Sett nftables mitmugħ bid-DNS lejn WireGuard: kif taħdem il-konsenja

L-ismijiet jiġu riżolti f'indirizzi, u dawk l-indirizzi jistgħu jispiċċaw f'sett tal-ħajt tan-nar li wara jinfluwenza r-rotot, u dan jagħmel id-direzzjoni bbażata fuq l-isem possibbli mingħajr proxy. Il-qabda hija li erba' komponenti jridu jikkonsenjaw sew: ir-riżolutur, is-sett, il-klassifikatur li jimmarka fluss ġdid u l-pari li jġorrha. Kull konsenja tfalli b'mod differenti u kull waħda żżomm il-ħin tagħha.

Qis id-disinn bħala katina, mhux konfigurazzjoni. Il-mistoqsija f'kull pass hija liema komponent jippossjedi d-deċiżjoni u x'jiġri meta l-input tiegħu jkun nieqes.

X'tista' u x'ma tistax tagħmel it-tweġiba DNS

dnsmasq jista' jikkopja indirizzi mit-tweġibiet f'sett nftables, li hija tmigħ u mhux deċiżjoni ta' rotot. Dik l-għażla, dokumentata fil-manwal ta' dnsmasq, issemmi l-familja, it-tabella u s-sett, u l-4# tal-bidu tagħha tagħżel biss rekords A, għalhekk id-destinazzjonijiet v6 jeħtieġu arranġament tagħhom. Is-sett irid diġà jeżisti, għax ir-riżolutur iżid elementi ma' xi ħaġa li ħoloq is-sid tal-ħajt tan-nar. Xejn f'dak il-pass ma jagħżel interface, tabella jew pari.

Il-klijent irid ukoll juża dak ir-riżolutur għall-isem. Applikazzjoni bid-DNS encryptat tagħha, jew tweġiba fil-cache minn qabel ma kienet teżisti l-politika, tikkonnettja mingħajr ma toħloq ebda entrata fis-sett.

Is-sett huwa input, mhux rotta

Element f'sett huwa kundizzjoni ta' tqabbil. Xi ħaġa trid tħares lejh, tiddeċiedi li dan il-pakkett jibda fluss ġdid, u tapplika l-politika li tibgħat il-fluss mit-tunnel. Fuq Linux dan normalment ifisser mogħdija ta' ħruġ kapaċi tirrotta li tista' tpoġġi marka, regola li tibgħat pakketti mmarkati lejn tabella dedikata, u rotta f'dik it-tabella lejn l-apparat WireGuard. Is-sħubija waħedha ma tinstalla xejn minn dan.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

Il-pari japplika t-tieni verifika tal-kopertura li n-nies jinsiewha. WireGuard jencifra pakkett biss għal pari li l-indirizzi permessi tiegħu jinkludu d-destinazzjoni, għalhekk rotta tal-politika fl-interface mhijiex biżżejjed meta l-lista tal-pari teskludi dak il-prefiss. Żomm il-lista taħt il-kontroll tas-sid tar-rotot minflok ma tiddependi fuq liema ħolqien ta' rotot jagħmel il-maniġer.

Marki, tabelli u kopertura tal-pari

Il-marki huma spazju tal-ismijiet maqsum, għalhekk kemm il-valur kif ukoll il-maskra jridu jiġu miftiehma ma' kull ħaġa oħra li tużahom. Regola li tibgħat traffiku mmarkat lejn tabella dedikata teħtieġ riżultat definit meta dik it-tabella ma jkollhiex rotta li taqbel, għax tfittxija bla tweġiba tista' tkompli għar-regola li jmiss u tibgħat il-pakkett 'il barra mill-interface fiżika. Rotta default blackhole ġewwa t-tabella dedikata tbiddel dik il-ħarba siekta fi tluq viżibbli. Dak li d-disinn għadu ma jistax jagħmel huwa li jagħlaq fi ħsara għal destinazzjoni li qatt ma daħlet fis-sett.

Il-pakketti ta' barra tat-tunnel stess iridu jaħarbu mill-klassifikatur. L-għodod ta' WireGuard jipprovdu marka ta' socket proprju għal dan, u l-użu tagħha jżomm l-enkapsulament milli jiġi rrotat lura fl-interface li qed jibni.

Ittestja kull tul tal-ħajja separatament

Tliet maħżen jixjieħu skont tliet skedi: il-cache tar-riżolutur, l-elementi tas-sett u l-konnessjoni mtraċċata. Ittestjahom f'dak l-ordni u ara jekk kull wieħed jimxix meta għandu. Il-kmandi hawn taħt jaqraw ir-riżolutur, is-sett, it-tabella tal-konnessjonijiet u r-regoli tal-politika mingħajr ma jbiddlu xejn.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

Tfittxija friska li żżid element turi li t-tmigħ jaħdem, filwaqt li element antik li jgħix aktar mit-tweġiba tiegħu huwa nuqqas ta' qbil fit-tul tal-ħajja li jistħoqqlu jiġi nnutat. Konnessjoni ġdida fit-tabella tal-konnessjonijiet bil-marka mistennija turi li l-klassifikatur ġera, u konnessjoni antika li żżomm il-marka oriġinali tagħha hija mġiba korretta, mhux difett. Il-lista tar-regoli twieġeb jekk it-tfittxija tal-politika teżistix, li hija mistoqsija differenti minn jekk taqbiltx. Aqra l-erba' output f'dak l-ordni u l-konsenja li tfalli tikxef lilha nfisha.

Fejn il-ħtieġa hija li isem partikolari dejjem juża mogħdija waħda, sett mitmugħ bid-DNS ma jistax jippruvah, għax indirizzi maqsuma jġorru wkoll ismijiet oħra. Proxy jew mekkaniżmu fil-livell tal-applikazzjoni huwa l-għodda għal dik il-garanzija.