ಒಂದು ಪರೀಕ್ಷಾ LAN ಗೆ ಅದರದೇ WireGuard ನಿರ್ಗಮನವನ್ನು ಹೇಗೆ ನೀಡುವುದು

ಮೂರು ವಿನ್ಯಾಸಗಳು ಒಂದೇ ಪ್ರಯೋಗಾಲಯ ಸಮಸ್ಯೆಯನ್ನು ಪರಿಹರಿಸುತ್ತವೆ: ಸಣ್ಣ LAN ಒಂದು WireGuard ಸಹಭಾಗಿಯ ಮೂಲಕ ಹೊರಹೋಗಬೇಕು, ಆದರೆ ಗೇಟ್ವೇ ತನ್ನ ಸಾಮಾನ್ಯ ಮೇಲ್ಮುಖ ಸಂಪರ್ಕವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಆಮಿಷದ ಹೃಸ್ವಮಾರ್ಗವೆಂದರೆ ರೂಟರ್ನ ಡಿಫಾಲ್ಟ್ ಮಾರ್ಗವನ್ನು ಸುರಂಗದೊಳಗೆ ಸರಿಸುವುದು, ಆದರೆ ಅದು ಪೆಟ್ಟಿಗೆಯ ಸ್ವಂತ ನಿರ್ವಹಣಾ ಮಾರ್ಗವನ್ನು ಮತ್ತು ಅದು ಮುಂದಕ್ಕೆ ರವಾನಿಸುವ ಎಲ್ಲವನ್ನೂ ಮುರಿಯುತ್ತದೆ. ಆಸಕ್ತಿದಾಯಕ ಆಯ್ಕೆ ಒಂದು ಇಂಟರ್ಫೇಸ್ ಮತ್ತು ಒಂದು ಪ್ರಿಫಿಕ್ಸ್ಗೆ ಸೀಮಿತವಾದ ನೀತಿ ಆಧಾರಿತ ರೂಟಿಂಗ್. ನಿಮ್ಮ ಬಳಿ ನಿಜವಾಗಿರುವ ಯಂತ್ರದ ಬಗ್ಗೆ ಮೂರು ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸಿ ಅವುಗಳ ನಡುವೆ ಆಯ್ಕೆ ಮಾಡಿ.

ನಿರ್ಗಮನ ಎಲ್ಲಿ ವಾಸಿಸುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸಿ

ಮೊದಲ ಪ್ರಶ್ನೆ: ಈ ಹೋಸ್ಟ್ ಬೇರೆ ಯಾವುದಕ್ಕಾದರೂ ಮುಂದಕ್ಕೆ ರವಾನಿಸುತ್ತದೆಯೇ? ಮೀಸಲಾದ ಪ್ರಯೋಗಾಲಯ ಗೇಟ್ವೇ ಡಿಫಾಲ್ಟ್ ಆಗಿ ಎಲ್ಲವನ್ನೂ ತಿರಸ್ಕರಿಸುವ ರವಾನೆ ನೀತಿಯೊಂದಿಗೆ ಬದುಕಬಲ್ಲದು. ಉತ್ಪಾದನಾ ಜವಾಬ್ದಾರಿ ಇರುವ ರೂಟರ್ ಬದುಕಲಾರದು, ಮತ್ತು ನಿರ್ವಹಿತ ಫೈರ್ವಾಲ್ ಮೇಲೆ ಪ್ರತಿಸ್ಪರ್ಧಿ ನಿಯಮಗುಚ್ಛವನ್ನು ಏರಿಸುವುದು ಅಡಚಣೆಗಳನ್ನು ನಿಗದಿಪಡಿಸುವ ನಿಖರ ವಿಧಾನ. ಎರಡನೆಯದು: ಮರುಬೂಟ್ಗಳ ನಡುವೆ ಎರಡು ನೀತಿ ವಸ್ತುಗಳನ್ನು ಮತ್ತು ಅವುಗಳ ಕ್ರಮವನ್ನು ನೀವು ಹೊಂದಬಹುದೇ? ಮೂರನೆಯದು: ನಿಮ್ಮ ಸಹಭಾಗಿ ನಿಮ್ಮ ಸುರಂಗದ ಮೂಲ ವಿಳಾಸವನ್ನು ಅನುಮೋದಿಸುತ್ತದೆಯೇ ಮತ್ತು ಇಂಟರ್ನೆಟ್ ನಿರ್ಗಮನವನ್ನು ನೀಡುತ್ತದೆಯೇ? ಖಾಸಗಿ ಜಾಲವೊಂದನ್ನು ಮಾತ್ರ ಬಹಿರಂಗಪಡಿಸುವ ಸಹಭಾಗಿ ಬೇರೆ ಉತ್ಪನ್ನ, ಮತ್ತು ಯಾವುದೇ ಸ್ಥಳೀಯ ರೂಟಿಂಗ್ ಬದಲಾವಣೆ ಅದನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ. ಯಾವುದೇ ಉತ್ತರ ಇಲ್ಲ ಎಂದಾದರೆ, ನಿರ್ಗಮನವನ್ನು ಬದಲಿಗೆ ನಾಮಾವಕಾಶದಲ್ಲಿ ಅಥವಾ ಒಂದು ಬಾರಿ ಬಳಸುವ ವರ್ಚುವಲ್ ಯಂತ್ರದಲ್ಲಿ ಇರಿಸಿ.

