හබ් එකේ WireGuard සමවයස් කණ්ඩායම්: මූලාශ්‍ර හිමිකම සහ ප්‍රතිපත්තිය
එක් එක් සමවයස් සඳහා පටු මූලාශ්‍ර ලිපින සහ යැවීමේ ප්‍රතිපත්තියක් සමඟ සමවයස් කණ්ඩායම් වෙන් කර තබන්න, සෑම කණ්ඩායමකටම වෙනම ටනල් අතුරුමුහුණතක් නොමැතිව.
WireGuard ධාවනය කරන හබ් එකකට සෑම කණ්ඩායමකටම වෙනම අතුරුමුහුණතක් හෝ මාර්ගගත කිරීමේ වගුවක් නොමැතිව සමවයස් කණ්ඩායම් වෙන් කර තබා ගත හැක. මෙම කාර්යය කරන්නේ යාන්ත්‍රණ දෙකකි, ඒවා එකට මිශ්‍ර කිරීම නම් ප්‍රතිපත්තියක් නිවැරදි ලෙස පෙනී කිසිවක් නොකරන පොදු හේතුවයි. එක් ස්තරයක් තීරණය කරන්නේ කවුරුන්ට මූලාශ්‍ර ලිපිනයක් ඉල්ලා සිටිය හැකිද යන්නයි. අනෙක තීරණය කරන්නේ එම පැකට්ටුව යා හැක්කේ කොතැනටද යන්නයි.
කාර්යයන් දෙකක්, වෙන් කර තබා ඇත
ටනල් ස්තරය පටු ප්‍රශ්නයකට පිළිතුරු දෙයි: මෙම සමවයසේ යතුර මෙම අභ්‍යන්තර මූලාශ්‍ර ලිපිනය බලය ලබා දුන්නේද. යැවීමේ ස්තරය වඩා පුළුල් එකකට පිළිතුරු දෙයි: මෙම පැකට්ටුව එම ගමනාන්තය දෙසට පිටවිය හැකිද. කිසිවක් අනෙකාගේ ප්‍රශ්නයට පිළිතුරු නොදෙයි, කිසිවක් තනිව සම්පූර්ණ ප්‍රවේශ ප්‍රතිපත්තියක් නොවේ.
මෙම වෙන්වීම නිසාම සමවයසකට සත්‍යාපනය වී නිවැරදි ලිපිනයක් තිබියදීත් නොයා යුතු සත්කාරකයකට යා නොහැකි විය හැක. එය ප්‍රතිවිරුද්ධ දෙයද පැහැදිලි කරයි: සියල්ලට ඉඩ දෙන ෆයර්වෝල් රීතියක් කවුරුන්ට කුමන ලිපිනයක් ඉල්ලා සිටිය හැකිද යන්න ගැන කිසිවක් ඔප්පු නොකරයි.
ස්තර දෙකම එකට නිර්මාණය කරන්න, පසුව දෙකම පරීක්ෂා කරන්න. එක් ස්තරයක නිවැරදි වන අතර අනෙකෙහි පරීක්ෂා නොකළ වින්‍යාසය පෙරනිමි අගය අනුව විවෘතව හෝ වසා අසාර්ථක වේ.
සෑම සමවයසකටම ඔහුගේම ලිපිනය පමණක් දෙන්න
බහු-සත්කාරක සමවයස් ඔබව පෙළඹවන්නේ සේවාදායක පැත්තේ මුළු කණ්ඩායම් පරාසයම දෙන්නටය. එම අවසරය මූලාශ්‍ර ලිපින ඉල්ලීමකි, එබැවින් අවදානමට ලක් වූ හෝ වැරදි ලෙස වින්‍යාස කළ සේවාලාභියෙකුට පරාසයේ ඕනෑම ලිපිනයක් ඉදිරිපත් කළ හැකි අතර ටනලය එය පිළිගනු ඇත. තමන්ගේම අභ්‍යන්තර ලිපිනය සඳහා සෑම සමවයසකටම /32ක් වෙන් කරන්න. කණ්ඩායම් පරාස සකසන්නේ සේවාලාභීන් තුළ පමණක් වන අතර, එහිදී ඒවා විස්තර කරන්නේ එම සේවාලාභියාට ළඟා විය හැකි ගමනාන්ත ය, භාවිත කළ හැකි මූලාශ්‍ර නොවේ.
එවිට ෆයර්වෝලය විශ්වාස කළ හැකි මූලාශ්‍රයක් සමඟ ගැළපෙයි. කණ්ඩායමේ පරාසය සඳහා ලියූ රීතියක් තවමත් ප්‍රයෝජනවත් කාණ්ඩගත කිරීමක් වන අතර, කිසිදු තනි සමවයසකට වෙනත් සාමාජිකයෙකුට අයත් ලිපිනයක් ඉල්ලා සිටිය නොහැකි විට පමණක් එය අර්ථවත් වේ.
