Beindu aðeins porti 25 í gegnum göngin, ekki hýsilnum

Fjórir hlutir verða að stemma áður en Linux-hýsill sendir aðeins sitt eigið SMTP í gegnum göng: rúta í sérstakri töflu, stefnuregla sem velur umferðina, upprunavistfang sem peer tekur, og bakleið sem þolir ósamhverfuna. Hver þeirra er sérstök uppsetning með sínum eigin bilunarham. Röðin hér fyrir neðan er sú sem gerir bilun að vísa á hlutann sem er raunverulega rangur. Þetta er portbundin leiðarvinna, ekki beiðni um sjálfgefna VPN-rútu.

Portregla er ekki sjálfgefin rúta

Regla sem passar staðbundið búið TCP við áfangaport 25 sendir þá umferð í töflu sem þú nefnir. Reglan skapar ekkert eitt sér: hún velur, og taflan verður að halda rútu sem getur borið pakkann. Samanlagt nær það aðeins yfir útleið eins samskiptareglu, svo framsending fyrir aðra hýsla, innkomandi pósttengingar og IPv6 verða utan fyrirkomulagsins. Að kalla þetta portbundna stefnu í stað VPN-sjálfgefins heldur þeim mörkum heiðarlegum.

Tvær wg-quick stillingar eru forsendur, ekki hluti stefnunnar. AllowedIPs = 0.0.0.0/0 leyfir peer að bera vilkeynd IPv4-áfangastaði, og Table = off kemur í veg fyrir að wg-quick setji upp sína eigin sjálfgefnu rútu fyrir það forskeyti. Ekki blanda þessum leiðbeiningum við stjórnanda sem beitir eigin rútustefnu, því þau tvö verða ósammála um hver á aðaltöfluna.

Skrifaðu rútuna, valinn og vörðinn

Veldu tölunúmer og par af forgangi sem ekkert annað notar, notaðu svo rútuna, valið og vörðinn í þeirri röð. Tölurnar hér fyrir neðan eru dæmi, ekki frátekin gildi:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo takmarkar regluna við umferð af staðbundnum uppruna, og ipproto tcp dport 25 greinir stefnu tengingarinnar; ip-rule tilvísunin skjalfestir bæði valin. Þau eru til í núverandi kjörnum og iproute2-útgáfum, og á eldra kerfi er reglunni hafnað algjörlega, sem er skýrari bilun en regla sem hleðst og passar við ekkert.

Unreachable-reglan á næsta forgangi er vörðurinn. Án hennar fellur rúta sem vantar í töflu 51825 niður í venjulega sjálfgefna rútu, og póstur fer út um líkamlegu tenginguna meðan göngin liggja niðri, sem er einmitt tilvikið sem stefnan var byggð til að koma í veg fyrir.

Upprunavistfangið verður að stemma

Rútunnar src val fyllir aðeins uppruna fyrir tengingar sem hafa ekki bundið sinn eigin. Þetta er ekki þýðing, og það hnekkir ekki skýrri bindingu, svo dæmi sem er bundið við líkamlega vistfangið heldur áfram að senda frá því vistfangi. Ef þetta er það sem þú finnur skaltu breyta stillingu dæmisins sjálfs eða hanna vísvitandi þýðingarstefnu, því síðbúið almennt masquerade er önnur lausn með öðrum afleiðingum.

Við gáttina verður peer skjólstæðingsins að heimila upprunann sem hann fær í raun, það er 10.77.0.2/32 frekar en breitt áfangaforskeyti. Að afrita 0.0.0.0/0 skjólstæðingsins í hvern gáttarpeer gerir óljóst hvaða peer á hvaða umferð. Gáttin þarf líka framsendingu, eldveggjarstefnu sem leyfir flæðið og bakleið, þar á meðal útleiðarþýðingu þegar uppstreymið getur ekki rútað sérstakt gönguvistfang.

Athugaðu bakleiðina, svo þrautseigjuna

Lestu uppflettingarnar áður en þú treystir nokkru, því þær sýna hvaða töflu og hvaða uppruna hver stefna fær. Einn áfangastaður á porti 25 og sami áfangastaður á porti 443 nægja:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Fyrsta uppflettingin ætti að nefna wg0 og fyrirhugaðan uppruna, og sú seinni ætti að halda venjulegu upptengingu. Þegar forritið bindur sitt eigið vistfang skaltu bæta from við uppflettinguna með því vistfangi. Stefna svars sem nær wg0 og er síðan hent staðbundið bendir á IPv4 bakleiðarsíun, því regla einungis um útport lætur bakflettinguna ekki velja göngin.

Þar sem ósamhverf leiðsögn er heimiluð getur slakur hamur takmarkaður við viðmótið í gegnum net.ipv4.conf.wg0.rp_filter=2 verið viðeigandi, og það er þess virði að athuga fyrst raunverulegt hámark gildanna all og viðmótsins. Ekki slökkva á sannprófun á heimsvísu sem styttri leið. Framseldu svo töfluna, forgangana og vörðinn til þess sem á uppsetninguna, og opnaðu nýjar tengingar eftir endurtengingu til að staðfesta að valið haldi enn. Hafðu í huga að svör frá staðbundnum SMTP-hlustunaraðila bera upprunaport 25 en ekki áfangaport 25, sem er sérstakt stefnumál.