WireGuard-jafningjahópar á miðstöð: eignarhald uppruna og stefna

Miðstöð sem keyrir WireGuard getur haldið jafningjahópum aðskildum án sérstaks tengis eða leiðartöflu fyrir hvern hóp. Tvær aðferðir vinna verkið, og ruglingur á þeim er venjulega ástæðan fyrir því að stefna virðist rétt og gerir ekkert. Eitt lag ákveður hver má krefjast upprunavistfangs. Hitt ákveður hvert þessi pakki má fara.

Tvö verk, haldin aðskildum

Göngulagið svarar þröngri spurningu: heimilaði lykill þessa jafningja þetta innra upprunavistfang. Framsendingarlagið svarar víðari: má þessi pakki fara út í átt að þeim áfangastað. Hvort tveggja svarar ekki spurningu hins, og hvort tveggja er ekki eitt og sér heildstæð aðgangsstefna.

Þessi skipting er ástæðan fyrir því að jafningi getur verið auðkenndur, rétt heimilisfestur og samt ekki komist á hýsil sem hann ætti ekki að komast á. Hún skýrir líka hið gagnstæða: eldveggjarregla sem leyfir allt sannar ekkert um hver má krefjast hvaða vistfangs.

Hannið bæði lögin saman og prófið síðan bæði. Uppsetning sem er rétt í einu lagi og óprófuð í hinu bregst opið eða lokað eftir sjálfgefninu.

Gefið hverjum jafningja aðeins hans eigið vistfang

Jafningar með marga hýsla freista þín til að veita allt svið hópsins á þjónarhlið. Það leyfi er krafa um upprunavistfang, svo skertur eða rangt stilltur biðlari getur lagt fram hvaða vistfang sem er í sviðinu og göngin munu samþykkja það. Úthlutið /32 fyrir hvern jafningja fyrir hans eigið innra vistfang. Stillið hópsvið aðeins á biðlurunum, þar sem þau lýsa hvaða áfangastaði sá biðlari má ná frekar en hvaða uppruna hann má nota.

Eldveggurinn passar þá við uppruna sem hann getur treyst. Regla skrifuð fyrir svið hópsins er áfram gagnleg flokkun, og hún verður aðeins merkingarbær þegar enginn einn jafningi getur krafist vistfangs sem tilheyrir öðrum meðlim.

Skrifið framsendingarstefnuna sem aðgreinir hópa

Áhugaverð umferð fer hér inn og út um sama göngutengið, svo hún fer um framsendingarleiðina en ekki inntaksleið hýsilsins. Reglur tilheyra núverandi framsendingarkeðju þess eldveggjarstjóra sem á hýsilinn, og þær eru brot, ekki heildstætt reglusafn.

iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept
iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept
iifname "wg0" oifname "wg0" drop

Fyrstu tvær reglurnar leyfa umferð innan hvers hóps. Sú síðasta blokkar allt annað sem fer um það tengi, og það er það sem skapar einangrun milli hópanna. Bætið skýrum reglum við fyrir hina vistfangsfjölskylduna ef þið þurfið þær, því drop skrifað fyrir IPv4 heimilar eða lýsir ekki hegðun IPv6.

Röðin ræður því hvort stefnan gildir

Röð reglna skiptir meira máli en brotið sjálft. Almenn regla sem samþykkir uppsettar tengingar og er sett fyrir þessar færslur leyfir gömlu millihópstreymi að halda áfram, svo einangrunin gildir aðeins fyrir nýjar tengingar. Ákveðið hvora þessara tveggja niðurstaða þið viljið áður en þið hlaðið aftur.

Samþykkisúrskurður er heldur ekki alltaf endanlegur milli keðja á sama krók. Ef önnur grunnkeðja keyrir síðar er virka stefnan samsetningin, svo skoðið teljarana en ekki skrána sem þið breyttuð. Teljararnir eru ódýrasta sönnunin sem til er. Regla án pakkatalningar passar ekki, og regla sem passar á meðan síðari keðja samþykkir segir ykkur að dropið sé á röngum stað.

Prófið fylkið, ekki fjölda skráa

Byggið lítið fylki af væntanlegum niðurstöðum og athugið hverja reit. Hópur A í hóp A ætti að virka, hópur B í hóp B ætti að virka, og A í B ætti ekki, í báðar áttir og fyrir báðar vistfangsfjölskyldur ef þið styðjið þær.

nft list ruleset
wg show wg0 allowed-ips
ping -c 2 10.66.10.5
conntrack -L -s 10.66.20.7 2>/dev/null | head

Fyrstu tvö sýna hvað er stillt. Ping frá meðlim rangs hóps sýnir hvað raunverulega gerist. conntrack-listinn sýnir hvort eldra streymi er enn samþykkt, og þannig tekst einangrunarbreytingu hljóðlega ekki að taka gildi.

Hýsilþjónustur á miðstöðinni og aðgangur að LAN fyrir aftan hana eru aðskildar leiðir með aðskildri stefnu. Skráið hverja þeirra fylkið nær yfir, því próf sem athugar aðeins umferð jafningja á milli segir ekkert um hvora þeirra.