ಪೋರ್ಟ್ 25 ಮಾತ್ರ ಸುರಂಗಕ್ಕೆ ಕಳುಹಿಸಿ, ಹೋಸ್ಟ್ ಅಲ್ಲ

Linux ಹೋಸ್ಟ್ ತನ್ನ SMTP ಮಾತ್ರ ಸುರಂಗದ ಮೂಲಕ ಕಳುಹಿಸುವ ಮೊದಲು ನಾಲ್ಕು ವಿಷಯಗಳು ಹೊಂದಿಕೆಯಾಗಬೇಕು: ಮೀಸಲಾದ ಕೋಷ್ಟಕದಲ್ಲಿ ಮಾರ್ಗ, ಸಂಚಾರವನ್ನು ಆಯ್ಕೆಮಾಡುವ ನೀತಿ ನಿಯಮ, ಪೀರ್ ಸ್ವೀಕರಿಸುವ ಮೂಲ ವಿಳಾಸ, ಮತ್ತು ಅಸಮಮಿತಿಯನ್ನು ತಡೆದುಕೊಳ್ಳುವ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ. ಪ್ರತಿಯೊಂದೂ ತನ್ನದೇ ವೈಫಲ್ಯ ವಿಧಾನವಿರುವ ಪ್ರತ್ಯೇಕ ಸಂರಚನೆ. ಕೆಳಗಿನ ಕ್ರಮವೇ ವೈಫಲ್ಯವನ್ನು ನಿಜವಾಗಿ ತಪ್ಪಾದ ಭಾಗಕ್ಕೆ ತೋರಿಸುತ್ತದೆ. ಇದು ಪೋರ್ಟ್-ನಿರ್ದಿಷ್ಟ ರೂಟಿಂಗ್ ಕೆಲಸ, VPN ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗದ ವಿನಂತಿಯಲ್ಲ.

ಪೋರ್ಟ್ ನಿಯಮ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗವಲ್ಲ

ಸ್ಥಳೀಯವಾಗಿ ರಚಿಸಲಾದ TCP ಅನ್ನು ಗಮ್ಯಸ್ಥಾನ ಪೋರ್ಟ್ 25 ಜೊತೆ ಹೊಂದಿಸುವ ನಿಯಮ ಆ ಸಂಚಾರವನ್ನು ನೀವು ಹೆಸರಿಸುವ ಕೋಷ್ಟಕಕ್ಕೆ ಕಳುಹಿಸುತ್ತದೆ. ನಿಯಮ ಸ್ವತಃ ಏನನ್ನೂ ಸೃಷ್ಟಿಸುವುದಿಲ್ಲ: ಅದು ಆಯ್ಕೆಮಾಡುತ್ತದೆ, ಮತ್ತು ಕೋಷ್ಟಕದಲ್ಲಿ ಪ್ಯಾಕೆಟ್ ಸಾಗಿಸಬಲ್ಲ ಮಾರ್ಗ ಇರಬೇಕು. ಎರಡನ್ನೂ ಸೇರಿಸಿದರೆ ಒಂದು ಪ್ರೋಟೋಕಾಲ್‌ನ ಹೊರಮುಖ ದಿಕ್ಕು ಮಾತ್ರ ಆವರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಇತರ ಹೋಸ್ಟ್‌ಗಳಿಗೆ ಫಾರ್ವರ್ಡಿಂಗ್, ಒಳಬರುವ ಮೇಲ್ ಸಂಪರ್ಕಗಳು ಮತ್ತು IPv6 ಈ ವ್ಯವಸ್ಥೆಯಿಂದ ಹೊರಗೆ ಉಳಿಯುತ್ತವೆ. ಇದನ್ನು VPN ಡೀಫಾಲ್ಟ್ ಬದಲು ಪೋರ್ಟ್-ನಿರ್ದಿಷ್ಟ ನೀತಿ ಎಂದು ಕರೆಯುವುದು ಆ ಗಡಿಯನ್ನು ಪ್ರಾಮಾಣಿಕವಾಗಿ ಇರಿಸುತ್ತದೆ.

