څنګه یوې ازموینه LAN ته خپله WireGuard وتلې ورکړو

درې ډیزاینونه ورته لابراتواري ستونزه حل کوي: یوه کوچنۍ LAN باید د WireGuard ملګري له لارې ووځي، پداسې حال کې چې ګیټوې خپله خپله عادي پورتنۍ اړیکه ساتي. زړه راښکونکې لنډه لار دا ده چې د رټر ډیفالټ لار د تونل دننه کړو، خو دا د بکس خپله مدیریتي لاره او هر هغه څه چې تیروي یې ماتوي. په زړه پورې انتخاب د پالیسۍ پر بنسټ روتینګ دی چې یوې انټرفیس او یوه مخکښې ته محدود وي. د هغه ماشین په اړه چې واقعاً یې لرئ درې پوښتنو ته ځواب ورکړئ او ترمنځ یې وټاکئ.

پرېکړه وکړئ چې وتلې چېرته اوسیږي

لومړۍ پوښتنه: ایا دا کوربه د بل څه لپاره هم تیروي؟ یو ځانګړی لابراتواري ګیټوې کولی شي د داسې فوروارډنګ پالیسۍ سره ژوند وکړي چې په ډیفالټ توګه هر څه ردوي. د تولیدي دندو لرونکی رټر نشي کولی، او د مدیریت شوي فایر وال پر سر د سیالو قواعدو ټولګه ایښودل هماغه هغه لاره ده چې وقفې پرې پلان کیږي. دوهمه: ایا تاسو کولی شئ دوه پالیسي توکي او د هغوی ترتیب د بیا پیلونو په اوږدو کې وساتئ؟ دریمه: ایا ستاسو ملګری ستاسو د تونل سرچینې پته اجازه ورکوي او د انټرنیټ وتلې وړاندې کوي؟ هغه ملګری چې یوازې یوه شخصي شبکه ښکاره کوي بل محصول دی، او هیڅ سیمه ییز روتینګ بدلون هغه نه سمونځي. که هر ځواب نه وي، وتلې پرځای یې په نوم تشه کې یا په یو ځل کارېدونکي مجازي ماشین کې کېږدئ.

نوم تشه یا VM حافظه لګوي او تاسو ته پاکه چاودنې شعاع درکوي. د پالیسۍ پر بنسټ روتینګ دوه قاعدې لګوي او د نیمګړتیا موندنې لپاره یو بکس درته پریږدي.

هغه وتلې وټاکئ چې ستاسو سرچینه اجازه ورکوي

په دې لابراتوار کې ډیری ناکامۍ هغه وخت پېښیږي چې لا یوه فایر وال قاعده نه وي جوړه شوې. د وتلې چلونکی باید هغه سرچینې پته ومني چې ستاسو پاکټونه د ژباړې وروسته یې وړي، او په دې ډیزاین کې هغه د تونل پته ده نه د LAN مخکښه. له همدې کبله ماسکریډینګ له پیل څخه د ډیزاین برخه ده، نه وروستی اضافه.

له چلونکي سره درې شیان تایید کړئ: ملګری ستاسو د تونل پته اجازه ورکوي، هغه IPv4 تیروي نه دا چې په خپله پای ومومي، او هغه د وتلو NAT پلي کوي. پرته له لومړي ستاسو پاکټونه رسیږي او ورکیږي. پرته له دریمې هغه د شخصي سرچینې سره وځي او په بل ګام کې مري. بیا وګورئ چې wg-quick خپله ډیفالټ لار نه نصبوي، کومه چې Table = off مخه نیسي؛ هغه تنظیم د لارو جوړیدل فشاروي، نه د ملګري AllowedIPs ګرویږنې یا د هغه DNS سمبالښت.

