V tunel usmerite samo vrata 25, ne gostitelja

Štiri stvari se morajo ujemati, preden gostitelj Linux pošlje skozi tunel samo svoj SMTP: pot v namenski tabeli, pravilo politike, ki izbira promet, izvorni naslov, ki ga bo peer sprejel, in povratna pot, ki prenese asimetrijo. Vsaka je ločena konfiguracija z lastnim načinom okvare. Vrstni red spodaj poskrbi, da okvara kaže na del, ki je res napačen. To je opravilo usmerjanja, specifično za vrata, ne zahteva po privzeti poti VPN.

Pravilo vrat ni privzeta pot

Pravilo, ki lokalno ustvarjeni TCP ujema s ciljnimi vrati 25, pošlje ta promet v tabelo, ki jo poimenujete. Pravilo samo po sebi ne ustvari ničesar: izbira, tabela pa mora vsebovati pot, ki lahko prenese paket. Kombinacija obeh pokriva le odhodno smer enega protokola, zato posredovanje za druge gostitelje, dohodne poštne povezave in IPv6 ostanejo zunaj te ureditve. Če temu rečemo politika, specifična za vrata, namesto privzete VPN, ta meja ostane poštena.

Dve nastavitvi wg-quick sta predpogoja, ne del politike. AllowedIPs = 0.0.0.0/0 peeru omogoča prenašanje poljubnih ciljev IPv4, Table = off pa prepreči wg-quick, da bi za to predpono namestil svojo privzeto pot. Teh navodil ne mešajte z upraviteljem, ki uporablja svojo politiko poti, ker se ne bosta strinjala, komu pripada glavna tabela.

Napišite pot, izbirnik in stražarja

Izberite številko tabele in par prioritet, ki jih nič drugega ne uporablja, nato v tem vrstnem redu uporabite pot, izbirnik in stražarja. Številke spodaj so primeri, ne rezervirane vrednosti:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo omeji pravilo na promet lokalnega izvora, ipproto tcp dport 25 pa prepozna smer povezave; referenca ip-rule dokumentira oba izbirnika. Obstajata v trenutnih jedrih in izdajah iproute2, na starejšem sistemu pa je pravilo povsem zavrnjeno, kar je jasnejša okvara kot pravilo, ki se naloži in se ne ujema z ničimer.

Pravilo unreachable na naslednji prioriteti je stražar. Brez njega manjkajoča pot v tabeli 51825 pade na običajno privzeto pot in pošta med izpadom tunela odide po fizični povezavi, kar je natanko primer, ki naj bi ga politika preprečila.

Izvorni naslov se mora ujemati

Nastavitev src poti le zapolni izvor za povezave, ki svojega niso vezale. To ni prevajanje in ne razveljavi izrecne vezave, zato demon, vezan na fizični naslov, še naprej pošilja s tega naslova. Če najdete prav to, spremenite nastavitev samega demona ali zasnujte namerno politiko prevajanja, ker je poznejši splošni masquerade druga rešitev z drugimi posledicami.

Na prehodu mora peer odjemalca odobriti izvor, ki ga dejansko prejme, to je 10.77.0.2/32, ne široka ciljna predpona. Kopiranje odjemalčevega 0.0.0.0/0 v vsakega peera prehoda zamegli, kateri peer ima kateri promet. Prehod potrebuje tudi posredovanje, politiko požarnega zidu, ki dovoli tok, in povratno pot, vključno z izhodnim prevajanjem, ko nadrejena stran ne more usmerjati zasebnega naslova tunela.

Preverite povratno pot, nato obstojnost

Preden čemur koli zaupate, preberite iskanja, ker kažejo, katero tabelo in kateri izvor dobi vsaka smer. En cilj na vratih 25 in isti cilj na vratih 443 zadoščata:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Prvo iskanje naj navede wg0 in predvideni izvor, drugo pa naj ohrani običajno zgornjo povezavo. Ko aplikacija veže svoj naslov, v iskanje dodajte from s tem naslovom. Smer odgovora, ki doseže wg0 in je nato lokalno zavržen, kaže na filtriranje povratne poti IPv4, ker pravilo samo za izhodna vrata ne prisili povratnega iskanja, da izbere tunel.

Kjer je asimetrično usmerjanje dovoljeno, je lahko primeren ohlapen način, omejen na vmesnik, prek net.ipv4.conf.wg0.rp_filter=2, in najprej velja preveriti dejanski maksimum vrednosti all in vmesnika. Preverjanja ne onemogočite globalno kot bližnjico. Nato predajte tabelo, prioritete in stražarja tistemu, ki ima konfiguracijo, in po ponovni povezavi odprite nove povezave, da potrdite, da izbira še drži. Upoštevajte, da odgovori lokalnega poslušalca SMTP nosijo izvorna vrata 25 in ne ciljnih vrat 25, kar je ločeno vprašanje politike.