wg-quick ನ ಎರಡು ಸೆಟ್ಟಿಂಗ್‌ಗಳು ಪೂರ್ವಭಾವಿ ಷರತ್ತುಗಳು, ನೀತಿಯ ಭಾಗವಲ್ಲ. AllowedIPs = 0.0.0.0/0 ಪೀರ್‌ಗೆ ಅನಿಯಂತ್ರಿತ IPv4 ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ಸಾಗಿಸಲು ಅನುಮತಿಸುತ್ತದೆ, ಮತ್ತು Table = off ಆ ಪ್ರಿಫಿಕ್ಸ್‌ಗೆ wg-quick ತನ್ನದೇ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗವನ್ನು ಸ್ಥಾಪಿಸದಂತೆ ತಡೆಯುತ್ತದೆ. ಈ ಸೂಚನೆಗಳನ್ನು ತನ್ನದೇ ಮಾರ್ಗ ನೀತಿಯನ್ನು ಅನ್ವಯಿಸುವ ನಿರ್ವಾಹಕದೊಂದಿಗೆ ಬೆರೆಸಬೇಡಿ, ಏಕೆಂದರೆ ಎರಡೂ ಮುಖ್ಯ ಕೋಷ್ಟಕ ಯಾರದ್ದು ಎಂಬುದರಲ್ಲಿ ಒಪ್ಪುವುದಿಲ್ಲ.

ಮಾರ್ಗ, ಆಯ್ಕೆಗಾರ ಮತ್ತು ಕಾವಲುಗಾರ ಬರೆಯಿರಿ

ಬೇರೆ ಯಾವುದೂ ಬಳಸದ ಕೋಷ್ಟಕ ಸಂಖ್ಯೆ ಮತ್ತು ಆದ್ಯತೆಗಳ ಜೋಡಿಯನ್ನು ಆಯ್ಕೆಮಾಡಿ, ನಂತರ ಮಾರ್ಗ, ಆಯ್ಕೆಗಾರ ಮತ್ತು ಕಾವಲುಗಾರವನ್ನು ಆ ಕ್ರಮದಲ್ಲಿ ಅನ್ವಯಿಸಿ. ಕೆಳಗಿನ ಸಂಖ್ಯೆಗಳು ಉದಾಹರಣೆಗಳು, ಕಾಯ್ದಿರಿಸಿದ ಮೌಲ್ಯಗಳಲ್ಲ:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo ನಿಯಮವನ್ನು ಸ್ಥಳೀಯ ಮೂಲದ ಸಂಚಾರಕ್ಕೆ ಸೀಮಿತಗೊಳಿಸುತ್ತದೆ, ಮತ್ತು ipproto tcp dport 25 ಸಂಪರ್ಕದ ದಿಕ್ಕನ್ನು ಗುರುತಿಸುತ್ತದೆ; ip-rule ಉಲ್ಲೇಖ ಎರಡೂ ಆಯ್ಕೆಗಾರಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ. ಅವು ಪ್ರಸ್ತುತ ಕರ್ನೆಲ್‌ಗಳು ಮತ್ತು iproute2 ಬಿಡುಗಡೆಗಳಲ್ಲಿ ಇವೆ, ಮತ್ತು ಹಳೆಯ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ನಿಯಮ ಸಂಪೂರ್ಣವಾಗಿ ತಿರಸ್ಕೃತವಾಗುತ್ತದೆ, ಇದು ಲೋಡ್ ಆಗಿ ಯಾವುದಕ್ಕೂ ಹೊಂದಿಕೆಯಾಗದ ನಿಯಮಕ್ಕಿಂತ ಸ್ಪಷ್ಟವಾದ ವೈಫಲ್ಯ.

ಮುಂದಿನ ಆದ್ಯತೆಯ unreachable ನಿಯಮ ಕಾವಲುಗಾರ. ಅದಿಲ್ಲದೆ, ಕೋಷ್ಟಕ 51825 ನಲ್ಲಿ ಕಾಣೆಯಾದ ಮಾರ್ಗ ಸಾಮಾನ್ಯ ಡೀಫಾಲ್ಟ್‌ಗೆ ಬೀಳುತ್ತದೆ, ಮತ್ತು ಸುರಂಗ ಕಡಿತದ ಸಮಯದಲ್ಲಿ ಮೇಲ್ ಭೌತಿಕ ಲಿಂಕ್ ಮೂಲಕ ಹೊರಹೋಗುತ್ತದೆ, ಇದು ನೀತಿ ತಡೆಯಲು ನಿರ್ಮಿಸಲಾದ ನಿಖರ ಸಂದರ್ಭ.

