DNS-gespeisten nftables-Set op WireGuard: wéi d'Iwwergab funktionéiert

Nimm ginn zu Adressen opgeléist, an déi Adressen kënnen an en Firewall-Set geroden, deen duerno d'Routing beaflosst, wat nummbaséiert Steierung ouni Proxy méiglech mécht. Den Haken ass, datt véier Komponente musse richteg iwwerginn: de Resolver, de Set, de Klassifizéierer, deen en neie Floss markéiert, an de Peer, deen en dréit. All Iwwergab versaaet anescht an all hält seng eege Zäit.

Behandelt den Design als Kette an net als Konfiguratioun. D'Fro bei all Schrëtt ass, wéi eng Komponent d'Entscheedung huet a wat geschitt, wann hiren Input feelt.

Wat d'DNS-Antwort kann an net kann

dnsmasq kann Adressen aus Äntwerten an en nftables-Set kopéieren, wat eng Fidderung an net eng Routing-Entscheedung ass. Déi Optioun, dokumentéiert am dnsmasq-Handbuch, nennt d'Famill, den Table an de Set, an hir féierend 4# wielt nëmmen A-Records, dofir brauchen v6-Ziler hir eege Reegel. De Set muss schonn existéieren, well de Resolver Elementer zu eppes bäisetzt, wat den Eegentümer vun der Firewall ugeluecht huet. Näischt an deem Schrëtt wielt eng Interface, en Table oder e Peer.

De Client muss och dee Resolver fir den Numm benotzen. Eng Applikatioun mat hirem eegene verschlësselten DNS, oder eng gecachte Äntwert vun éier d'Politik existéiert huet, verbënnt ouni iergendeng Notiz am Set ze maachen.

De Set ass en Input, net eng Route

En Element an engem Set ass eng Iwwereneestëmmungs-Bedingung. Eppes muss en ukucken, entscheeden, datt dëse Paket en neie Floss ufänkt, an d'Politik uwenden, déi de Floss duerch den Tunnel schéckt. Op Linux heescht dat meeschtens en routingfäege Ausgangswee, dee ka markéieren, eng Regel déi markéiert Paketen an en eegene Table schéckt, an eng Route an deem Table op den WireGuard-Gerät. Nëmmen d'Memberschaft installéiert näischt dovu.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

De Peer applizéiert eng zweet Ofdeckungspréifung, déi d'Leit vergiessen. WireGuard verschlësselt e Paket nëmme fir e Peer, deem seng erlaabten Adressen d'Zil enthalen, dofir ass eng Politik-Route an d'Interface net genuch, wann d'Lëscht vum Peer dee Prefix ausschléisst. Halt d'Lëscht ënner der Kontroll vum Routing-Eegentümer, amplaz sech op dat ze verloossen, wat de Manager eventuell un Route unlegt.

Marken, Tables an Ofdeckung vum Peer

Marke sinn en gedeelten Nummraum, dofir mussen de Wäert an d'Mask mat allem aneren ofgestëmmt ginn, wat se benotzt. Eng Regel, déi markéierten Traffic an en eegene Table schéckt, brauch en definéiert Resultat, wann deen Table keng passend Route huet, well eng onbeäntwert Sich kënnt op déi nächst Regel weiderlafen an de Paket iwwer d'physikalesch Interface erausschécken. Eng Blackhole-Standardroute am eegene Table mécht déi stomm Flucht zu engem sichtbaren Verloscht. Wat den Design nach ëmmer net kann, ass sech bei engem Ausfall zoumaachen fir en Zil, dat ni an de Set komm ass.

Déi eege baussenzeg Pakete vum Tunnel mussen dem Klassifizéierer entkommen. D'WireGuard-Werkzeuge bidden genau dofir eng Socket-Mark, an hire Gebrauch verhënnert, datt d'Encapsulation zréck an d'Interface geroutet gëtt, déi se opbaut.

Test all Liewensdauer getrennt

Dräi Späicher alen no dräi Zäitpläng: de Cache vum Resolver, d'Elementer vum Set an déi verfollegt Verbindung. Test se an där Reihenfolg a kuckt, ob sech all beweegt, wann et soll. D'Kommandos hei drënner liesen de Resolver, de Set, den Table vun de Verbindungen an d'Politikregelen, ouni eppes ze änneren.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

Eng frësch Sich, déi en Element bäisetzt, beweist, datt d'Fidderung funktionéiert, wärend en al Element, dat seng Äntwert iwwerlieft, eng Liewensdauer-Dislokatioun ass, déi et wäert ass opzeschreiwen. Eng nei Verbindung am Table vun de Verbindungen mat der erwaarter Mark weist, datt de Klassifizéierer gelaf ass, an eng al Verbindung, déi hir ursprénglech Mark behält, ass richtegt Verhalen an net e Feeler. D'Lëscht vun de Regele beäntwert, ob d'Politiksich iwwerhaapt existéiert, wat eng aner Fro ass wéi ob se entsprach huet. Liest déi véier Ausgaben an där Reihenfolg an d'feelerhaft Iwwergab verréit sech selwer.

Wou d'Fuerderung ass, datt en bestëmmten Numm ëmmer ee Wee benotzt, kann en DNS-gefidderten Set dat net beweisen, well gedeelt Adressen och aner Nimm droen. En Proxy oder e Mechanismus op Applikatiounsniveau ass d'Werkzeuch fir déi Garantie.