DNS-fóðrað nftables-sett til WireGuard: hvernig afhendingin virkar

Nöfn leysast í vistföng, og þau vistföng geta lent í eldveggjasetti sem hefur síðar áhrif á leiðingu, sem gerir stýringu byggða á nafni mögulega án milliliðar. Gildran er sú að fjögur einingar verða að afhenda rétt: leysirinn, settið, flokkarinn sem merkir nýtt flæði og jafninginn sem ber það. Hver afhending bregst á annan hátt og hver heldur sínum tíma.

Líttu á hönnunina sem keðju frekar en stillingar. Spurningin á hverju þrepi er hvaða eining ákveður og hvað gerist þegar inntak hennar vantar.

Hvað DNS-svarið getur og getur ekki

dnsmasq getur afritað vistföng úr svörum í nftables-sett, sem er fóðrun en ekki leiðingarákvörðun. Sá valkostur, skjalfestur í dnsmasq-handbókinni, nefnir fjölskylduna, töfluna og settið, og 4# fremst velur aðeins A-færslur, svo v6-áfangastaðir þurfa eigin fyrirkomulag. Settið verður þegar að vera til, því leysirinn bætir þáttum við eitthvað sem eigandi eldveggjarins bjó til. Ekkert í því þrepi velur tengi, töflu eða jafningja.

Biðlarinn verður líka að nota þennan leysi fyrir nafnið. Forrit með eigin dulkóðuðu DNS, eða skyndiminnið svar frá því áður en stefnan var til, tengist án þess að búa til nokkra færslu í settinu.

Settið er inntak, ekki leið

Þáttur í setti er skilyrði fyrir samsvörun. Eitthvað verður að líta á það, ákveða að þessi pakki hefji nýtt flæði og beita stefnunni sem sendir flæðið í gegnum göngin. Á Linux þýðir það venjulega útleið sem getur leiðst og sett merki, reglu sem sendir merktar pakkana í sérstaka töflu og leið í þeirri töflu að WireGuard-tækinu. Aðild ein og sér setur ekkert af þessu upp.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

Jafninginn beitir annarri þekjuprófun sem fólk gleymir. WireGuard dulritar pakka aðeins fyrir jafningja sem hefur áfangastaðinn meðal leyfilegra vistfanga, svo stefnuleið inn í tengið nægir ekki þegar listi jafningsins útilokar þetta forskeyti. Haltu listanum undir stjórn leiðingareigandans í stað þess að treysta á hvaða leiðargerð stjórnandinn gerir.

Merki, töflur og þekja jafnings

Merki eru sameiginlegt nafnrými, svo bæði gildið og gríman verða að vera samræmd öllu öðru sem notar þau. Regla sem sendir merktan umferð í sérstaka töflu þarf skilgreinda niðurstöðu þegar taflan hefur enga samsvarandi leið, því ósvarað uppfletting getur haldið áfram að næstu reglu og sent pakkann út um líkamlega tengið. Sjálfgefin blackhole-leið inni í sérstöku töflunni breytir þeirri hljóðlátu flótta í sýnilegt drop. Það sem hönnunin getur enn ekki er að loka á bilun fyrir áfangastað sem komst aldrei í settið.

Ytri pakkar göngunnar sjálfrar verða að komast fram hjá flokkaranum. WireGuard-verkfæri bjóða sokkamerki einmitt í þeim tilgangi, og notkun þess kemur í veg fyrir að umslöðunin leiðist aftur inn í tengið sem hún byggir.

Prófaðu hvert líftíma sér

Þrjú geymslur eldast eftir þremur áætlunum: skyndiminni leysisins, þættir settsins og rekja tengingin. Prófaðu þau í þeirri röð og fylgstu með hvort hvert hreyfist þegar það á. Skipanirnar hér fyrir neðan lesa leysinn, settið, tengitöfluna og stefnureglurnar án þess að breyta nokkru.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

Ný uppfletting sem bætir við þætti sannar að fóðrunin virki, en úreltur þáttur sem lifir svari sínu lengur er líftímamisræmi sem er þess virði að skrifa niður. Ný tenging í tengitöflunni með væntu merki sýnir að flokkarinn rann, og gömul tenging sem heldur upprunalegu merki sínu er rétt hegðun en ekki galli. Reglulistinn svarar því hvort stefnuleitin sé yfirleitt til, sem er önnur spurning en hvort hún samsvaraði. Lestu fjórar útkomur í þeirri röð og misheppnuð afhending afhjúpar sig sjálf.

Þar sem krafan er að tiltekið nafn noti alltaf eina leið getur DNS-fóðrað sett ekki sannað það, því sameiginleg vistföng bera líka önnur nöfn. Milliliður eða kerfi á forritastigi er verkfærið fyrir þá tryggingu.