Зөвхөн 25-р портыг туннельд явуул, хост биш

Linux хост зөвхөн өөрийн SMTP-г туннелээр явуулахын тулд дөрвөн зүйл таарч байх ёстой: тусдаа хүснэгт дэх маршрут, траффикийг сонгох бодлогын дүрэм, peer хүлээн авах эх хаяг, тэгш бус байдлыг тэсвэрлэх буцах зам. Тус бүр нь өөрийн гэсэн алдааны горимтой тусдаа тохиргоо юм. Доорх дараалал нь алдааг үнэхээр буруу хэсэг рүү заадаг. Энэ нь портод тусгай маршрутжуулалтын ажил, VPN-ийн анхдагч маршрутын хүсэлт биш.

Портын дүрэм бол анхдагч маршрут биш

Орон нутгийн үүсгэсэн TCP-г очих порт 25-тай тааруулдаг дүрэм тэр траффикийг таны нэрлэсэн хүснэгт рүү илгээдэг. Дүрэм өөрөө юу ч үүсгэдэггүй: энэ нь сонгодог, хүснэгтэд пакетыг зөөж чадах маршрут байх ёстой. Хоёрыг нэгтгэх нь зөвхөн нэг протоколын гадагш чиглэлийг хамардаг тул бусад хост руу дамжуулах, ирж буй шуудангийн холболт, IPv6 нь энэ зохион байгуулалтаас гадуур үлддэг. Үүнийг VPN-ийн анхдагч биш, портод тусгай бодлого гэж нэрлэх нь тэр хил хязгаарыг шударга байлгадаг.

wg-quick-ийн хоёр тохиргоо нь урьдчилсан нөхцөл бөгөөд бодлогын хэсэг биш. AllowedIPs = 0.0.0.0/0 нь peer-т дурын IPv4 очих хаяг зөөх боломж олгодог, Table = off нь тухайн угтварт wg-quick-ийн өөрийн анхдагч маршрутыг суулгахаас сэргийлдэг. Эдгээр зааварчилгааг өөрийн маршрутын бодлого хэрэгжүүлдэг менежертэй хольж болохгүй, учир нь хоёр нь үндсэн хүснэгт хэнийх вэ гэдээр санал нийлэхгүй.

Маршрут, сонгогч, хамгаалалтыг бич

Өөр юу ч ашигладаггүй хүснэгтийн дугаар болон хос давуу эрхийг сонгоод, дараа нь маршрут, сонгогч, хамгаалалтыг энэ дарааллаар хэрэгжүүлнэ. Доорх тоонууд жишээ бөгөөд нөөцлөгдсөн утга биш:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo дүрмийг орон нутгийн гаралтай траффикд хязгаарлаж, ipproto tcp dport 25 холболтын чиглэлийг тодорхойлно; ip-rule-ийн лавлагаа хоёр сонгогчийг хоёуланг нь баримтжуулдаг. Тэдгээр нь одоогийн цөм болон iproute2 хувилбаруудад байдаг бөгөөд хуучин систем дээр дүрэм бүрэн татгалзагддаг, энэ нь ачаалагдаад юутай ч таарахгүй дүрмээс илүү тодорхой алдаа юм.

Дараагийн давуу эрхийн unreachable дүрэм нь хамгаалалт. Үүнгүйгээр 51825 хүснэгтэд байхгүй маршрут энгийн анхдагч руу унаж, туннель тасрах үед шуудан физик холбоосоор гарч, энэ нь бодлого урьдчилан сэргийлэхээр бүтээсэн яг тэр тохиолдол юм.

Эх хаяг тохирсон байх ёстой

Маршрутын src давуу тал нь өөрсдийн эх сурвалжийг холбоогүй холболтуудад л эх сурвалжийг бөглөдөг. Энэ нь орчуулга биш бөгөөд тодорхой холболтыг хүчингүй болгодоггүй тул физик хаягт холбогдсон демон тэр хаягаас үргэлжлүүлэн илгээдэг. Хэрэв яг ийм байвал демоны өөрийн тохиргоог өөрчлөх эсвэл зориудын орчуулгын бодлого зохио, учир нь хожуу хийгдсэн бүх нийтийн masquerade нь өөр үр дагавартай өөр шийдэл юм.

Гарц дээр клиентийн peer нь өөрөө хүлээн авдаг эх сурвалжийг зөвшөөрөх ёстой, өөрөөр хэлбэл өргөн очих угтвар биш 10.77.0.2/32. Клиентийн 0.0.0.0/0-г гарц бүрийн peer руу хуулах нь аль peer аль траффикийг эзэмшдэгийг төөрөгдүүлдэг. Гарцад дамжуулалт, урсгалыг зөвшөөрөх галт хананы бодлого, буцах зам шаардлагатай бөгөөд дээд тал хувийн туннелийн хаягыг маршрутжуулж чадахгүй үед гадагш орчуулгыг оруулна.

Буцах замыг, дараа нь тогтвортой байдлыг шалга

Ямар ч зүйлд итгэхээс өмнө хайлтуудыг уншаарай, учир нь тэдгээр нь чиглэл бүрт ямар хүснэгт, ямар эх сурвалж орохыг харуулдаг. 25-р порт дээрх нэг очих газар болон 443-р порт дээрх мөн тэр очих газар хангалттай:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Эхний хайлт wg0 болон зорьсон эх сурвалжийг нэрлэх ёстой, хоёр дахь нь ердийн дээд холбоосыг хадгалах ёстой. Аппликейшн өөрийн хаягыг холбоход хайлтад тэр хаягтай from нэмнэ. wg0-д хүрээд дараа нь орон нутгаар хасагддаг хариу чиглэл нь IPv4 урвуу замын шүүлтүүрийг заадаг, учир нь зөвхөн гадагш портын дүрэм урвуу хайлтыг туннелийг сонгоход хүргэдэггүй.

Тэгш бус маршрутжуулалт зөвшөөрөгдсөн газарт net.ipv4.conf.wg0.rp_filter=2-оор интерфэйсээр хязгаарлагдсан сул горим тохиромжтой байж болох бөгөөд эхлээд all болон интерфэйсийн утгын үр дүнтэй дээд хэмжээг шалгах нь зүйтэй. Баталгаажуулалтыг товчлол болгон глобал хэмжээнд унтрааж болохгүй. Дараа нь хүснэгт, давуу эрх, хамгаалалтыг тохиргооны эзэнд шилжүүлж, дахин холбогдсоны дараа шинэ холболт нээж сонголт хэвээр байгааг баталгаажуулна. Орон нутгийн SMTP сонсогчийн хариу нь очих порт 25 биш эх порт 25-ыг зөөдөг гэдгийг санаарай, энэ нь тусдаа бодлогын асуудал юм.