ನಾಮಾವಕಾಶ ಅಥವಾ VM ಜ್ಞಾಪಕವನ್ನು ವ್ಯಯಿಸುತ್ತದೆ ಮತ್ತು ನಿಮಗೆ ಸ್ವಚ್ಛ ಸ್ಫೋಟ ತ್ರಿಜ್ಯವನ್ನು ನೀಡುತ್ತದೆ. ನೀತಿ ಆಧಾರಿತ ರೂಟಿಂಗ್ ಎರಡು ನಿಯಮಗಳನ್ನು ವ್ಯಯಿಸುತ್ತದೆ ಮತ್ತು ದೋಷನಿವಾರಣೆಗೆ ಒಂದೇ ಪೆಟ್ಟಿಗೆಯನ್ನು ಬಿಡುತ್ತದೆ.

ನಿಮ್ಮ ಮೂಲವನ್ನು ಅನುಮೋದಿಸುವ ನಿರ್ಗಮನವನ್ನು ಆಯ್ಕೆ ಮಾಡಿ

ಈ ಪ್ರಯೋಗಾಲಯದಲ್ಲಿ ಹೆಚ್ಚಿನ ವೈಫಲ್ಯಗಳು ಒಂದೂ ಫೈರ್ವಾಲ್ ನಿಯಮ ಇರುವ ಮೊದಲೇ ಸಂಭವಿಸುತ್ತವೆ. ನಿರ್ಗಮನದ ನಿರ್ವಾಹಕರು ಅನುವಾದದ ನಂತರ ನಿಮ್ಮ ಪ್ಯಾಕೆಟ್ಗಳು ಹೊತ್ತಿರುವ ಮೂಲ ವಿಳಾಸವನ್ನು ಸ್ವೀಕರಿಸಬೇಕು, ಮತ್ತು ಈ ವಿನ್ಯಾಸದಲ್ಲಿ ಅದು LAN ಪ್ರಿಫಿಕ್ಸ್ ಅಲ್ಲ, ಸುರಂಗದ ವಿಳಾಸ. ಆದ್ದರಿಂದ ಮುಖವಾಡ ಹಾಕುವಿಕೆ ಆರಂಭದಿಂದಲೂ ವಿನ್ಯಾಸದ ಭಾಗ, ನಂತರದ ಸೇರ್ಪಡೆ ಅಲ್ಲ.

