DNS මගින් පෝෂණය වන nftables කට්ටලය WireGuard දක්වා: මාරුව ක්‍රියා කරන ආකාරය

නම් ලිපින බවට විසඳේ, එම ලිපින පසුව මාර්ගගතකරණයට බලපාන ගිනිපවුරු කට්ටලයකට වැටිය හැක, එය ප්‍රොක්සියකින් තොරව නම මත පදනම් වූ ස්ටියරින් හැකි කරයි. උගුල නම් සංරචක හතරක් නිවැරදිව මාරු කළ යුතු වීමයි: විසඳනය, කට්ටලය, නව ප්‍රවාහයක් සලකුණු කරන වර්ගීකරණය, සහ එය ගෙන යන සහකරු. සෑම මාරුවක්ම වෙනස් ලෙස අසාර්ථක වන අතර සෑම එකක්ම තමන්ගේම වේලාව රඳවා ගනී.

නිර්මාණය වින්‍යාසයක් ලෙස නොව දාමයක් ලෙස සලකන්න. සෑම පියවරකදීම ප්‍රශ්නය වන්නේ කුමන සංරචකය තීරණය හිමිකරගනීද සහ එහි ආදානය නොමැති විට කුමක් සිදුවේද යන්නයි.

DNS පිළිතුරට කළ හැකි දේ සහ කළ නොහැකි දේ

dnsmasq පිළිතුරුවලින් ලිපින nftables කට්ටලයකට පිටපත් කළ හැක, එය පෝෂණයක් මිස මාර්ගගතකරණ තීරණයක් නොවේ. එම විකල්පය, dnsmasq අත්පොතෙහි ලේඛනගත කර ඇති අතර, පවුල, වගුව සහ කට්ටලය නම් කරයි, එහි ආරම්භක 4# A වාර්තා පමණක් තෝරයි, එබැවින් v6 ගමනාන්තවලට තමන්ගේම සැකැස්මක් අවශ්‍යය. කට්ටලය දැනටමත් පැවතිය යුතුය, මන්ද විසඳනය ගිනිපවුරු හිමිකරු සෑදූ දෙයකට අංග එකතු කරයි. එම පියවරේදී කිසිවක් අතුරුමුහුණතක්, වගුවක් හෝ සහකරුවක් තෝරන්නේ නැත.

සේවාදායකයා ද නාමය සඳහා එම විසඳනය භාවිත කළ යුතුය. තමන්ගේම සංකේතනය කළ DNS ඇති යෙදුමක්, හෝ ප්‍රතිපත්තිය පැවතීමට පෙර කෑෂ් කළ පිළිතුරක්, කට්ටලයේ කිසිදු සටහනක් නොසාදා සම්බන්ධ වේ.

කට්ටලය ආදානයකි, මාර්ගයක් නොවේ

කට්ටලයේ අංගයක් ගැළපීමේ කොන්දේසියකි. යමක් එය දෙස බලා, මෙම පැකට්ටුව නව ප්‍රවාහයක් ආරම්භ කරන බව තීරණය කර, ප්‍රවාහය උමඟ හරහා යවන ප්‍රතිපත්තිය යෙදිය යුතුය. Linux තුළ මෙය සාමාන්‍යයෙන් අදහස් වන්නේ සලකුණක් තැබිය හැකි මාර්ගගතකරණ හැකියාව ඇති පිටවීමේ මාර්ගයක්, සලකුණු කළ පැකට්ටු විශේෂිත වගුවකට යවන නියමයක්, සහ එම වගුවේ WireGuard උපාංගය දෙසට යොමු වන මාර්ගයක් ය. ඥාතිත්වය පමණක් ඉන් කිසිවක් ස්ථාපනය නොකරයි.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

සහකරු මිනිසුන්ට අමතක වන දෙවන ආවරණ පරීක්ෂාවක් යොදයි. WireGuard පැකට්ටුවක් සංකේතනය කරන්නේ අනුමත ලිපිනවල ගමනාන්තය ඇතුළත් සහකරුට පමණි, එබැවින් සහකරුගේ ලැයිස්තුව එම උපසර්ගය බැහැර කරන විට අතුරුමුහුණතට ප්‍රතිපත්ති මාර්ගය ප්‍රමාණවත් නොවේ. ලැයිස්තුව කළමනාකරු අහම්බෙන් සාදන මාර්ගයක් මත රඳා නොසිට මාර්ගගතකරණ හිමිකරුගේ පාලනය යටතේ තබන්න.

