Gruppi ta' pari WireGuard fl-istazzjon: sjieda tas-sors u politika

Stazzjon li jħaddem WireGuard jista' jżomm il-gruppi ta' pari separati mingħajr interface jew tabella tar-rotot separata għal kull grupp. Żewġ mekkaniżmi jagħmlu x-xogħol, u l-ħawwad bejniethom huwa r-raġuni tas-soltu li politika tidher korretta u ma tagħmel xejn. Safa waħda tiddeċiedi min jista' jitlob indirizz tas-sors. L-oħra tiddeċiedi fejn dak il-pakkett jista' jmur.

Żewġ xogħlijiet, miżmuma separati

Is-safa tat-tunnel twieġeb mistoqsija dejqa: il-muftieħ ta' dan il-pari awtorizza dan l-indirizz tas-sors intern. Is-safa tat-trażmissjoni twieġeb waħda usa': dan il-pakkett jista' joħroġ lejn dik id-destinazzjoni. L-ebda waħda ma twieġeb il-mistoqsija tal-oħra, u l-ebda waħda waħedha mhija politika ta' aċċess sħiħa.

Dan il-qsim huwa r-raġuni għalfejn pari jista' jkun awtentikat, indirizzat b'mod korrett u xorta ma jkunx jista' jilħaq host li m'għandux jilħaq. Jispjega wkoll il-kuntrarju: regola ta' firewall li tippermetti kollox ma tipprova xejn dwar min jista' jitlob liema indirizz.

Iddisinja ż-żewġ safi flimkien, imbagħad ittestja t-tnejn. Konfigurazzjoni li hija korretta f'safa waħda u mhux ittestjata fl-oħra tfalli miftuħa jew magħluqa skont il-valur predefinit.

Agħti lil kull pari biss l-indirizz tiegħu stess

Pari b'ħafna hosts iġegħluk tagħti l-firxa kollha tal-grupp fuq in-naħa tas-server. Dik il-permess hija talba għal indirizz tas-sors, allura klijent kompromess jew ikkonfigurat ħażin jista' jippreżenta kwalunkwe indirizz fil-firxa u t-tunnel jaċċettah. Assenja /32 għal kull pari għall-indirizz intern tiegħu stess. Issettja l-firxiet tal-grupp biss fuq il-klijenti, fejn dawn jiddeskrivu liema destinazzjonijiet dak il-klijent jista' jilħaq u mhux liema sorsi jista' juża.

Imbagħad il-firewall iqabbel sors li jista' jafdah. Regola miktuba għall-firxa tal-grupp tibqa' ġabra utli, u ssir sinifikanti biss meta ebda pari wieħed ma jista' jitlob indirizz li jappartjeni lil membru ieħor.

Ikteb il-politika tat-trażmissjoni li tifred il-gruppi

It-traffiku interessanti hawn jidħol u joħroġ mill-istess interface tat-tunnel, għalhekk jaqsam il-passaġġ tat-trażmissjoni u mhux il-passaġġ tal-input tal-host. Ir-regoli jappartjenu għall-katina tat-trażmissjoni eżistenti ta' kwalunkwe maniġer tal-firewall li jippossjedi l-host, u huma frammenti, mhux sett sħiħ ta' regoli.

iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept
iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept
iifname "wg0" oifname "wg0" drop

L-ewwel żewġ regoli jippermettu traffiku fi ħdan kull grupp. L-aħħar waħda timblokka kollox ieħor li jaqsam dak l-interface, u dan huwa li jipproduċi l-iżolament bejn il-gruppi. Żid regoli espliċiti għall-familja l-oħra tal-indirizzi jekk għandek bżonnhom, għax drop miktub għal IPv4 ma jawtorizzax u ma jiddeskrivix l-imġiba tal-IPv6.

L-ordni tiddeċiedi jekk il-politika tapplikax

L-ordni tar-regoli timporta aktar mill-framment innifsu. Regola ġenerika li taċċetta konnessjonijiet stabbiliti u mqiegħda qabel dawn l-entrati tħalli fluss antik bejn il-gruppi jkompli, allura l-iżolament japplika biss għal konnessjonijiet ġodda. Iddeċiedi liema minn dawn iż-żewġ riżultati trid qabel ma terġa' tgħabbi.

Verdett ta' aċċettazzjoni lanqas mhu dejjem finali bejn ktajjen fuq l-istess hook. Jekk katina bażi oħra taħdem aktar tard, il-politika effettiva hija l-kombinazzjoni, allura spezzjona l-counts u mhux il-fajl li editjajt. Il-counts huma l-irħas prova disponibbli. Regola mingħajr għadd ta' pakketti ma taqbilx, u regola li taqbel waqt li katina aktar tard taċċetta tgħidlek li d-drop f'post żbaljat.

Ittestja l-matriċi, mhux in-numru ta' fajls

Ibni matriċi żgħira ta' riżultati mistennija u ċċekkja kull ċellula. Grupp A għal grupp A għandu jaħdem, grupp B għal grupp B għandu jaħdem, u A għal B m'għandux, fiż-żewġ direzzjonijiet u għaż-żewġ familji tal-indirizzi jekk tappoġġjahom.

nft list ruleset
wg show wg0 allowed-ips
ping -c 2 10.66.10.5
conntrack -L -s 10.66.20.7 2>/dev/null | head

L-ewwel tnejn juru x'inhu kkonfigurat. Il-ping minn membru tal-grupp żbaljat juri x'jiġri fil-fatt. Il-lista tal-conntrack turi jekk fluss eqdem għadux aċċettat, u hekk bidla fl-iżolament tonqos milli tidħol fis-seħħ bil-kwiet.

Is-servizzi tal-host fuq l-istazzjon u l-aċċess għal LAN warajh huma passaġġi separati b'politika separata. Irreġistra liema minnhom tkopri l-matriċi, għax test li jiċċekkja biss traffiku pari-għal-pari ma jgħid xejn dwar ebda waħda minnhom.