WireGuard DNS DNAT: hay waddada jawaabtu shaqeyso

U jeedinta su'aasha DNS ee macmiilka WireGuard resolver kale waxay u egtahay hal qaanuun oo u dhaqanto sida saddex go'aan. Halka loo socdo waa in dib loo qoraa, baakadda waa in la gudbiyaa, oo jawaabtu waa in ay hesho waddada dib ugu noqota iyada oo maraysa xaaladda turjumaadda ee gateway-ga abuuray. Ka bood saddexaad oo su'aashu si nadiif ah ayay u baxdaa halka macmiilku weligiis sugayo.

Qaado tusaalaha macmiilayaasha la oggolaaday ee 10.77.0.0/24 ku jira ee ka imanaya wg0, waydiiya cinwaanka lagu dhawaaqay 10.77.0.1 oo u baahan resolver 203.0.113.53. Cinwaanka sare waa meel-banaan oo loogu talagalay dukumeentiga, ma aha adeeg shaqeynaya.

U-wareejinta su'aashu waxay beddeshaa oo kaliya halka loo socdo

Qaanuunka NAT-ka halka loo socdo ee PREROUTING waxay dib u qortaa cinwaanka ka hor inta aan la gaarin go'aanka dariiqa, sidaas darteed baakadda ayaa markaas loo maraa halka cusub halkii ay ahayd tii hore. Cinwaanka isha macmiilka lagama taabto hawshaas. Taasi waa sababta qaanuun u eg mid buuxa weli u soo saari karo aamusnaan: codsigu hadda wuxuu u socdaa resolver aan waligiis maqal xadka gaarka ah ee macmiilka. Gateway-ga wuxuu turjumay hal goob oo dhaxlay dhibaato labaad.

Labada maraakiibta DNS waxay u baahan yihiin qaanuuno isku mid ah, maxaa yeelay macmiilku wuxuu ku noqdaa TCP marka jawaabta la gooyo.

Qaanuunada hoose waxay doortaan hal interface soo galaya, hal xad macmiil iyo hal cinwaan halka loo socdo oo asal ah. Wax kale oo gateway-ga ku yaal lama saameeyo, oo su'aasha gateway-ga laftiisu gabi ahaan isku mid ma aha.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A PREROUTING -i wg0 -s 10.77.0.0/24 -d 10.77.0.1 -p udp --dport 53 -j DNAT --to-destination 203.0.113.53:53
iptables -t nat -A PREROUTING -i wg0 -s 10.77.0.0/24 -d 10.77.0.1 -p tcp --dport 53 -j DNAT --to-destination 203.0.113.53:53

Waddada jawaabtu waa go'aan gaar ah

Laba hab ayaa u oggolaanaya jawaabtu in ay soo noqoto, oo mid goor hore doorashadiisu waxay badbaadisaa fadhi cilad-baaris. Ama resolver-ka sare wuxuu leeyahay dariiq dib ugu noqota 10.77.0.0/24 isagoo maraya gateway-kan, ama gateway-ga wuxuu turjumaa isha marka baxaya si jawaabtu u gaarto cinwaan uu kan sare hore u yaqaan. Labaduba way shaqeeyaan; kaliya mid ayaa la jaanqaadaya kontoroolka aad ku leedahay kan sare.

Dariiqa ayaa mudan isku-dayga koowaad, maxaa yeelay wuxuu cinwaanka macmiilka u hayaa mid resolver-ka u muuqda oo wuxuu ka fogaadaa lakabka labaad ee turjumaadda. Marka kan sare ka baxsan yahay kontoroolkaaga, turjumaadda isha ee interface-ka baxa gaar ah waa doorashada la taaban karo.

Xaddid turjumaaddaas si la mid ah u-wareejinta, haddii kale qaanuunku wuxuu noqonayaa NAT ujeedo guud oo loogu talagalay wax kasta oo si shil ah u dhaca inuu la jaanqaado:

iptables -t nat -A POSTROUTING -s 10.77.0.0/24 -d 203.0.113.53 -o eth0 -p udp --dport 53 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.77.0.0/24 -d 203.0.113.53 -o eth0 -p tcp --dport 53 -j MASQUERADE

Lasocodka xiriirka wuxuu khariidadda u hayaa lammaane, sidaas darteed jawaabta dib ayaa loo qoraa xagga tuple-kii asalka ahaa ee macmiilka marka soo noqota. Iyada oo aan lahayn qaanuunka baxa, resolver-ku wuxuu jawaabtiisa u diraa cinwaan gaar ah oo uusan gaari karin, macmiilkuna wuxuu arkaa waqti-dhaafidh halkii uu arki lahaa qalad.

Qor qaanuunada ka cidhiidhi ah sida shaqadu u muuqato

Oggolaanshaha gudbintu wuxuu ka tirsan yahay isla baaxaddaas. Oggolow qulqulka macmiilka ilaa resolver-ka iyo taraafikada soo noqota ee conntrack hore u aqoonsado, halkii aad ka aqbali lahayd xiriir kasta DNAT ee mishiinka. Oggolaansho guud sidoo kale wuxuu fasaxaa gudbinta dekedaha aan DNS waxba la lahayn.

Resolver-ka gateway-ga laftiisu waa dariiq koodh kale. Su'aasha gudaha laga soo saaray waxay martaa OUTPUT, sidaas darteed tijaabinta qolka gateway-ga kama shaqeyso qaanuunka PREROUTING ama siyaasadda gudbinta. Taasi waa sababta tijaabo maxalli ah u gudbi karto iyada oo macmiil kastaa ku guuldareysto, waxaana lidkeedu isna sidaas oo kale caadi u yahay.

Wax halkan ku qoran ma daboolaan DNS oo ku dul socda HTTPS dekedda 443 ama DNS oo ku dul socda TLS dekedda 853, waxna ma daboolaan IPv6. Macmiil leh resolver IPv6 oo habaysan wuxuu si farxad leh iska indhatiri doonaa habaynta oo dhan.

Muxuu caddeeyaa su'aal cusub

Lasocodka xiriirku wuxuu xusuustaa khariidadihii hore, sidaas darteed su'aal la diray ka hor isbeddelka qaanuunka ayaa laga jawaabi karaa xaaladdii hore oo waxay ka dhigi kartaa qaanuunka cusub mid u muuqda jaban. Ku bilow deked isha cusub iyo, halka macmiilku jawaabaha ku kaydiyo, magac cusub.

dig @10.77.0.1 example.com A +short
conntrack -L -p udp --dport 53 | head

Amarka koowaad wuxuu muujinayaa haddii waddada macmiilka gabi ahaan la xalliyo, tan labaadna waxay muujinaysaa turjumaadda gateway-ga dhab ahaantii rakibay, oo ay ku jiraan labada jiho ee tuple-ka. Khariidad u jeedda resolver-ka saxda ah laakiin leh tiriyaha jawaabaha oo eber ku xayiran waa dhibaato waddada soo noqoshada ee ma aha shaandhaynta.

Ka hor intaadan wax u wareejin, xaqiiji in resolver-ku yaqaan magacyada aad filayso. Beddelka ka jawaaba magacyada guud laakiin aan ka jawaabin aaggaaga gaarka ah wuxuu raadinta shaqeynaysa u beddelaa NXDOMAIN u eg tunnel jaban. Tijaabi resolver-ka si toos ah, gateway-ga, ka hor inta aan waddada macmiilku ku lug lahayn. tixraaca fidinta iptables na wuxuu dukumeentigaya macnaha DNAT iyo masquerade ee qaanuunadan ku tiirsan yihiin.