauðsynleg og ekki nægileg, því hún segir ekkert um hvort fjarlægi endinn samþykki beiðnina.

Standastu freistinguna að bæta við sjálfgefinni leið svo leitin takist. Milliþjónsportið er aðeins á þessari vinnustöð; að breyta sjálfgefinni leið hýsilsins til að búa hana til snýr allri hönnuninni við.

Skref 4: prófaðu með tilætluðu auðkenni

Eftir að eigandinn hefur staðfest uppsetninguna og ræst tilvikið í gegnum þjónustustjórann sinn, er dæmigerð beiðni:

curl --proxy socks5h://127.0.0.1:1080 --noproxy '' https://app.corp.example/

Með socks5h, framkvæmir Dante áfangastaðaupplausn, en Dante keyrir á þessari vinnustöð, svo stillingin sendir DNS ekki sjálf til fjarlæga enda ganganna. Samþykkti uppleysirinn sem Dante notar verður að skila leyfðu vistfanginu fyrir það nafn. Tómi listinn án milliþjóns kemur í veg fyrir að arftek undantekning fari hljóðlega fram hjá SOCKS.

Haltu HTTPS-hýsilisnafni og vottorðasannprófun í prófinu, skoðaðu síðan raunverulega hlustarann og staðfestu báða helminga samningsins: leyfð beiðni tekst og útilokaður áfangastaður mistekst. Staðfestu einnig að óstuddar framsendingarskipanir séu áfram synjaðar, því þetta brot leyfir SOCKS CONNECT-skipun yfir TCP og ekkert sem líkist almennri UDP- eða alls-tækis göng.

Skref 5: ákveðu hvað gerist þegar göngin falla

Prófaðu tap á göngum og endurræsingu tilviksins áður en þú kallar þetta framleiðslu. Umsjónaraðili sem ræsir Dante eftir WireGuard býr ekki til fail-closed leiðarstýringu, og býr ekki heldur til fail-closed DNS; hvort tveggja verður að knýja fram í gegnum neteigandann. Fylgstu með því hvað forritið gerir þegar göngin eru niðri: hrein villa er góð niðurstaða, hljóðlát hrap niður á opinberan uppleysi ekki.

Samræmdu uppfærslur ef bundið göngufang breytist, því external er fest við það. Þegar ekki er lengur þörf á fyrirkomulaginu skaltu ljúka þessu tilviki og milliþjónsstillingu forritsins saman, og skilja WireGuard-slóðina eftir þeim sem á hana.

Tengdir greinar