ಮೂಲ ವಿಳಾಸ ಹೊಂದಿಕೆಯಾಗಬೇಕು

ಮಾರ್ಗದ src ಆದ್ಯತೆ ತಮ್ಮದೇ ಮೂಲವನ್ನು ಬಂಧಿಸದ ಸಂಪರ್ಕಗಳಿಗೆ ಮಾತ್ರ ಮೂಲವನ್ನು ತುಂಬುತ್ತದೆ. ಇದು ಅನುವಾದವಲ್ಲ, ಮತ್ತು ಸ್ಪಷ್ಟ ಬೈಂಡಿಂಗ್ ಅನ್ನು ಅತಿಕ್ರಮಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಭೌತಿಕ ವಿಳಾಸಕ್ಕೆ ಬಂಧಿತ ಡೀಮನ್ ಆ ವಿಳಾಸದಿಂದಲೇ ಕಳುಹಿಸುತ್ತಲೇ ಇರುತ್ತದೆ. ನೀವು ನಿಖರವಾಗಿ ಇದನ್ನೇ ಕಂಡರೆ, ಡೀಮನ್‌ನ ಸ್ವಂತ ಸೆಟ್ಟಿಂಗ್ ಬದಲಿಸಿ ಅಥವಾ ಉದ್ದೇಶಪೂರ್ವಕ ಅನುವಾದ ನೀತಿಯನ್ನು ವಿನ್ಯಾಸಗೊಳಿಸಿ, ಏಕೆಂದರೆ ತಡವಾದ ಸರ್ವವ್ಯಾಪಿ masquerade ಬೇರೆ ಪರಿಣಾಮಗಳಿರುವ ಬೇರೆ ಪರಿಹಾರ.

ಗೇಟ್‌ವೇಯಲ್ಲಿ, ಕ್ಲೈಂಟ್‌ನ ಪೀರ್ ನಿಜವಾಗಿ ಸ್ವೀಕರಿಸುವ ಮೂಲವನ್ನು ಅಧಿಕೃತಗೊಳಿಸಬೇಕು, ಅದು ಅಗಲವಾದ ಗಮ್ಯಸ್ಥಾನ ಪ್ರಿಫಿಕ್ಸ್ ಬದಲು 10.77.0.2/32. ಕ್ಲೈಂಟ್‌ನ 0.0.0.0/0 ಅನ್ನು ಪ್ರತಿ ಗೇಟ್‌ವೇ ಪೀರ್‌ಗೆ ನಕಲಿಸುವುದು ಯಾವ ಪೀರ್ ಯಾವ ಸಂಚಾರವನ್ನು ಹೊಂದಿದೆ ಎಂಬುದನ್ನು ಗೊಂದಲಗೊಳಿಸುತ್ತದೆ. ಗೇಟ್‌ವೇಗೆ ಫಾರ್ವರ್ಡಿಂಗ್, ಹರಿವನ್ನು ಅನುಮತಿಸುವ ಫೈರ್‌ವಾಲ್ ನೀತಿ, ಮತ್ತು ಹಿಂತಿರುಗುವ ಮಾರ್ಗವೂ ಬೇಕು, ಅಪ್‌ಸ್ಟ್ರೀಮ್ ಖಾಸಗಿ ಸುರಂಗ ವಿಳಾಸವನ್ನು ರೂಟ್ ಮಾಡಲಾಗದಿದ್ದಾಗ ಹೊರಹೋಗುವ ಅನುವಾದ ಸೇರಿದಂತೆ.

ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ನೋಡಿ, ನಂತರ ಸ್ಥಿರತೆ

ಏನನ್ನೂ ನಂಬುವ ಮೊದಲು ಲುಕಪ್‌ಗಳನ್ನು ಓದಿ, ಏಕೆಂದರೆ ಅವು ಪ್ರತಿ ದಿಕ್ಕಿಗೆ ಯಾವ ಕೋಷ್ಟಕ ಮತ್ತು ಯಾವ ಮೂಲ ಸಿಗುತ್ತದೆ ಎಂದು ತೋರಿಸುತ್ತವೆ. ಪೋರ್ಟ್ 25 ನಲ್ಲಿ ಒಂದು ಗಮ್ಯಸ್ಥಾನ ಮತ್ತು ಪೋರ್ಟ್ 443 ನಲ್ಲಿ ಅದೇ ಗಮ್ಯಸ್ಥಾನ ಸಾಕು:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

ಮೊದಲ ಲುಕಪ್ wg0 ಮತ್ತು ಉದ್ದೇಶಿತ ಮೂಲವನ್ನು ಹೆಸರಿಸಬೇಕು, ಮತ್ತು ಎರಡನೆಯದು ಸಾಮಾನ್ಯ ಅಪ್‌ಲಿಂಕ್ ಅನ್ನು ಉಳಿಸಿಕೊಳ್ಳಬೇಕು. ಅಪ್ಲಿಕೇಶನ್ ತನ್ನದೇ ವಿಳಾಸವನ್ನು ಬಂಧಿಸಿದಾಗ, ಆ ವಿಳಾಸದೊಂದಿಗೆ from ಅನ್ನು ಲುಕಪ್‌ಗೆ ಸೇರಿಸಿ. wg0 ತಲುಪಿ ನಂತರ ಸ್ಥಳೀಯವಾಗಿ ಬಿಡಲಾದ ಪ್ರತ್ಯುತ್ತರ ದಿಕ್ಕು IPv4 ರಿವರ್ಸ್-ಪಾತ್ ಫಿಲ್ಟರಿಂಗ್‌ಗೆ ಸೂಚಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಹೊರಹೋಗುವ ಪೋರ್ಟ್‌ಗೆ ಮಾತ್ರವಿರುವ ನಿಯಮ ರಿವರ್ಸ್ ಲುಕಪ್ ಸುರಂಗವನ್ನು ಆಯ್ಕೆಮಾಡುವಂತೆ ಮಾಡುವುದಿಲ್ಲ.

ಅಸಮಮಿತ ರೂಟಿಂಗ್ ಅಧಿಕೃತವಾಗಿರುವಲ್ಲಿ, net.ipv4.conf.wg0.rp_filter=2 ಮೂಲಕ ಇಂಟರ್‌ಫೇಸ್-ಸೀಮಿತ ಸಡಿಲ ಮೋಡ್ ಸೂಕ್ತವಾಗಿರಬಹುದು, ಮತ್ತು ಮೊದಲು all ಮತ್ತು ಇಂಟರ್‌ಫೇಸ್ ಮೌಲ್ಯಗಳ ಪರಿಣಾಮಕಾರಿ ಗರಿಷ್ಠವನ್ನು ಪರಿಶೀಲಿಸುವುದು ಯೋಗ್ಯ. ಪರಿಶೀಲನೆಯನ್ನು ಶಾರ್ಟ್‌ಕಟ್ ಆಗಿ ಜಾಗತಿಕವಾಗಿ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಬೇಡಿ. ನಂತರ ಕೋಷ್ಟಕ, ಆದ್ಯತೆಗಳು ಮತ್ತು ಕಾವಲುಗಾರವನ್ನು ಸಂರಚನೆಯ ಮಾಲೀಕರಿಗೆ ಒಪ್ಪಿಸಿ, ಮತ್ತು ಮರುಸಂಪರ್ಕದ ನಂತರ ಹೊಸ ಸಂಪರ್ಕಗಳನ್ನು ತೆರೆದು ಆಯ್ಕೆ ಇನ್ನೂ ಇದೆ ಎಂದು ದೃಢೀಕರಿಸಿ. ಸ್ಥಳೀಯ SMTP ಶ್ರೋತ್ರದ ಪ್ರತ್ಯುತ್ತರಗಳು ಮೂಲ ಪೋರ್ಟ್ 25 ಅನ್ನು ಸಾಗಿಸುತ್ತವೆ, ಗಮ್ಯಸ್ಥಾನ ಪೋರ್ಟ್ 25 ಅಲ್ಲ, ಇದು ಪ್ರತ್ಯೇಕ ನೀತಿ ಪ್ರಶ್ನೆ.