Spazji tal-ismijiet tan-netwerk Linux għal VPN: x’ma jiżolawx

Ibda l-VPN fi ħdan l-ispazju tal-ismijiet tiegħu stess, ħaddem applikazzjoni waħda hemmhekk, u t-traffiku xorta joħroġ mir-rotta tal-host. Xejn mhu miksur: l-ispazju tal-ismijiet jirregola biss il-proċessi li jidħlu fih, u t-tnixxija ġiet minn wieħed li qatt ma daħal. Interfaces, indirizzi, rotot, regoli tal-firewall u sockets huma dak li jippossjedi l-ispazju tal-ismijiet. Fajls, kontijiet u servizzi li diġà qed jaħdmu mhumiex, u minn hawn jiġu l-biċċa l-kbira tas-sorpriżi.

X’jippossjedi l-ispazju tal-ismijiet, u fejn jitwieled is-socket

Mexxi interface fi spazju tal-ismijiet u l-host jitlifha; ibni tunnel ġewwa u l-host ma jistax jarah. Dan hu l-mekkaniżmu ta’ VPN limitat għal spazju tal-ismijiet: it-tagħmir u r-rotot li jindikaw lejh jgħixu f’kuntest li jistgħu jilħqu biss il-proċessi magħżula. Il-host iżomm ir-rotta default tiegħu, għalhekk kollox barra jibqa’ mhux mittiefes.

Għal WireGuard il-kuntest tal-ħolqien huwa importanti daqs il-post attwali: is-socket UDP jiġi marbut fl-ispazju tal-ismijiet fejn inħoloq l-interface, anki wara li t-tagħmir jitmexxa x’imkien ieħor. Liema tabella tar-rotot isegwu l-pakketti ċifrati jiddependi minn dak il-post tat-twelid. Meta s-socket jibqa’ f’kuntest mingħajr rotta lejn il-pari, l-interface tfittex u l-ħsieb tal-id qatt ma joħroġ. Iċċekkja l-post tat-twelid tiegħu, imbagħad il-post attwali.

X’ma jiżolax spazju tal-ismijiet

Xejn hawn ma jifred sistemi tal-fajls, kontijiet jew sigrieti, u l-ebda waħda minn dawk il-fruntieri ma tidher għax ħloqt spazju tal-ismijiet. Il-konfigurazzjoni tar-resolver hija fajl, għalhekk proċess ġewwa xorta jista’ jaqra setting li tindika r-resolver tal-host u jibgħat il-mistoqsija tiegħu barra mir-rotta li dan jimplika. Applikazzjoni li tgħaddi t-talba lil intermedjarju jew servizz tas-sistema li diġà qed jaħdem tinvolvi proċess f’kuntest kompletament differenti. It-tnejn huma talbiet li l-fruntiera qatt ma kienet maħsuba biex twieġeb.

Is-soluzzjoni hija fajl għal kull spazju tal-ismijiet f’/etc/netns/<name>/resolv.conf, jew bind mount ta’ fajl ippreparat, indirizzat lejn resolver li jintlaħaq minn ġewwa. L-editjar ta’ /etc/resolv.conf fuq il-host ma jbiddel xejn minn dak li jara l-ispazju tal-ismijiet.

It-tqegħid tal-proċessi huwa l-kontroll

L-iżolament li tikseb huwa eżattament l-iżolament tal-proċessi li tibda ġewwa. Shell li jinbeda permezz tal-assistent exec tal-ispazju tal-ismijiet, u kull ma joħloq, jibqa’ ġewwa; applikazzjoni tad-desktop li titnieda mis-sessjoni tal-host le. Oħloq il-kuntest, mexxi t-tagħmir, imbagħad ipprova ż-żewġ naħat:

ip netns add vpn1
ip link set wg0 netns vpn1
ip netns exec vpn1 wg show
wg show

Aqra l-ewwel wg show minn ġewwa l-ispazju tal-ismijiet u t-tieni mill-host, u stenna li wieħed biss minnhom jelenka l-pari. Jekk it-tnejn jagħmlu hekk, it-tagħmir qatt ma ċċaqlaq; jekk ħadd ma jagħmel hekk, mar x’imkien ieħor. Meta l-lancer huwa maniġer tas-servizzi, il-fajl tal-unit huwa dak li għandu jiġi editjat, mhux is-shortcut tad-desktop. Unit mingħajr is-setting tal-ispazju tal-ismijiet jibda d-daemon fil-kuntest tal-host u jħassar id-disinn bil-kwiet.

Ittestja mill-kuntest tal-applikazzjoni

Ħaddem il-verifika bl-istess binariu u bl-istess utent li tuża l-applikazzjoni, fi ħdan l-ispazju tal-ismijiet. Inkludi DNS u ż-żewġ familji tal-indirizzi, għax rotta IPv6 li qatt ma ħsibt fiha hija ħruġ komuni. Test mill-shell tiegħek stess jipprova biss li s-shell tiegħek hija iżolata.

Imbagħad ħaddem l-istess verifika fuq il-host u ikkonferma li t-tweġibiet huma differenti: indirizz tat-tunnel u l-ħruġ maħsub ġewwa, rotta tal-host u l-ħruġ tal-uffiċċju barra, u r-resolver bl-isem. Semmi l-ispazji tal-ismijiet skont il-varar u mhux il-protokoll, biex skript tat-tindif ma jħalltix tnejn minnhom.

Trażmissjoni, politika tal-falliment u tindif

Għal gateway, ixgħel it-trażmissjoni b’mod deliberat u iddeċiedi x’għandu jiġri meta t-tunnel jaqa’. Spazju tal-ismijiet ma jimblokkax ir-rotot li tinstalla ġo fih, għalhekk rotta ta’ riżerva lejn il-host tintuża jekk toħloq waħda. Din hija deċiżjoni ta’ politika, u għandha tinkiteb qabel ma waqfa tittestjaha.

Irreġistra l-ismijiet tal-ispazji tal-ismijiet, l-interfaces u min jippossjedi l-konfigurazzjoni, biex it-tindif ineħħi biss dak li ħoloq il-varar. Issettjar mill-ġdid tan-netwerk tal-host waqt rollback ibiddel it-tindif f’waqfa. Il-paġna network_namespaces(7) hija qasira u tiswa li tinqara qabel ma tiddisinja dik it-triq.