Tunelī sūtiet tikai 25. portu, nevis saimniekdatoru

Četrām lietām jāsakrīt, pirms Linux saimniekdators sūta tikai savu SMTP pa tuneli: maršruts atsevišķā tabulā, politikas noteikums, kas izvēlas datplūsmu, avota adrese, ko peer pieņems, un atgriešanās ceļš, kas iztur asimetriju. Katrs ir atsevišķa konfigurācija ar savu kļūmes režīmu. Zemāk dotā secība liek kļūmei norādīt uz daļu, kas patiešām ir nepareiza. Tas ir portam raksturīgs maršrutēšanas darbs, nevis VPN noklusējuma maršruta pieprasījums.

Porta noteikums nav noklusējuma maršruts

Noteikums, kas lokāli ģenerētu TCP saskaņo ar mērķa portu 25, sūta šo datplūsmu uz tabulu, kuru jūs nosaucat. Noteikums pats par sevi neko nerada: tas izvēlas, un tabulā jābūt maršrutam, kas spēj pārnest paketi. Abu kombinācija aptver tikai viena protokola izejošo virzienu, tāpēc pārsūtīšana citiem saimniekdatoriem, ienākošie pasta savienojumi un IPv6 paliek ārpus šī izkārtojuma. To saukt par portam raksturīgu politiku, nevis VPN noklusējumu, saglabā šo robežu godīgu.

Divi wg-quick iestatījumi ir priekšnosacījumi, nevis politikas daļa. AllowedIPs = 0.0.0.0/0 ļauj peer pārnest patvaļīgus IPv4 mērķus, un Table = off neļauj wg-quick instalēt savu noklusējuma maršrutu šim prefiksam. Nejauciet šos norādījumus ar pārvaldnieku, kas piemēro savu maršrutu politiku, jo abi nevienosies, kam pieder galvenā tabula.

Rakstiet maršrutu, selektoru un sargu

Izvēlieties tabulas numuru un prioritāšu pāri, ko neizmanto nekas cits, pēc tam šajā secībā piemērojiet maršrutu, selektoru un sargu. Zemāk dotie skaitļi ir piemēri, nevis rezervētas vērtības:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo ierobežo noteikumu ar lokālas izcelsmes datplūsmu, un ipproto tcp dport 25 identificē savienojuma virzienu; ip-rule uzziņa dokumentē abus selektorus. Tie pastāv pašreizējās kodolos un iproute2 laidienos, un vecākā sistēmā noteikums tiek pilnībā noraidīts, kas ir skaidrāka kļūme nekā noteikums, kas ielādējas un neatbilst nekam.

Nākamās prioritātes unreachable noteikums ir sargs. Bez tā tabulā 51825 trūkstošais maršruts iekrīt parastajā noklusējumā, un tuneļa pārtraukuma laikā pasts iziet pa fizisko saiti, kas ir tieši tas gadījums, kura novēršanai politika tika veidota.

Avota adresei jāsakrīt

Maršruta src izvēle tikai aizpilda avotu tiem savienojumiem, kas nav piesaistījuši savu. Tā nav tulkošana un neatsauc skaidru piesaisti, tāpēc fiziskajai adresei piesaistīts dēmons turpina sūtīt no šīs adreses. Ja atrodat tieši to, mainiet paša dēmona iestatījumu vai izstrādājiet apzinātu tulkošanas politiku, jo vēla visaptveroša masquerade ir cits risinājums ar citām sekām.

Pie vārtejas klienta peer ir jāautorizē avots, ko tas faktiski saņem, proti, 10.77.0.2/32, nevis plašs mērķa prefikss. Klienta 0.0.0.0/0 kopēšana katrā vārtejas peer sajauc, kuram peer pieder kāda datplūsma. Vārtejai ir vajadzīga arī pārsūtīšana, ugunsmūra politika, kas atļauj plūsmu, un atgriešanās ceļš, tostarp izejošā tulkošana, ja augšupējais nevar maršrutēt privātu tuneļa adresi.

Pārbaudiet atgriešanās ceļu, tad noturību

Pirms kaut kam uzticaties, izlasiet meklējumus, jo tie parāda, kuru tabulu un kuru avotu iegūst katrs virziens. Viens mērķis portā 25 un tas pats mērķis portā 443 ir pietiekami:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Pirmajam meklējumam jānosauc wg0 un paredzētais avots, bet otrajam jāsaglabā parastā augšupējā saite. Kad lietojumprogramma piesaista savu adresi, pievienojiet meklējumam from ar šo adresi. Atbildes virziens, kas sasniedz wg0 un pēc tam tiek lokāli nomests, norāda uz IPv4 apgrieztā ceļa filtrēšanu, jo noteikums tikai izejošajam portam neliek apgrieztajam meklējumam izvēlēties tuneli.

Kur asimetriskā maršrutēšana ir atļauta, saskarnei ierobežots vaļīgais režīms, izmantojot net.ipv4.conf.wg0.rp_filter=2, var būt piemērots, un ir vērts vispirms pārbaudīt all un saskarnes vērtību faktisko maksimumu. Neizslēdziet validāciju globāli kā saīsni. Pēc tam nododiet tabulu, prioritātes un sargu tam, kam pieder konfigurācija, un pēc atkārtotas savienošanas atveriet jaunus savienojumus, lai apstiprinātu, ka izvēle joprojām ir spēkā. Paturiet prātā, ka vietējā SMTP klausītāja atbildes nes avota portu 25, nevis mērķa portu 25, un tas ir atsevišķs politikas jautājums.