دوه پالیسي توکي لارښونه کوي

لارښونې ته جدول او قاعده غواړي. جدول دوه لارې لري: د LAN مخکښه چې د LAN انټرفیس څخه وځي او یوه ډیفالټ چې د تونل څخه وځي. قاعده هغه ټرافیک چې د LAN انټرفیس ته رسیږي او هغه مخکښه وړي جدول ته لیږي. د سرچینې سره یوځای iif ټاکونکی وکاروئ، ځکه چې د ګیټوې خپل WireGuard پاکټونه په سیمه ییزه توګه پیدا کیږي او هیڅکله د راتلونکي انټرفیس سره نه ځای پرځای کیږي.

ساتونکی د پلټنې دمخه راځي، نه وروسته. هماغه ترتیب د ډیزاین ټوله امنیتي ځانګړتیا ده.

ساتونکی په هماغه ټاکونکي باندې دوهمه قاعده ده چې حکم یې unreachable دی. هغې ته لوړ عددي لومړیتوب ورکړئ چې پلټنه تر هغه وخته چې تونل پورته دی لا هم وګټي. کله چې د تونل لار ورکیږي، پلټنه هیڅ نه بېرته راوړي او ساتونکی پلټنه بندوي، پرځای یې چې اجازه ورکړي اصلي جدول کې WAN ډیفالټ ته ولوېږي.

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

د شاتګ خلا د خلاصولو دمخه بنده کړئ

لومړی ساتونکی او بیا پلټنه نصب کړئ. په برعکس کولو سره د څو ثانیو کړکۍ پاتې کیږي چې په هغې کې د ازموینې پیرودونکي ټرافیک پورتنۍ اړیکې ته رسیږي.

فیلټر انځور بشپړوي. د forward په چنګک کې د ازموینې مخکښې لپاره د LAN څخه تونل ته لوری او تاسیس شوی د راستنیدو لوری ومنئ، بیا پاتې هر څه وغورځوئ؛ د هغې مخکښې NAT د تونل انټرفیس ته د postrouting کې ځي. په فوروارډ زنځیر کې policy drop پرېښودل هماغه دی چې ورکه لار په توییدو پرځای په غلي کې بدلوي. د مخکښې لارې فیلټر کول د تونل انټرفیس کې نرم حالت غواړي، ځکه د کیپسول څخه ایستل شوي عامه سرچینې غوره برعکس لار د WAN اړخ کې وي. Linux د all او د هر انټرفیس ارزښتونو څخه لوړ اخلي، نو د تونل انټرفیس ټاکل د هر چیرې تصدیق کمزوري کولو سره یو څه نه دی.

دا د ناکامۍ قضیې سره ثابت کړئ

کرنل ته دقیقه پوښتنه وکړئ: د پیرودونکي سرچینې پته او هغه انټرفیس چې پرې راځي ونوموئ. پرته له دواړو پلټنه بلې پوښتنې ته ځواب وایي او په دواړو حالتونو کې سم ښکاري. بیا د فایر وال شمارونکو، د ملګري د لیږد حالت او د پیرودونکي خپلې خدمت ته وګورئ.

لرې کول سم وازموئ. قاعده او فیلټر په خپل ځای پرېږدئ او تونل بند کړئ: پیرودونکی باید ودریږي او د ګیټوې خپل ټرافیک باید کار ته دوام ورکړي. بیا سیمه ییز انټرفیس ته لاس نه وروړئ او ملګری بند کړئ، او هماغه قضیه ده چې یوازې د لارې شتون ته تکیه کوونکي ډیزاینونه نیسي. په پای کې بیا پیل کړئ او د قاعدو ترتیب بیا وګورئ، ځکه هغه ویجاړونکی چنګک چې ساتونکی لرې کوي ټول ډیزاین اصلي جدول ته بېرته ورکوي. د جدول شمیره، لومړیتوبونه او د انټرفیس نومونه د بدلون ټکټ کې ولیکئ، ځکه بله هغه څوک چې قاعده اضافه کوي هغه به دا مات کړي.