Just Port 25 an den Tunnel schécken, net den Host

Véier Saachen mussen iwwerenee passen, ier e Linux-Host nëmme säin eegene SMTP duerch en Tunnel schéckt: eng Route an enger eegener Tabell, eng Politikregel déi den Traffic auswielt, eng Quelladress déi de Peer akzeptéiert, an en Zeréckwee deen d'Asymmetrie iwwersteet. Jiddwereng ass eng separat Konfiguratioun mat hirem eigenen Ausfallmodus. D'Reiefolleg hei drënner ass déi, déi en Ausfall op dee Stéck weist deen tatsächlech falsch ass. Et ass eng portspezifesch Routing-Aarbecht, keen Ufro fir eng Standardroute vun VPN.

Eng Portregel ass keng Standardroute

Eng Regel déi lokal generéierten TCP mat der Zilport 25 vergläicht, schéckt deen Traffic an eng Tabell déi Dir nenne kënnt. D'Regel erfëllt vun sech aus näischt: si wielt, an d'Tabell muss eng Route enthalen déi de Paket ka droen. Just déi zwee zesummen decken nëmmen d'Ausriichtung vun engem Protokoll of, dowéinst bleiwen d'Weiderleeden fir aner Hosten, erakommend Mailverbindungen an IPv6 baussent der Reegelung. Et eng portspezifesch Politik nennen anstatt e VPN-Standard hält déi Grenz éierlech.

Zwee wg-quick-Astellungen si Viraussetzungen, net en Deel vun der Politik. AllowedIPs = 0.0.0.0/0 erlaabt dem Peer arbiträr IPv4-Ziler ze droen, an Table = off verhënnert datt wg-quick seng eege Standardroute fir dee Präfix installéiert. Mëscht dës Instruktioune net mat engem Manager dee seng eege Routenpolitik uwendt, well déi zwee sech net eens ginn, wiem déi Haapttabell gehéiert.

Schreift d'Route, de Selekter an de Wuechter

Wielt eng Tabellennummer an e Paar Prioritéiten déi soss näischt benotzt, a wendt dann d'Route, de Selekter an de Wuechter an där Reiefolleg un. D'Zuelen ënnen sinn Beispiller, keng reservéiert Wäerter:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo beschränkt d'Regel op lokal entstanenen Traffic, an ipproto tcp dport 25 identifizéiert d'Richtung vun der Verbindung; d'ip-rule-Referenz dokumentéiert béid Selekteren. Si existéieren an den aktuellen Kernen an iproute2-Versiounen, an op engem méi ale System gëtt d'Regel glat ofgelehnt, wat en éischtere Feeler ass wéi eng Regel déi lued an näischt entsprécht.

Déi unreachable-Regel op der nächster Prioritéit ass de Wuechter. Ouni si fält eng fehlend Route an der Tabell 51825 op de gewéinlechen Standard duerch, an de Mail verléisst de physesche Link wärend engem Tunnelausfall, wat genee de Fall ass deen d'Politik verhënnere sollt.

D'Quelladress muss iwwerenee passen

D'src-Preferenz vun der Route fëllt nëmmen eng Quell fir Verbindungen déi keng eege gebonnen hunn. Et ass keng Iwwersetzung, an et iwwerschreift keng explizit Bindung, dowéinst schéckt en Daemon dee un d'physesch Adress gebonnen ass weider vun där Adress. Wann Dir genee dat fannt, ännert d'Astellung vum Daemon selwer oder entwërft eng bewosst Iwwersetzungspolitik, well e spéide pauschale Masquerade eng aner Léisung mat aneren Konsequenze ass.

Um Gateway muss de Peer vum Client d'Quell autoriséieren déi en tatsächlech kritt, dat ass 10.77.0.2/32 anstatt e breede Zilpräfix. Dem Client säin 0.0.0.0/0 an all Gateway-Peer ze kopéieren verwëscht wiem wéi een Traffic gehéiert. De Gateway brauch och Weiderleeden, eng Firewall-Politik déi de Floss erlaabt, an en Zeréckwee, dorënner Ausgangsiwwersetzung wann den Upstream eng privat Tunneladress net ka routeren.

Kontrolléiert den Zeréckwee, dann d'Persistenz

Liest d'Ufroen ier Dir op eppes vertraut, well si weisen wéi eng Tabell a wéi eng Quell all Richtung kritt. Een Zil um Port 25 an dat selwecht Zil um Port 443 sinn duergeet:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Déi éischt Ufro sollt wg0 an déi virgesinn Quell nennen, an déi zweet sollt de gewéinlechen Uplink behalen. Wann d'Applikatioun hir eege Adress bindet, füügt from mat där Adress bei d'Ufro. Eng Äntwertrichtung déi wg0 erreecht an dann lokal verworf gëtt, weist op IPv4-Réckwee-Filterung, well eng Regel nëmme fir den Ausgangsport de Réckwee net den Tunnel wielt.

Wou asymmetrescht Routing autoriséiert ass, kann en interfacebegrenzte luese Modus iwwer net.ipv4.conf.wg0.rp_filter=2 passend sinn, an et lount sech fir d'éischt den effektive Maximum vun den all- an Interface-Wäerter ze kontrolléieren. Deaktivéiert d'Validéierung net global als Ofkierzung. Gitt duerno d'Tabell, d'Prioritéiten an de Wuechter un dejenegen deen d'Konfiguratioun besëtzt, an öffnet nei Verbindungen no enger Neiverbindung fir ze bestätegen datt d'Auswiel nach hält. Denkt drun datt Äntwerten vun engem lokale SMTP-Listener Quellport 25 droen an net Zilport 25, wat eng separat Politikfro ass.