یوازې پورټ 25 تونل ته واستوئ، نه هوسټ

څلور شیان باید سره سمون ولري مخکې لدې چې یو Linux هوسټ یوازې خپل SMTP د تونل له لارې واستوي: په ځانګړې جدول کې یوه لار، د پالیسۍ هغه قاعده چې ټرافیک ټاکي، د سرچینې هغه پته چې peer به یې ومني، او د بېرته راستنیدو هغه لار چې نابرابري زغمي۔ هر یو جلا کنفیګریشن دی چې خپل ناکامۍ حالت لري۔ لاندې ترتیب هغه دی چې ناکامي په رښتیا غلطې برخې ته اشاره کوي۔ دا د پورټ ځانګړې روټینګ کاري ده، نه د VPN د ډیفالټ لارې غوښتنه۔

د پورټ قاعده ډیفالټ لاره نه ده

هغه قاعده چې په سیمه ایزه توګه جوړ شوی TCP د مقصد پورټ 25 سره سمون خوري، هغه ټرافیک هغې جدول ته لیږي چې تاسو یې نوموئ۔ قاعده پخپله هېڅ نه جوړوي: دا ټاکي، او جدول باید هغه لاره ولري چې کولای شي کڅوړه وړي۔ د دواړو یوځای کول یوازې د یو پروتوکول بهر تلونکی لوری پوښي، نو د نورو هوسټونو لپاره فوروېرډینګ، راتلونکي میل اړیکې او IPv6 د دې ترتیب څخه بهر پاتې کیږي۔ دې ته د VPN ډیفالټ پرځای د پورټ ځانګړې پالیسي ویل دا پوله صادق ساتي۔

د wg-quick دوه تنظیمات مخکې شرطونه دي، نه د پالیسۍ برخه۔ AllowedIPs = 0.0.0.0/0 peer ته اجازه ورکوي چې خپل سری مقصدونه IPv4 ووړي، او Table = off wg-quick ته اجازه نه ورکوي چې د هغې مخکښې لپاره خپله ډیفالټ لاره نصب کړي۔ دا لارښوونې د هغه مدیر سره مه ګډوئ چې خپله د لارو پالیسي پلي کوي، ځکه دواړه به په دې نه یوځای شي چې اصلي جدول د چا دی۔

لاره، ټاکونکی او ساتونکی ولیکئ

داسې جدول شمیره او د لومړیتوبونو جوړه وټاکئ چې بل څه یې نه کاروي، بیا په همدې ترتیب لاره، ټاکونکی او ساتونکی پلي کړئ۔ لاندې شمیرې بېلګې دي، نه ساتل شوي ارزښتونه:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo قاعده سیمه ایزې سرچینې ټرافیک ته محدوده کوي، او ipproto tcp dport 25 د اړیکې لوری پیژني؛ د ip-rule حواله دواړه ټاکونکي مستند کوي۔ دوی په اوسنیو کرنلونو او iproute2 خپرونو کې شته، او په زاړه سیستم کې قاعده په بشپړه توګه رد کیږي، چې له هغې قاعدې څخه روښانه ناکامي ده چې پورته کیږي او له هېڅ سره نه سمون خوري۔

په راتلونکي لومړیتوب کې unreachable قاعده ساتونکی ده۔ پرته له دې، په جدول 51825 کې نیمګړې لاره عادي ډیفالټ ته راځوړندېږي، او د تونل د قطعېدو پر مهال میل فزیکي لینک ته ورځي، کوم چې هماغه حالت دی چې پالیسي د هغه د مخنیوي لپاره جوړه شوې وه۔

د سرچینې پته باید سمون ولري

د لارې src غوراوي یوازې هغو اړیکو ته سرچینه ډکوي چې خپله سرچینه نه وي تړلې۔ دا ژباړه نه ده، او صریح تړل نه ردوي، نو فزیکي پتې ته تړل شوی ډیمون له هماغې پتې لیږي۔ که دقیقاً همدا ومومئ، د ډیمون خپل تنظیم بدل کړئ یا په قصد سره د ژباړې پالیسي جوړه کړئ، ځکه ناوخته پراخه masquerade بله پایله لرونکې بله حل لاره ده۔

په ګیټ وې کې، د پیرودونکي peer باید هغه سرچینه اجازه ورکړي چې هغه واقعاً ترلاسه کوي، یعنې پراخه مقصد مخکښې نه، بلکې 10.77.0.2/32۔ د پیرودونکي 0.0.0.0/0 په هر ګیټ وې peer کې کاپي کول ګډوډوي چې کوم peer کوم ټرافیک لري۔ ګیټ وې ته فوروېرډینګ، هغه فایر وال پالیسي چې بهیر ته اجازه ورکوي، او د بېرته راستنیدو لاره هم اړینه ده، په شمول د وتلو ژباړه کله چې پورتنۍ برخه نشي کولای شخصي تونل پته روټ کړي۔

د بېرته لاره وګورئ، بیا دوام

مخکې لدې چې په هر څه باور وکړئ لټونونه ولولئ، ځکه دوی ښیي چې هر لوری کومه جدول او کومه سرچینه اخلي۔ یو مقصد په پورټ 25 او هماغه مقصد په پورټ 443 بس دي:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

لومړی لټون باید wg0 او پلان شوې سرچینه ونوموي، او دویم باید عادي پورتنۍ اړیکه وساتي۔ کله چې اپلیکیشن خپله پته وتړي، په لټون کې له هغې پتې سره from ورزیات کړئ۔ هغه ځواب لوری چې wg0 ته رسیږي او بیا سیمه ایزه توګه غورځول کیږي، IPv4 د بېرته لارې فلټر ته اشاره کوي، ځکه یوازې د وتلو پورټ قاعده بېرته لټون نه مجبوروي چې تونل وټاکي۔

چیرې چې نابرابر روټینګ اجازه لري، د net.ipv4.conf.wg0.rp_filter=2 له لارې د انټرفیس محدود سست حالت مناسب کیدای شي، او ارزښت لري چې لومړی د all او انټرفیس ارزښتونو اغیزمن اعظمي حد وګورئ۔ د لنډې لارې په توګه اعتبار په نړیواله توګه مه بندوئ۔ بیا جدول، لومړیتوبونه او ساتونکی هغه چا ته وسپارئ چې کنفیګریشن لري، او له بیاځلي نښلېدو وروسته نوي اړیکې پرانیزئ ترڅو تایید کړئ چې ټاکنه لا هم ټینګه ده۔ په یاد ولرئ چې د سیمه ایز SMTP اورېدونکي ځوابونه د سرچینې پورټ 25 وړي، نه د مقصد پورټ 25، کوم چې جلا پالیسي پوښتنه ده۔