Kif tagħti lil LAN tat-test wieħed iż-żjieda WireGuard tagħha stess

Tliet disinni jsolvu l-istess problema tal-laboratorju: LAN żgħir irid joħroġ permezz ta' sieħeb WireGuard filwaqt li l-gateway innifsu jżomm il-konnessjoni normali tiegħu il fuq. Il-qasira li tħajjar hija li ċċaqlaq ir-rotta default tar-router ġewwa t-tunnel, iżda dan ikisser il-passaġġ tal-ġestjoni tal-kaxxa nnifisha u kull ma tgħaddi il quddiem. L-għażla interessanti hija routing ibbażat fuq il-politika limitat għal interface waħda u prefiss wieħed. Agħżel bejniethom billi twieġeb tliet mistoqsijiet dwar il-magna li tassew għandek.

Iddeċiedi fejn jgħix il-ħruġ

L-ewwel mistoqsija: dan il-host jgħaddi il quddiem għal xi ħaġa oħra? Gateway tal-laboratorju iddedikat jista' jgħix bi politika ta' trażmissjoni li tirrifjuta kollox bħala default. Router b'dmirijiet ta' produzzjoni ma jistax, u li tpoġġi sett ta' regoli konkurenti fuq firewall amministrat hija eżattament il-mod kif jiġu skedati l-waqfiet. It-tieni: tista' tippossjedi żewġ oġġetti ta' politika u l-ordni tagħhom tul reboots? It-tielet: is-sieħeb li għandek jawtorizza l-indirizz tas-sors tat-tunnel tiegħek u joffri ħruġ lejn l-internet? Sieħeb li jesponi biss netwerk privat huwa prodott ieħor, u l-ebda bidla lokali fir-routing ma ssewwi dan. Jekk xi tweġiba hija le, poġġi l-ħruġ fi spazju tal-ismijiet jew f'magna virtwali li tintuża darba.

Spazju tal-ismijiet jew VM jiswa memorja u jagħtik raġġ ta' splużjoni nadif. Routing ibbażat fuq il-politika jiswa żewġ regoli u jħallilek kaxxa waħda biex tiddibuggja.

Agħżel il-ħruġ li jawtorizza s-sors tiegħek

Il-biċċa l-kbira tal-fallimenti f'dan il-laboratorju jiġru qabel ma teżisti regola waħda tal-firewall. L-operatur tal-ħruġ irid jaċċetta l-indirizz tas-sors li jġorru l-pakketti tiegħek wara t-traduzzjoni, u f'dan id-disinn dan huwa l-indirizz tat-tunnel u mhux il-prefiss tal-LAN. Huwa għalhekk li l-maskerament jappartjeni lid-disinn mill-bidu u mhux bħala żjieda tardiva.

Ikkonferma tliet affarijiet mal-operatur: is-sieħeb jawtorizza l-indirizz tat-tunnel tiegħek, jgħaddi IPv4 il quddiem minflok ma jtemm fuqu nnifsu, u japplika NAT tal-ħruġ. Mingħajr l-ewwel, il-pakketti tiegħek jaslu u jisparixxu. Mingħajr it-tielet, joħorġu b'sors privat u jmutu fil-pass li jmiss. Imbagħad iċċekkja li wg-quick mhux qed jinstalla r-rotta default tiegħu stess, li Table = off jipprevjeni; dak is-setting irażżan il-ħolqien ta' rotot, mhux il-verifiki AllowedIPs tas-sieħeb jew it-trattament tiegħu tad-DNS.

Żewġ oġġetti ta' politika jagħmlu l-istering

L-istering jeħtieġ tabella u regola. It-tabella żżomm żewġ rotot: il-prefiss tal-LAN il barra mill-interface LAN u default il barra mit-tunnel. Ir-regola tibgħat it-traffiku li jasal fuq l-interface LAN u jġorr dak il-prefiss ġot-tabella. Uża s-selettur iif flimkien mat-tqabbil tas-sors, għax il-pakketti WireGuard tal-gateway innifsu joriġinaw lokalment u qatt ma jaqblu ma' interface li tidħol.

Il-gwardjan jiġi qabel it-tfittxija, mhux warajha. Dik l-ordni hija l-proprjetà tas-sigurtà kollha tad-disinn.

Il-gwardjan huwa t-tieni regola fuq l-istess selettur li l-verdett tagħha huwa unreachable. Agħtiha prijorità numerika ogħla biex it-tfittxija xorta tirbaħ waqt li t-tunnel huwa il fuq. Meta r-rotta tat-tunnel tisparixxi, it-tfittxija ma tirritornax xejn u l-gwardjan iwaqqaf it-tfittxija minflok ma jħalliha taqa' għall-default WAN fit-tabella prinċipali.

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

Agħlaq il-vojt tal-irtirar qabel ma tiftaħu

Installa l-gwardjan l-ewwel u t-tfittxija wara. Li tagħmel bil-maqlub iħalli tieqa ta' sekondi li fiha t-traffiku ta' klijent tat-test jista' jasal għall-konnessjoni il fuq.

Il-filter jikkompleta l-istampa. Fil-hook forward aċċetta d-direzzjoni mil-LAN għat-tunnel għall-prefiss tat-test u d-direzzjoni tar-ritorn stabbilita, imbagħad warrab kollox ieħor; in-NAT għal dak il-prefiss fuq l-interface tat-tunnel imur f'postrouting. Li tħalli policy drop fuq il-katina tal-forward huwa dak li jibdel rotta neqsin f'silenzju minflok f'tnixxija. Il-filtraġġ tal-passaġġ invers jeħtieġ mod laxk fuq l-interface tat-tunnel, għax sors pubbliku li jasal dekapsulat għandu l-aħjar rotta inversa tiegħu fuq in-naħa WAN. Linux jieħu l-ogħla mill-valuri all u dak għal kull interface, għalhekk li tistabbilixxi l-interface tat-tunnel mhuwiex l-istess bħall li ddgħajjef il-validazzjoni kullimkien.

Ipprovah bil-każ tal-falliment

Staqsi lill-kernel mistoqsija preċiża billi ssemmi l-indirizz tas-sors tal-klijent u l-interface li biha jasal. Tfittxija mingħajr it-tnejn twieġeb mistoqsija oħra u tidher korretta fiż-żewġ każijiet. Imbagħad ħares lejn il-kontaturi tal-firewall, l-istat tat-trasferiment tas-sieħeb u s-servizz tal-klijent innifsu.

Ittestja t-tneħħija kif suppost. Waqqaf it-tunnel waqt li tħalli r-regola u l-filter f'posthom: il-klijent għandu jieqaf u t-traffiku tal-gateway innifsu għandu jkompli jaħdem. Imbagħad waqqaf is-sieħeb mingħajr ma tmiss l-interface lokali, u dan huwa l-każ li jaqbad disinġijiet li jiddependu biss fuq il-preżenza tar-rotta. Fl-aħħar erġa' ibda u erġa' ċċekkja l-ordni tar-regoli, għax hook ta' żarmar li jneħħi l-gwardjan jgħaddi d-disinn kollu lura lit-tabella prinċipali. Innota n-numru tat-tabella, il-prijoritajiet u l-ismijiet tal-interface fuq it-ticket tal-bidla, għax il-persuna li jmiss li żżid regola hija dik li se tkisser dan.