ನಿರ್ವಾಹಕರೊಂದಿಗೆ ಮೂರು ವಿಷಯಗಳನ್ನು ದೃಢೀಕರಿಸಿ: ಸಹಭಾಗಿ ನಿಮ್ಮ ಸುರಂಗದ ವಿಳಾಸವನ್ನು ಅನುಮೋದಿಸುತ್ತದೆ, ಅದು ತನ್ನಲ್ಲೇ ಕೊನೆಗೊಳ್ಳುವ ಬದಲು IPv4 ಅನ್ನು ಮುಂದಕ್ಕೆ ರವಾನಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ನಿರ್ಗಮ NAT ಅನ್ನು ಅನ್ವಯಿಸುತ್ತದೆ. ಮೊದಲನೆಯದಿಲ್ಲದೆ ನಿಮ್ಮ ಪ್ಯಾಕೆಟ್ಗಳು ತಲುಪಿ ಮಾಯವಾಗುತ್ತವೆ. ಮೂರನೆಯದಿಲ್ಲದೆ ಅವು ಖಾಸಗಿ ಮೂಲದೊಂದಿಗೆ ಹೊರಟು ಮುಂದಿನ ಹೆಜ್ಜೆಯಲ್ಲಿ ಸಾಯುತ್ತವೆ. ನಂತರ wg-quick ತನ್ನದೇ ಡಿಫಾಲ್ಟ್ ಮಾರ್ಗವನ್ನು ಸ್ಥಾಪಿಸುತ್ತಿಲ್ಲ ಎಂದು ಪರಿಶೀಲಿಸಿ, ಅದನ್ನು Table = off ತಡೆಯುತ್ತದೆ; ಆ ಸೆಟ್ಟಿಂಗ್ ಮಾರ್ಗ ರಚನೆಯನ್ನು ನಿಗ್ರಹಿಸುತ್ತದೆ, ಸಹಭಾಗಿಯ AllowedIPs ಪರಿಶೀಲನೆಗಳನ್ನಾಗಲಿ ಅದರ DNS ನಿರ್ವಹಣೆಯನ್ನಾಗಲಿ ಅಲ್ಲ.

ಎರಡು ನೀತಿ ವಸ್ತುಗಳು ದಿಕ್ಕುನಿರ್ದೇಶನ ಮಾಡುತ್ತವೆ

ದಿಕ್ಕುನಿರ್ದೇಶನಕ್ಕೆ ಕೋಷ್ಟಕ ಮತ್ತು ನಿಯಮ ಬೇಕು. ಕೋಷ್ಟಕ ಎರಡು ಮಾರ್ಗಗಳನ್ನು ಹೊಂದಿದೆ: LAN ಇಂಟರ್ಫೇಸ್ನಿಂದ ಹೊರಗೆ ಹೋಗುವ LAN ಪ್ರಿಫಿಕ್ಸ್ ಮತ್ತು ಸುರಂಗದಿಂದ ಹೊರಗೆ ಹೋಗುವ ಡಿಫಾಲ್ಟ್. ನಿಯಮವು LAN ಇಂಟರ್ಫೇಸ್ಗೆ ಬಂದು ಆ ಪ್ರಿಫಿಕ್ಸ್ ಹೊತ್ತ ಸಂಚಾರವನ್ನು ಕೋಷ್ಟಕಕ್ಕೆ ಕಳುಹಿಸುತ್ತದೆ. ಮೂಲ ಹೊಂದಾಣಿಕೆಯ ಜೊತೆಗೆ iif ಆಯ್ಕೆಗಾರವನ್ನು ಬಳಸಿ, ಏಕೆಂದರೆ ಗೇಟ್ವೇಯ ಸ್ವಂತ WireGuard ಪ್ಯಾಕೆಟ್ಗಳು ಸ್ಥಳೀಯವಾಗಿ ಹುಟ್ಟುತ್ತವೆ ಮತ್ತು ಒಳಬರುವ ಇಂಟರ್ಫೇಸ್ಗೆ ಎಂದಿಗೂ ಹೊಂದಿಕೆಯಾಗುವುದಿಲ್ಲ.

ಕಾವಲುಗಾರ ಹುಡುಕಾಟಕ್ಕಿಂತ ಮೊದಲು ಬರುತ್ತದೆ, ನಂತರ ಅಲ್ಲ. ಆ ಕ್ರಮವೇ ವಿನ್ಯಾಸದ ಸಂಪೂರ್ಣ ಸುರಕ್ಷತಾ ಗುಣ.