කණ්ඩායම් වෙන් කරන යැවීමේ ප්‍රතිපත්තිය ලියන්න
මෙහි රසවත් ට්‍රැෆික් එකම ටනල් අතුරුමුහුණත හරහා ඇතුළු වී පිටවේ, එබැවින් එය සත්කාරකයේ ආදාන මාර්ගය නොව යැවීමේ මාර්ගය තරණය කරයි. රීති අයත් වන්නේ සත්කාරකය හිමි ෆයර්වෝල් කළමනාකරුගේ දැනට පවතින යැවීමේ දාමයට ය, ඒවා සම්පූර්ණ රීති කට්ටලයක් නොව කැබලි වේ.
iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept iifname "wg0" oifname "wg0" drop
පළමු රීති දෙක සෑම කණ්ඩායමක් තුළම ට්‍රැෆික් සඳහා ඉඩ දෙයි. අවසාන එක එම අතුරුමුහුණත තරණය කරන අනෙක් සියල්ල අවහිර කරයි, එයයි කණ්ඩායම් අතර හුදකලාව ඇති කරන්නේ. අවශ්‍ය නම් අනෙක් ලිපින පවුල සඳහා පැහැදිලි රීති එකතු කරන්න, මන්ද IPv4 සඳහා ලියූ drop එකක් IPv6 හැසිරීම බලය නොදෙයි හෝ විස්තර නොකරයි.
ප්‍රතිපත්තිය අදාළ වේද යන්න තීරණය කරන්නේ අනුපිළිවෙලයි
රීති අනුපිළිවෙල කැබැල්ලට වඩා වැදගත් වේ. ස්ථාපිත සම්බන්ධතා පිළිගන්නා සාමාන්‍ය රීතියක් මෙම සටහන්වලට පෙර තිබේ නම් පැරණි අන්තර්-කණ්ඩායම් ගැලීමක් දිගටම පවතී, එබැවින් හුදකලාව අදාළ වන්නේ නව සම්බන්ධතාවලට පමණි. නැවත පූරණය කිරීමට පෙර මෙම ප්‍රතිඵල දෙකෙන් කුමක් අවශ්‍යද යන්න තීරණය කරන්න.
පිළිගැනීමේ තීරණයක්ද එකම කොක්කේ දාම අතර සැමවිටම අවසාන නොවේ. වෙනත් මූලික දාමයක් පසුව ක්‍රියාත්මක වුවහොත්, ඵලදායී ප්‍රතිපත්තිය වන්නේ සංයෝගයයි, එබැවින් ඔබ සංස්කරණය කළ ගොනුව නොව කවුන්ටර බලන්න. කවුන්ටර යනු ලබා ගත හැකි ලාභම සාක්ෂියයි. පැකට් ගණනක් නොමැති රීතියක් නොගැළපෙන අතර, පසුකාලීන දාමයක් පිළිගන්නා අතරේ ගැළපෙන රීතියක් drop එක වැරදි තැනක ඇති බව ඔබට කියයි.
ගොනු ගණන නොව න්‍යාසය පරීක්ෂා කරන්න
අපේක්ෂිත ප්‍රතිඵලවල කුඩා න්‍යාසයක් ගොඩනඟා සෑම කොටුවක්ම පරීක්ෂා කරන්න. A කණ්ඩායමේ සිට A කණ්ඩායමට ක්‍රියා කළ යුතුය, B කණ්ඩායමේ සිට B කණ්ඩායමට ක්‍රියා කළ යුතුය, සහ A සිට B දක්වා නොකළ යුතුය, දිශා දෙකෙන්ම සහ ඔබ සහාය දෙන්නේ නම් ලිපින පවුල් දෙකටම.
nft list ruleset wg show wg0 allowed-ips ping -c 2 10.66.10.5 conntrack -L -s 10.66.20.7 2>/dev/null | head
පළමු දෙක පෙන්වන්නේ කුමක් වින්‍යාස කර ඇත්ද යන්නයි. වැරදි කණ්ඩායමේ සාමාජිකයෙකුගෙන් ping කරන විට ඇත්තටම සිදුවන්නේ කුමක්ද යන්න පෙන්වයි. conntrack ලැයිස්තුව පෙන්වන්නේ පැරණි ගැලීමක් තවමත් පිළිගනු ලබන්නේද යන්නයි, හුදකලා වෙනසක් නිහඬව ක්‍රියාත්මක නොවීම සිදුවන්නේ එලෙසය.
හබ් එකේ සත්කාරක සේවා සහ එහි පිටුපස ඇති LAN වෙත ප්‍රවේශය වෙනම ප්‍රතිපත්ති සහිත වෙනම මාර්ග වේ. න්‍යාසය ඒවායින් කුමක් ආවරණය කරයිද යන්න සටහන් කරන්න, මන්ද සමවයස්-සමවයස් ට්‍රැෆික් පමණක් පරීක්ෂා කරන පරීක්ෂණයක් ඒ කිසිවක් ගැන කිසිවක් නොකියයි.