Set nftables oo DNS ku quudiyo ilaa WireGuard: sida wareejintu u shaqeyso

Magacyada waxaa loo xalliyaa cinwaanno, cinwaannadaasna waxay geli karaan set derbiga dabka ah oo mar dambe saameeya wado-socodka, taasoo suurtagelisa hanuunin ku saleysan magaca iyadoon proxy la isticmaalin. Dhibaatadu waxay tahay in afar qaybood ay si sax ah u wareejiyaan: xalliyaha, setka, kala-saaraha calaamadeeya qulqul cusub, iyo lammaanaha qaada. Wareejin kastaa si ka duwan ayuu u guuldareystaa oo mid kastaa wuxuu hayaa waqtigiisa.

U tixgeliso naqshadda sida silsilad, ma aha habayn. Su'aasha tallaabo kasta waa qayb tee ayaa leh go'aanka iyo waxa dhaca marka gelinteeda maqan tahay.

Waxa jawaabta DNS samayn karto iyo waxa aanay samayn karin

dnsmasq waxay ka koobi kartaa cinwaannada jawaabaha geli karta set nftables, taasoo ah quudin ee ma aha go'aan wado-socod. Ikhtiyaarkaas, oo lagu diiwaan geliyay buugga dnsmasq, wuxuu sheegayaa qoyska, shaxda iyo setka, 4#-kiisa horena wuxuu dooranayaa kaliya diiwaannada A, sidaas darteed meelaha v6 waxay u baahan yihiin habayn gaar ah. Setku waa inuu horey u jiray, sababtoo ah xalliyuhu wuxuu ku darayaa qaybo shay ay sameeyay milkiilaha derbiga dabka. Tallaabadaas waxba kama doorato interface, shax ama lammaane.

Macmiilku sidoo kale waa inuu isticmaalaa xalliyahaas magaca. Barnaamij leh DNS sir ah oo u gaar ah, ama jawaab kaydsan oo ka hor siyaasadda, wuxuu isku xiraa isagoon samayn wax galitaan ah setka.

Setku waa gelin, ma aha wado

Qayb ku jirta set waa shuruud iswaafaq. Wax baa inuu eego, go'aansado in baakaddan ay bilaabayso qulqul cusub, oo uu ku dabaqo siyaasadda qulqulka tuunelka mariya. Linux waxay inta badan ka dhigan tahay wado bixid leh awood wado-siyeed oo calaamad dhigi karta, xeer u diraya baakadaha calaamadeysan shax gaar ah, iyo wado ku jirta shaxdaas oo u jeeda aaladda WireGuard. Xubinnimo kaliya wax ka mid ah ma rakibto.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

Lammaanuhu wuxuu dabaqaa hubin dabool labaad oo dadku illoobaan. WireGuard wuxuu sir-galiyaa baakad kaliya lammaanaha cinwaannadiisa la oggol yahay ay ku jiraan meesha loo socdo, sidaas darteed wado siyaasadeed oo interface-ka galaya kuma filna marka liiska lammaanuhu ka reebay prefixkaas. Liiska ku hay gacanta milkiilaha wado-socodka halkii aad ku tiirsanaan lahayd wado-abuur kasta oo maamuluhu sameeyo.

Calaamado, shaxyo iyo daboolka lammaanaha

Calaamaduhu waa meel magac la wadaago, sidaas darteed qiimaha iyo maaskaba waa in lala miiraa wax kasta oo kale oo isticmaala. Xeerta u dirta taraafikada calaamadeysan shax gaar ah waxay u baahan tahay natiijo qeexan marka shaxdaas aanay lahayn wado iswaafaqsan, sababtoo ah raadinta aan jawaab lahayn waxay u gudbi kartaa xeerta xigta oo baakadda ka saari kartaa interface-ka jirka. Wado caadi ah oo blackhole ah oo ku jirta shaxda gaarka ah wuxuu baxsiga aamusan u beddelaa tuur muuqda. Waxa naqshaddu aanay weli samayn karin waa inay xirto marka ay guuldareysato meel aan waligeed setka soo galin.

Baakadaha dibadda ee tuunelka laftiisa waa inay ka baxsadaan kala-saaraha. Qalabka WireGuard waxay u bixiyaan calaamad socket si sax ah ujeedkaas, isticmaalkeeduna wuxuu ka hortagaa in habaynta dib loo wado interface-ka ay dhisayso.

Tijaabi nolol kasta si gooni ah

Saddex kayd ayaa duqoobaa saddex jadwal: kaydka xalliyaha, qaybaha setka iyo xiriirka la dabagalo. Ku tijaabi iyaga habkaas oo eeg in mid kastaa dhaqaaqo marka ay tahay. Amarrada hoose waxay akhriyaan xalliyaha, setka, shaxda xiriirada iyo xeerarka siyaasadda iyagoon wax beddelin.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

Raadin cusub oo qayb ku darayaa wuxuu caddeeyaa in quudintu shaqeyso, halka qayb duug ah oo ka badan jawaabteeda noolaataa ay tahay iswaafaq la'aan nololeed oo mudan in la qoro. Xiriir cusub oo ku soo baxa shaxda xiriirada isagoo wata calaamadda la filayay wuxuu muujinayaa in kala-saaruhu shaqeeyay, xiriir duug ah oo hayaa calaamaddiisii asalka ahna waa habdhaqan sax ah ee ma aha khalad. Liiska xeerarku wuxuu ka jawaabaa in raadinta siyaasadda ay jirto, taasoo su'aal ka duwan tahay inay iswaafaqtay. Akhri afarta natiijo habkaas oo wareejinta guuldareysatay ayaa is muujin doonta.

Halka shuruuddu tahay in magac gaar ah uu had iyo jeer isticmaalo hal wado, set DNS ku quudiya ma caddayn karo, sababtoo ah cinwaanno la wadaago waxay sidoo kale qaadaan magacyo kale. Proxy ama hab heer barnaamij ah ayaa ah qalabka dammaanaddaas.