Halakan hanya port 25 ke terowong, bukan hos

Empat perkara mesti sejajar sebelum hos Linux menghantar hanya SMTPnya sendiri melalui terowong: laluan dalam jadual khusus, peraturan dasar yang memilih trafik, alamat sumber yang akan diterima peer, dan laluan balik yang bertahan dengan asimetri. Setiap satu ialah konfigurasi berasingan dengan mod kegagalannya sendiri. Urutan di bawah ialah yang membuat kegagalan menunjuk kepada bahagian yang benar-benar salah. Ini kerja penghalaan khusus port, bukan permintaan laluan lalai VPN.

Peraturan port bukan laluan lalai

Peraturan yang memadankan TCP yang dijana secara setempat dengan port destinasi 25 menghantar trafik itu ke jadual yang anda namakan. Peraturan itu tidak mencipta apa-apa dengan sendirinya: ia memilih, dan jadual mesti mengandungi laluan yang boleh membawa paket. Gabungan kedua-duanya hanya meliputi arah keluar satu protokol, jadi penghantaran untuk hos lain, sambungan mel masuk dan IPv6 kekal di luar susunan ini. Menyebutnya dasar khusus port dan bukannya lalai VPN mengekalkan sempadan itu jujur.

Dua tetapan wg-quick ialah prasyarat, bukan sebahagian daripada dasar. AllowedIPs = 0.0.0.0/0 membenarkan peer membawa destinasi IPv4 sewenang-wenangnya, dan Table = off menghalang wg-quick daripada memasang laluan lalainya sendiri untuk awalan itu. Jangan campurkan arahan ini dengan pengurus yang menggunakan dasar laluannya sendiri, kerana kedua-duanya tidak akan bersetuju tentang siapa yang memiliki jadual utama.

Tulis laluan, pemilih dan pengawal

Pilih nombor jadual dan sepasang keutamaan yang tiada apa-apa lain gunakan, kemudian gunakan laluan, pemilih dan pengawal dalam urutan itu. Nombor di bawah ialah contoh, bukan nilai terpelihara:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo mengehadkan peraturan kepada trafik berasal setempat, dan ipproto tcp dport 25 mengenal pasti arah sambungan; rujukan ip-rule mendokumenkan kedua-dua pemilih. Ia wujud dalam kernel dan keluaran iproute2 semasa, dan pada sistem yang lebih lama peraturan itu ditolak terus, yang merupakan kegagalan lebih jelas daripada peraturan yang dimuatkan dan tidak sepadan dengan apa-apa.

Peraturan unreachable pada keutamaan seterusnya ialah pengawal. Tanpanya, laluan yang tiada dalam jadual 51825 jatuh ke lalai biasa, dan mel keluar melalui pautan fizikal semasa gangguan terowong, iaitu kes yang dasar itu dibina untuk menghalang.

Alamat sumber mesti sepadan

Keutamaan src laluan hanya mengisi sumber untuk sambungan yang belum mengikat sumbernya sendiri. Ini bukan terjemahan, dan ia tidak mengatasi pengikatan eksplisit, jadi daemon yang terikat pada alamat fizikal terus menghantar dari alamat itu. Jika itulah yang anda temui, ubah tetapan daemon itu sendiri atau reka dasar terjemahan yang disengajakan, kerana masquerade menyeluruh yang lewat ialah penyelesaian lain dengan akibat lain.

Di gateway, peer klien mesti membenarkan sumber yang benar-benar diterimanya, iaitu 10.77.0.2/32 dan bukannya awalan destinasi yang luas. Menyalin 0.0.0.0/0 klien ke setiap peer gateway mengelirukan peer mana memiliki trafik mana. Gateway juga memerlukan penghantaran, dasar tembok api yang membenarkan aliran, dan laluan balik, termasuk terjemahan keluar apabila huluan tidak dapat menghalakan alamat terowong peribadi.

Semak laluan balik, kemudian ketekalan

Baca carian sebelum mempercayai apa-apa, kerana ia menunjukkan jadual dan sumber mana yang diperoleh setiap arah. Satu destinasi pada port 25 dan destinasi yang sama pada port 443 sudah cukup:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Carian pertama harus menyebut wg0 dan sumber yang dimaksudkan, dan yang kedua harus mengekalkan pautan atas biasa. Apabila aplikasi mengikat alamatnya sendiri, tambah from dengan alamat itu pada carian. Arah balasan yang sampai ke wg0 dan kemudian digugurkan secara setempat menunjuk kepada penapisan laluan songsang IPv4, kerana peraturan hanya untuk port keluar tidak membuat carian songsang memilih terowong.

Di tempat penghalaan asimetri dibenarkan, mod longgar terhad antara muka melalui net.ipv4.conf.wg0.rp_filter=2 mungkin sesuai, dan wajar menyemak dahulu maksimum berkesan nilai all dan antara muka. Jangan matikan pengesahan secara global sebagai jalan pintas. Kemudian serahkan jadual, keutamaan dan pengawal kepada pemilik konfigurasi, dan buka sambungan baharu selepas menyambung semula untuk mengesahkan pemilihan masih kekal. Ingat bahawa balasan daripada pendengar SMTP setempat membawa port sumber 25 dan bukan port destinasi 25, yang merupakan soalan dasar berasingan.