Kali kaliya port 25 tunnel-ka, ma aha host-ka

Afar shay waa inay is waafaqaan ka hor inta uusan Linux host u dirin kaliya SMTP-kiisa tunnel dhexdiisa: waddo ku jirta shax gaar ah, qaanuun siyaasadeed oo xusho taraafikada, cinwaan isha ah oo peer-ku aqbalo, iyo waddo soo noqosho oo u adkaysata isku-dheellitirnaanta. Mid kastaa waa habayn gaar ah oo leh qaabkiisa guuldarro. Nidaamka hoose ayaa guuldarrada u tilmaamaya qaybta runtii khaldan. Kani waa shaqo waddo-maris gaar u ah port-ka, ma aha codsi waddo caadi ah oo VPN.

Qaanuunka port-ku ma aha waddo caadi ah

Qaanuun ku habboon TCP gudaha lagu abuuray iyo port-ka loo socdo 25 wuxuu taraafikadaas u diraa shax aad magacawdo. Qaanuunka keligiis wax ma abuuro: wuu xushaa, shaxduna waa inay ku jirtaa waddo qaadi karta xirmada. Labada isku darkoodu waxay daboolaan kaliya jihada bixitaanka hal borotokool, sidaas darteed gudbinta host-ka kale, xiriirka boostada soo gala iyo IPv6 waxay ka baxsan yihiin nidaamkan. In loogu yeero siyaasad gaar u ah port-ka halkii VPN caadi ah waxay xadkaas daacad ka dhigtaa.

Laba dejinta wg-quick waa shuruudo hore, ma aha qayb siyaasadda. AllowedIPs = 0.0.0.0/0 wuxuu u oggolaanayaa peer-ka inuu qaado goobo IPv4 aan loo baahnayn, Table = off-na wuxuu ka hortagaa wg-quick inuu rakibo waddadiisa caadiga ah ee prefix-kaas. Ha ku darin tilmaamahan maareeye ku dhaqma siyaasaddiisa waddooyinka, sababtoo ah labadoodu kuma heshiiyaan yaa leh shaxda ugu weyn.

Qor waddada, xulaha iyo ilaalada

Dooro lambar shax iyo laba mudnaan oo aan wax kale isticmaalin, ka dib ku dhaqan waddada, xulaha iyo ilaalada isla nidaamkaas. Lambarrada hoose waa tusaale, ma aha qiimooyin la kaydiyay:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo wuxuu qaanuunka ku xaddidaa taraafikada asal ahaan maxalli ah, ipproto tcp dport 25-na wuxuu gartaa jihada xiriirka; tixraaca ip-rule wuxuu diiwaangeliyaa labada xulaha. Waxay ku jiraan kernel-yada iyo daabacaadaha iproute2 ee hadda, nidaam duug ahna qaanuunka si buuxda ayaa loo diidaa, taas oo ka cad guuldarro ka badan qaanuun la raro oo aan wax la jaanqaadin.

Qaanuunka unreachable ee mudnaanta xigta waa ilaalada. La'aanteed, waddo ku maqan shaxda 51825 waxay ku dhici doontaa caadiga ah, boostaduna waxay ka baxaysaa xiriirka jireed inta lagu jiro hakadka tunnel-ka, taas oo ahayd kiiska siyaasaddu ka hortagayso.

Cinwaanka isha waa inuu is waafaqaa

Mudnaanta src ee waddadu waxay buuxisaa isha kaliya xiriirrada aan xidhin midkood u gaar ah. Tani ma aha turjumaad, mana jebiso xidhitaan cad, sidaas darteed daemon ku xidhan cinwaanka jireed wuxuu sii wadaa inuu ka diro cinwaankaas. Haddii taas aad hesho, beddel dejinta daemon-ka laftiisa ama naqshadee siyaasad turjumaad ula kac ah, sababtoo ah masquerade guud oo soo daahay waa xal kale oo leh cawaaqib kale.

Gateway-ga, peer-ka macmiilku waa inuu fasaxo isha uu runtii helo, taas oo ah 10.77.0.2/32 halkii prefix gool ballaaran. Koobista 0.0.0.0/0 ee macmiilka galay peer kasta oo gateway waxay qarinaysaa peer-kaas oo leh taraafikadaas. Gateway-gu wuxuu sidoo kale u baahan yahay gudbin, siyaasad firewall oo fasaxda qulqulka, iyo waddo soo noqosho, oo ay ku jirto turjumaad bixitaan marka qaybta sare aysan waddo-marin karin cinwaan tunnel gaar ah.

Hubi waddada soo noqoshada, ka dib joogtaynta

Akhri raadinta ka hor inta aadan waxba rumaysan, sababtoo ah waxay muujinayaan shaxda iyo isha ay jihada kastaa hesho. Hal gool oo port 25 ah iyo isla goolkaas oo port 443 ah waa ku filan yihiin:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Raadinta koowaad waa inay sheegto wg0 iyo isha la doonayo, tan labaadna waa inay haysato xiriirka sare ee caadiga ah. Marka barnaamijku xidho cinwaankiisa, ku dar from cinwaankaas raadinta. Jihada jawaabta ee gaadha wg0 ka dibna maxalli ahaan la tuuro waxay tilmaamaysaa shaandhaynta waddada gadaal IPv4, sababtoo ah qaanuunka kaliya port-ka bixitaanka ma qasbo raadinta gadaal inay doorato tunnel-ka.

Halka waddo-marinta aan isku-dheellitirnayn la fasaxay, qaab dabacsan oo interface-ku xaddidan iyada oo loo marayo net.ipv4.conf.wg0.rp_filter=2 ayaa laga yaabaa inuu ku habboon yahay, oo mudan in marka hore la hubiyo ugu badnaanta wax ku oolka ah ee all iyo qiyamka interface-ka. Ha damin xaqiijinta si caalami ah si aad u gaabiso. Ka dib u dhiib shaxda, mudnaanta iyo ilaalada cidda leh habaynta, oo fur xiriirro cusub ka dib dib-u-xidhka si aad u xaqiijiso in xulashada weli taagan tahay. Xusuuso in jawaabaha dhageystaha SMTP maxalli ah ay qaadaan port-ka isha 25 ee ma aha port-ka goolka 25, taas oo ah su'aal siyaasadeed gooni ah.