Hvernig á að gefa einu prófunar-LAN sína eigin WireGuard-útgang

Þrjár hannanir leysa sama rannsóknarstofuvandann: lítið LAN verður að fara út um WireGuard-félaga á meðan gáttin sjálf heldur venjulegri upptengingunni sinni. Hið freistandi flýtileið er að færa sjálfgefna leið beinisins inn í göngin, en það brýtur eigin stjórnunarleið kassans og allt annað sem hann sendir áfram. Áhugaverði valkosturinn er stefnumiðuð leiðarval takmarkað við eitt viðmót og eitt forskeyti. Veldu á milli þeirra með því að svara þremur spurningum um vélina sem þú hefur í raun.

Ákveddu hvar útgangurinn býr

Fyrsta spurning: sendir þessi vél áfram fyrir eitthvað annað? Sérhæfð rannsóknarstofugátt getur lifað með áframsendingarstefnu sem hendir öllu sjálfgefið. Beinir með framleiðsluskyldur getur það ekki, og að leggja samkeppnishæft reglusett ofan á stýrðan eldvegg er einmitt leiðin sem bilunum er tímasett. Önnur: getur þú átt tvö stefnuobjekt og röð þeirra yfir endurræsingar? Þriðja: heimilar félaginn sem þú hefur upprunaaðsetningu göngunnar og býður hann útgang á netið? Félagi sem sýnir aðeins einkarnet er önnur vara, og engin staðbundin leiðarvalsbreyting lagar það. Ef eitthvert svar er nei, settu útganginn í nafnrými eða í einnota sýndarvél í staðinn.

Nafnrými eða VM kostar minni og gefur þér hreinan sprengjuradíus. Stefnumiðuð leiðarval kostar tvær reglur og skilur eftir eina kassa til að kemba.

Veldu útganginn sem heimilar uppruna þinn

Flest biluðu tilfellin á þessari rannsóknarstofu verða áður en ein einasta eldveggsregla er til. Rekstraraðili útgagnsins verður að samþykkja upprunaaðsetninguna sem pakkarnir þínir bera eftir þýðingu, og í þessari hönnun er það aðsetning göngunnar en ekki forskeyti LAN. Þess vegna tilheyrir gríma hönnuninni frá upphafi en ekki sem seinni viðbót.

Staðfestu þrjá hluti við rekstraraðilann: félaginn heimilar aðsetningu göngunnar þinnar, hann sendir IPv4 áfram í stað þess að enda á sjálfum sér, og hann beitir útgangs-NAT. Án hins fyrsta koma pakkarnir þínir og hverfa. Án hins þriðja fara þeir út með einkanlegri upprunaaðsetningu og deyja á næsta hoppi. Athugaðu síðan að wg-quick sé ekki að setja upp sína eigin sjálfgefnu leið, sem Table = off kemur í veg fyrir; sú stilling bælir leiðarsköpun, ekki AllowedIPs-athuganir félagans né DNS-meðferð hans.

Tvö stefnuobjekt sjá um stýringuna

Stýring þarf töflu og reglu. Taflan heldur tveimur leiðum: LAN-forskreytingunni út úr LAN-viðmótinu og sjálfgefinni leið út úr göngunni. Reglan sendir umferð sem kemur inn á LAN-viðmótið og ber það forskeyti inn í töfluna. Notaðu iif-valinn ásamt upprunasamsvörun, því WireGuard-pakkar gáttarinnar sjálfrar verða til á staðnum og passa aldrei við innkomið viðmót.

Vörðurinn kemur fyrir uppflettinguna, ekki eftir hana. Sú röð er öll öryggiseiginleiki hönnunarinnar.

Vörðurinn er önnur regla á sama vali sem hefur dóminn unreachable. Gefðu henni hærri tölulegan forgang svo uppflettingin vinni áfram meðan göngin eru uppi. Þegar leið ganganna hverfur skilar uppflettingin engu og vörðurinn stöðvar leitina í stað þess að láta hana falla í gegn að sjálfgefinni WAN-leið í aðaltöflunni.

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

Lokaðu varaleiðargatinu áður en þú opnar það

Settu vörðinn fyrst upp og uppflettinguna síðan. Að gera það öfugt skilur eftir glugga sem er sekúndur langur þar sem umferð prófunarviðskiptavinar getur náð upptengingunni.

Síuinn klárar myndina. Í forward-króknum skaltu samþykkja stefnuna frá LAN að göngunum fyrir prófunarforskeytið og hina öfugu stefnu sem hefur myndast, og henda svo öllu öðru; NAT fyrir það forskeyti á gönguviðmótið fer í postrouting. Einmitt að láta policy drop vera á áframsendingarkeðjunni er það sem breytir leið sem vantar í þögn í stað leka. Síun öfugrar leiðar þarf slaka stillingu á gönguviðmótinu, því opinber uppruni sem kemur afhjúpaður hefur bestu öfugu leiðina sínu megin við WAN. Linux tekur hærra gildið af all og fyrir hvert viðmót, svo að stilla gönguviðmótið er ekki það sama og að veikja sannprófun alls staðar.

Sannaðu það með bilanatilfellinu

Spyrðu kjarnann nákvæmrar spurningar með því að nefna upprunaaðsetningu viðskiptavinarins og viðmótið sem hann kemur inn á. Uppfletting án beggja svarar annarri spurningu og mun líta rétt út í báðum tilvikum. Líttu síðan á teljara eldveggsins, flutningsstöðu félagans og þjónustu viðskiptavinarins sjálfs.

Prófaðu fjarlæginguna almennilega. Stöðvaðu göngin og láttu regluna og síuna vera á sínum stað: viðskiptavinurinn ætti að stöðvast og umferð gáttarinnar sjálfrar ætti að halda áfram að virka. Stöðvaðu síðan félagann án að snerta staðbundið viðmót, og það er tilfellið sem grípur hannanir sem treysta eingöngu á tilvist leiðarinnar. Endurræstu að lokum og athugaðu röð reglnanna aftur, því niðurrifskrókur sem fjarlægir vörðinn skilar allri hönnuninni til aðaltöflunnar. Skráðu töflunúmerið, forgangsröðina og viðmótsnöfnin á breytingamiðann, því næsta manneskja sem bætir við reglu er sú sem brýtur þetta.