WireGuard-Peergruppen um Hub: Quelleneeegentum plus Politik

En Hub dee WireGuard bedreift kann Peergruppen auserneen halen ouni eng eege Schnittstell oder Routingtabell pro Grupp. Zwee Mechanisme maachen d'Aarbecht, an hir Verwiesselung ass de gewéinleche Grond firwat eng Politik richteg ausgesäit an näischt mécht. Eng Schicht entscheet wien eng Quellenadress ka froen. Déi aner entscheet wou dëse Paket dierf higoen.

Zwee Aufgaben, auserneen gehal

D'Tunnelschicht äntwert op eng enk Fro: huet de Schlëssel vun dësem Peer dës intern Quellenadress autoriséiert. D'Weiterleitungsschicht äntwert op eng méi breet: däerf dëse Paket a Richtung vun där Destinatioun erausgoen. Keng vun deenen zwou äntwert op d'Fro vun der anerer, a keng ass eleng eng komplett Zougangspolitik.

Dës Trennung ass de Grond firwat e Peer authentifizéiert, richteg adresséiert an trotzdeem net fäeg ka sinn en Host z'erreechen deen en net sollt erreechen. Si erkläert och dat Ëmgedréint: eng Firewallregel déi alles erlaabt beweist näischt doriwwer wien eng wéi eng Adress ka froen.

Entwerft déi zwou Schichten zesummen an test dann déi zwou. Eng Konfiguratioun déi an enger Schicht richteg an an der anerer ongetest ass, fällt op oder zou ofhängeg vum Standard.

Gitt all Peer nëmmen seng eegen Adress

Peere mat méi Hoste verleeden dech dozou op der Serversäit de ganze Grupperberäich ze ginn. Dës Erlaabnes ass eng Fuerderung op eng Quellenadress, dofir ka e kompromittéierten oder falsch konfiguréierte Client all Adress am Beräich presentéieren an den Tunnel akzeptéiert si. Assignéiert eng /32 pro Peer fir seng eegen intern Adress. Setzt Grupperberäicher nëmmen op de Clienten, wou si beschreiwen wéi eng Destinatiounen dëse Client ka erreechen amplaz wéi eng Quellen en däerf benotzen.

D'Firewall gläicht dann eng Quell of déi si ka vertrauen. Eng Regel déi fir de Beräich vun der Grupp geschriwwe gouf bleift eng nëtzlech Gruppéierung, a si gëtt nëmmen dann sënnvoll wann keen eenzege Peer eng Adress ka froen déi zu engem anere Member gehéiert.

Schreift d'Weiterleitungspolitik déi Gruppen trennt

Den interessante Verkéier trëtt hei iwwer déi selwecht Tunnelschnittstell an an eraus, also duerchleet en de Weiterleitungswee an net den Inputwee vum Host. D'Regele gehéieren an déi existéierend Weiterleitungskette vum Firewallmanager deem den Host gehéiert, an et si Fragmenter, keen komplette Reegelset.

iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept
iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept
iifname "wg0" oifname "wg0" drop

Déi éischt zwou Regele erlaben de Verkéier bannent all Grupp. Déi lescht blockéiert alles aneres wat dës Schnittstell duerchleet, an dat ass wat d'Isolatioun tëscht de Gruppe produzéiert. Füügt explizit Reegele fir déi aner Adressfamill bäi wann Dir se braucht, well en Drop deen fir IPv4 geschriwwe gouf kee IPv6-Verhalen autoriséiert oder beschreift.

D'Reiefolleg entscheet ob d'Politik gëllt

D'Reiefolleg vun de Reegelen ass wichteger wéi d'Fragment selwer. Eng generesch Regel déi etabléiert Verbindunge akzeptéiert an virun dësen Entréen steet, léisst en ale gruppeniwwergräifende Floss weiderlafen, also gëllt d'Isolatioun nëmme fir nei Verbindungen. Entscheet wéi eng vun deenen zwou Resultater Dir wëllt ier Dir nei lued.

En Akzepturteel ass och net ëmmer definitiv iwwer Ketten um selwechte Kroke. Wann eng aner Basiskette méi spéit leeft, ass déi effektiv Politik d'Kombinatioun, also kuckt d'Zieler an net d'Datei déi Dir geännert hutt. D'Zieler sinn dee bëllegste Beweis deen et gëtt. Eng Regel ouni Paketziele passt net, an eng Regel déi passt wärend eng méi spéit Kette akzeptéiert seet Iech datt den Drop op der falscher Plaz steet.

Test d'Matrix, net d'Zuel vun den Dateien

Baut eng kleng Matrix vun erwaarten Resultater a kontrolléiert all Zell. Grupp A op Grupp A soll funktionéieren, Grupp B op Grupp B soll funktionéieren, an A op B soll net, a béide Richtungen a fir béid Adressfamillen wann Dir se ënnerstëtzt.

nft list ruleset
wg show wg0 allowed-ips
ping -c 2 10.66.10.5
conntrack -L -s 10.66.20.7 2>/dev/null | head

Déi éischt zwou weisen wat konfiguréiert ass. De Ping vun engem Member vun der falscher Grupp weist wat tatsächlech geschitt. D'conntrack-Lëscht weist ob e méi ale Floss nach akzeptéiert gëtt, an esou fällt eng Isolatiounsännerung stëll net a Kraaft.

Hostservicer um Hub an den Zougang zu engem LAN hannendrun si getrennte Weeër mat getrennter Politik. Notéiert wéi eng dovun d'Matrix deckt, well en Test deen nëmmen Peer-zu-Peer-Verkéier kontrolléiert iwwer keng vun deenen zwee eppes seet.