ಕಾವಲುಗಾರ ಅದೇ ಆಯ್ಕೆಗಾರದ ಮೇಲಿನ ಎರಡನೇ ನಿಯಮ, ಅದರ ತೀರ್ಪು unreachable. ಸುರಂಗ ಮೇಲಿರುವಾಗ ಹುಡುಕಾಟವೇ ಗೆಲ್ಲುವಂತೆ ಅದಕ್ಕೆ ಹೆಚ್ಚಿನ ಸಂಖ್ಯಾತ್ಮಕ ಆದ್ಯತೆ ನೀಡಿ. ಸುರಂಗದ ಮಾರ್ಗ ಮಾಯವಾದಾಗ ಹುಡುಕಾಟ ಏನನ್ನೂ ಹಿಂತಿರುಗಿಸುವುದಿಲ್ಲ ಮತ್ತು ಕಾವಲುಗಾರ ಮುಖ್ಯ ಕೋಷ್ಟಕದ WAN ಡಿಫಾಲ್ಟ್ಗೆ ಬೀಳಲು ಬಿಡುವ ಬದಲು ಹುಡುಕಾಟವನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ.

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

ಹಿನ್ನೆಗೆತದ ಸಂದನ್ನು ತೆರೆಯುವ ಮೊದಲು ಮುಚ್ಚಿ

ಮೊದಲು ಕಾವಲುಗಾರವನ್ನು, ನಂತರ ಹುಡುಕಾಟವನ್ನು ಸ್ಥಾಪಿಸಿ. ತಿರುವುಮುರುವಾಗಿ ಮಾಡಿದರೆ ಕೆಲವು ಸೆಕೆಂಡುಗಳ ಕಿಟಕಿ ಉಳಿಯುತ್ತದೆ, ಅದರಲ್ಲಿ ಪರೀಕ್ಷಾ ಕ್ಲೈಂಟ್ನ ಸಂಚಾರ ಮೇಲ್ಮುಖ ಸಂಪರ್ಕವನ್ನು ತಲುಪಬಹುದು.

ಫಿಲ್ಟರ್ ಚಿತ್ರವನ್ನು ಪೂರ್ಣಗೊಳಿಸುತ್ತದೆ. forward ಕೊಕ್ಕೆಯಲ್ಲಿ ಪರೀಕ್ಷಾ ಪ್ರಿಫಿಕ್ಸ್ಗಾಗಿ LAN ನಿಂದ ಸುರಂಗದ ದಿಕ್ಕನ್ನು ಮತ್ತು ಸ್ಥಾಪಿತ ಹಿಂತಿರುಗುವ ದಿಕ್ಕನ್ನು ಸ್ವೀಕರಿಸಿ, ನಂತರ ಉಳಿದೆಲ್ಲವನ್ನೂ ಬಿಡಿ; ಆ ಪ್ರಿಫಿಕ್ಸ್ನ NAT ಸುರಂಗದ ಇಂಟರ್ಫೇಸ್ಗೆ postrouting ನಲ್ಲಿ ಹೋಗುತ್ತದೆ. ರವಾನೆ ಸರಪಳಿಯಲ್ಲಿ policy drop ಬಿಡುವುದೇ ಕಾಣೆಯಾದ ಮಾರ್ಗವನ್ನು ಸೋರಿಕೆಯ ಬದಲು ಮೌನವಾಗಿಸುತ್ತದೆ. ಹಿಮ್ಮುಖ ಮಾರ್ಗದ ಫಿಲ್ಟರಿಂಗ್ಗೆ ಸುರಂಗದ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಸಡಿಲ ಕ್ರಮ ಬೇಕು, ಏಕೆಂದರೆ ಡೀಕ್ಯಾಪ್ಸುಲೇಶನ್ ಆದ ಮೇಲೆ ಬರುವ ಸಾರ್ವಜನಿಕ ಮೂಲದ ಅತ್ಯುತ್ತಮ ಹಿಮ್ಮುಖ ಮಾರ್ಗ WAN ಬದಿಯಲ್ಲಿರುತ್ತದೆ. Linux all ಮತ್ತು ಪ್ರತಿ-ಇಂಟರ್ಫೇಸ್ ಮೌಲ್ಯಗಳಲ್ಲಿ ಹೆಚ್ಚಿನದನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಸುರಂಗದ ಇಂಟರ್ಫೇಸ್ ಅನ್ನು ಹೊಂದಿಸುವುದು ಎಲ್ಲೆಡೆ ಮಾನ್ಯತೆಯನ್ನು ದುರ್ಬಲಗೊಳಿಸುವುದಕ್ಕೆ ಸಮಾನವಲ್ಲ.