සලකුණු, වගු සහ සහකරු ආවරණය

සලකුණු යනු හවුල් නාම අවකාශයකි, එබැවින් අගය සහ ආවරණය යන දෙකම ඒවා භාවිත කරන අනෙක් සියල්ල සමඟ එකඟ විය යුතුය. සලකුණු කළ රථවාහන විශේෂිත වගුවකට යවන නියමයට එම වගුවේ ගැළපෙන මාර්ගයක් නොමැති විට නිශ්චිත ප්‍රතිඵලයක් අවශ්‍යය, මන්ද පිළිතුරු නොමැති සෙවීම ඊළඟ නියමයට ගොස් පැකට්ටුව භෞතික අතුරුමුහුණතින් පිටතට යැවිය හැක. විශේෂිත වගුව තුළ ඇති blackhole පෙරනිමි මාර්ගය එම නිශ්ශබ්ද පලායාම දෘශ්‍ය බිඳවැටීමක් බවට පත් කරයි. නිර්මාණයට තවමත් කළ නොහැකි දෙය නම් කිසිදා කට්ටලයට නොපැමිණි ගමනාන්තයක් සඳහා අසාර්ථක විට වැසීමයි.

උමඟේම පිටත පැකට්ටු වර්ගීකරණයෙන් ගැලවිය යුතුය. WireGuard මෙවලම් හරියටම එම අරමුණ සඳහා සොකට් සලකුණක් සපයයි, එය භාවිත කිරීමෙන් එන්කැප්සුලේශන් තමන් ගොඩනඟන අතුරුමුහුණතට ආපසු මාර්ගගත වීම වළක්වයි.

සෑම ආයුෂයක්ම වෙන වෙනම පරීක්ෂා කරන්න

ගබඩා තුනක් කාලසටහන් තුනකට අනුව පැරණි වේ: විසඳනයේ කෑෂ්, කට්ටලයේ අංග සහ නිරීක්ෂණය කරන සම්බන්ධතාව. ඒවා එම අනුපිළිවෙලින් පරීක්ෂා කර එක් එකක් නියමිත විට චලනය වේදැයි බලන්න. පහත විධාන කිසිවක් වෙනස් නොකර විසඳනය, කට්ටලය, සම්බන්ධතා වගුව සහ ප්‍රතිපත්ති නියම කියවයි.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

අංගයක් එකතු කරන නැවුම් සෙවීමක් පෝෂණය ක්‍රියා කරන බව ඔප්පු කරයි, නමුත් තම පිළිතුරට වඩා දිගු කල් ජීවත් වන පැරණි අංගයක් ලියා තැබිය යුතු ආයුෂ නොගැළපීමකි. සම්බන්ධතා වගුවේ අපේක්ෂිත සලකුණ සමඟ නව සම්බන්ධතාවක් දිස්වීම වර්ගීකරණය ක්‍රියා කළ බව පෙන්වයි, පැරණි සම්බන්ධතාවක් තම මුල් සලකුණ රඳවා ගැනීම දෝෂයක් නොව නිවැරදි හැසිරීමකි. නියම ලැයිස්තුව ප්‍රතිපත්ති සෙවීමක් තිබේද යන්නට පිළිතුරු දෙයි, එය එය ගැළපුණේද යන්නට වඩා වෙනස් ප්‍රශ්නයකි. ප්‍රතිදාන හතර එම අනුපිළිවෙලින් කියවන්න, අසාර්ථක මාරුව තමන්ම හෙළිදරව් වේ.

යම් නාමයක් සැමවිටම එක් මාර්ගයක් භාවිත කළ යුතුය යන අවශ්‍යතාව ඇති විට, DNS මගින් පෝෂණය වන කට්ටලයකට එය ඔප්පු කළ නොහැක, මන්ද හවුල් ලිපින වෙනත් නම් ද රැගෙන යයි. ප්‍රොක්සියක් හෝ යෙදුම් මට්ටමේ යාන්ත්‍රණයක් එම සහතිකය සඳහා මෙවලමයි.