Ittrija biss il-port 25 fil-mina, mhux il-host

Erba’ affarijiet iridu jaqblu qabel host Linux jibgħat biss l-SMTP tiegħu stess mill-mina: rotta f’tabella dedikata, regola ta’ politika li tagħżel it-traffiku, indirizz tas-sors li l-peer se jaċċetta, u mogħdija lura li ssostni l-asimetrija. Kull waħda hija konfigurazzjoni separata bil-mod ta’ falliment tagħha. L-ordni hawn taħt hija dik li tagħmel falliment jipponta lejn il-biċċa li tassew hija ħażina. Huwa xogħol ta’ routing speċifiku għall-port, mhux talba għal rotta default tal-VPN.

Regola tal-port mhix rotta default

Regola li tqabbel TCP iġġenerat lokalment mal-port tad-destinazzjoni 25 tibgħat dak it-traffiku lejn tabella li inti ssemmi. Ir-regola ma toħloq xejn waħedha: tagħżel, u t-tabella trid iżżomm rotta li tista’ ġġorr il-pakkett. Iż-żewġ flimkien ikopru biss id-direzzjoni tal-ħruġ ta’ protokoll wieħed, għalhekk il-forwarding għal hosts oħra, il-konnessjonijiet tal-posta deħlin u IPv6 jibqgħu barra minn dan il-ftehim. Li tissejjaħ politika speċifika għall-port minflok VPN default iżżomm dak il-konfini onest.

Żewġ settings ta’ wg-quick huma prerekwiżiti, mhux parti mill-politika. AllowedIPs = 0.0.0.0/0 tħalli lill-peer iġorr destinazzjonijiet IPv4 arbitrarji, u Table = off tipprevjeni lil wg-quick milli jinstalla r-rotta default tiegħu stess għal dak il-prefiss. Tmexxix dawn l-istruzzjonijiet ma’ manager li japplika l-politika tal-mogħdijiet tiegħu stess, għax it-tnejn ma jaqblux min għandu t-tabella prinċipali.

Ikteb il-mogħdija, is-selettur u l-gwardjan

Agħżel numru tat-tabella u par ta’ prijoritajiet li xejn ieħor ma jużahom, imbagħad applika l-mogħdija, is-selettur u l-gwardjan f’dak l-ordni. In-numri hawn taħt huma eżempji, mhux valuri riservati:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo tillimita r-regola għat-traffiku li joriġina lokalment, u ipproto tcp dport 25 tidentifika d-direzzjoni tal-konnessjoni; ir-referenza ta’ ip-rule tiddokumenta ż-żewġ seletturi. Jeżistu fil-kernels u fil-verżjonijiet ta’ iproute2 attwali, u fuq sistema eqdem ir-regola tiġi miċħuda għal kollox, li huwa falliment aktar ċar minn regola li tgħabbi u ma taqbel ma’ xejn.

Ir-regola unreachable fil-prijorità li jmiss hija l-gwardjan. Mingħajrha, rotta nieqsa fit-tabella 51825 taqa’ fil-default ordinarju, u l-posta toħroġ mill-ħolqa fiżika waqt interruzzjoni tal-mina, li huwa eżattament il-każ li l-politika nbniet biex tipprevjeni.

L-indirizz tas-sors irid jaqbel

Il-preferenza src tal-mogħdija timla biss sors għall-konnessjonijiet li ma marbutx wieħed tagħhom. Din mhix traduzzjoni, u ma tissovraskrivix marbuta espliċita, għalhekk daemon marbut mal-indirizz fiżiku jibqa’ jibgħat minn dak l-indirizz. Jekk dan huwa dak li ssib, ibdel is-setting tad-daemon innifsu jew iddisinja politika ta’ traduzzjoni deliberata, għax masquerade globali tardiva hija soluzzjoni oħra b’konsegwenzi oħra.

Fil-gateway, il-peer tal-klijent irid jawtorizza s-sors li fil-fatt jirċievi, jiġifieri 10.77.0.2/32 minflok prefiss tad-destinazzjoni wiesa’. Li tikkopja l-0.0.0.0/0 tal-klijent f’kull peer tal-gateway jħawwad liema peer għandu liema traffiku. Il-gateway ukoll jeħtieġ forwarding, politika tal-firewall li tippermetti l-fluss, u mogħdija lura, inkluża traduzzjoni tal-ħruġ meta l-upstream ma jistax jittrijja indirizz privat tal-mina.

Iċċekkja l-mogħdija lura, imbagħad il-persistenza

Aqra t-tfittxijiet qabel ma tafda f’xejn, għax juru liema tabella u liema sors jieħu kull direzzjoni. Destinazzjoni waħda fuq il-port 25 u l-istess destinazzjoni fuq il-port 443 huma biżżejjed:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

L-ewwel tfittxija għandha ssemmi wg0 u s-sors maħsub, u t-tieni għandha żżomm il-ħolqa ta’ fuq ordinarja. Meta l-applikazzjoni torbot l-indirizz tagħha stess, żid from b’dak l-indirizz mat-tfittxija. Direzzjoni ta’ tweġiba li tasal għal wg0 u mbagħad tiġi skartata lokalment tindika filtri tal-mogħdija inversa IPv4, għax regola biss għall-port tal-ħruġ ma tagħmilx it-tfittxija inversa tagħżel il-mina.

Fejn ir-routing asimetriku huwa awtorizzat, mod lax limitat għall-interface permezz ta’ net.ipv4.conf.wg0.rp_filter=2 jista’ jkun xieraq, u jiswa li l-ewwel tiċċekkja l-massimu effettiv tal-valuri all u tal-interface. Tiddiżattivax il-validazzjoni globalment bħala shortcut. Imbagħad għaddi t-tabella, il-prijoritajiet u l-gwardjan lil min għandu l-konfigurazzjoni, u iftaħ konnessjonijiet ġodda wara rikonnessjoni biex tikkonferma li l-għażla għadha tmiss. Żomm f’moħħok li tweġibiet minn semmiegħ SMTP lokali jġorru l-port tas-sors 25 u mhux il-port tad-destinazzjoni 25, li hija kwistjoni ta’ politika separata.