ವೈಫಲ್ಯದ ಪ್ರಕರಣದಿಂದ ಅದನ್ನು ಸಾಬೀತುಪಡಿಸಿ

ಕ್ಲೈಂಟ್ನ ಮೂಲ ವಿಳಾಸ ಮತ್ತು ಅದು ಬರುವ ಇಂಟರ್ಫೇಸ್ ಅನ್ನು ಹೆಸರಿಸಿ ಕರ್ನೆಲ್ಗೆ ನಿಖರ ಪ್ರಶ್ನೆ ಕೇಳಿ. ಎರಡೂ ಇಲ್ಲದ ಹುಡುಕಾಟ ಬೇರೆ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ ಮತ್ತು ಎರಡೂ ಸಂದರ್ಭಗಳಲ್ಲಿ ಸರಿಯಾಗಿ ಕಾಣುತ್ತದೆ. ನಂತರ ಫೈರ್ವಾಲ್ ಕೌಂಟರ್ಗಳು, ಸಹಭಾಗಿಯ ವರ್ಗಾವಣೆ ಸ್ಥಿತಿ ಮತ್ತು ಕ್ಲೈಂಟ್ನ ಸ್ವಂತ ಸೇವೆಯನ್ನು ನೋಡಿ.

ತೆಗೆಯುವಿಕೆಯನ್ನು ಸರಿಯಾಗಿ ಪರೀಕ್ಷಿಸಿ. ನಿಯಮ ಮತ್ತು ಫಿಲ್ಟರ್ ಜಾಗದಲ್ಲೇ ಇರಿಸಿ ಸುರಂಗವನ್ನು ನಿಲ್ಲಿಸಿ: ಕ್ಲೈಂಟ್ ನಿಲ್ಲಬೇಕು ಮತ್ತು ಗೇಟ್ವೇಯ ಸ್ವಂತ ಸಂಚಾರ ಮುಂದುವರಿಯಬೇಕು. ನಂತರ ಸ್ಥಳೀಯ ಇಂಟರ್ಫೇಸ್ ಮುಟ್ಟದೆ ಸಹಭಾಗಿಯನ್ನು ನಿಲ್ಲಿಸಿ, ಮತ್ತು ಇದೇ ಕೇವಲ ಮಾರ್ಗದ ಅಸ್ತಿತ್ವವನ್ನು ನಂಬುವ ವಿನ್ಯಾಸಗಳನ್ನು ಹಿಡಿಯುವ ಪ್ರಕರಣ. ಕೊನೆಗೆ ಮರುಬೂಟ್ ಮಾಡಿ ನಿಯಮಗಳ ಕ್ರಮವನ್ನು ಮತ್ತೆ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಕಾವಲುಗಾರನನ್ನು ತೆಗೆಯುವ ಕಿತ್ತುಹಾಕುವ ಕೊಕ್ಕೆ ಇಡೀ ವಿನ್ಯಾಸವನ್ನು ಮುಖ್ಯ ಕೋಷ್ಟಕಕ್ಕೆ ಹಿಂತಿರುಗಿಸುತ್ತದೆ. ಕೋಷ್ಟಕ ಸಂಖ್ಯೆ, ಆದ್ಯತೆಗಳು ಮತ್ತು ಇಂಟರ್ಫೇಸ್ ಹೆಸರುಗಳನ್ನು ಬದಲಾವಣೆ ಟಿಕೆಟ್ನಲ್ಲಿ ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ಮುಂದಿನ ನಿಯಮ ಸೇರಿಸುವ ವ್ಯಕ್ತಿಯೇ ಇದನ್ನು ಮುರಿಯುವವನು.