Kooxaha asaagga WireGuard ee hubka: lahaanshaha isha iyo siyaasadda

Hub ku shaqeeya WireGuard waxa uu kala fogayn karaa kooxaha asaagga isaga oo aan u baahnayn interface ama shaxda marin gaar ah koox kasta. Laba hab ayaa qabta shaqada, isku-qasnaantooduna waa sababta caadiga ah ee siyaasad u eg tahay mid sax ah oo aan waxba qaban. Hal lakab ayaa go'aamiya cidda codsan karta cinwaanka isha. Kan kale ayaa go'aamiya halka loo ogol yahay baakaddan in ay tagto.

Laba shaqo, oo kala fog

Lakabka tunnel-ka waxa uu ka jawaabaa su'aal cidhiidhi ah: keyga asaaggan ma ogolaaday cinwaankan gudaha ee isha. Lakabka gudbinta waxa uu ka jawaabaa mid ballaaran: baakaddan ma ka bixi kartaa dhinaca meeshaas. Midkoodna kama jawaabo su'aasha kan kale, midkoodna keligiis ma aha siyaasad gelitaan buuxda.

Kala-soociddaas ayaa sabab u ah in asaag la xaqiijiyay, si sax ah loo cinwaanay, haddana aan gaadhi karin martigeliyaha aanay ahayn inuu gaadho. Waxa kale oo ay sharraxaysaa lidkeeda: qaanuun firewall oo wax walba ogolaada waxba kama caddaynayo cidda codsan karta cinwaanka.

Naqshadee labada lakab si wadajir ah, ka dibna tijaabi labadaba. Habaynta saxda ah lakabka mid ka mid ah oo aan la tijaabin kan kale waxa ay ku guuldareysataa furan ama xidhan iyada oo ku xidhan qiimaha caadiga ah.

Si asaag kasta uun cinwaankiisa u gaar ah

Asaagga martigeliyayaal badan waxa ay kuu soo jiitaan in aad dhinaca serverka siiso dhammaan baaxadda kooxda. Ogolaanshahaas waa codsi cinwaan isha, sidaas darteed macmiil la waxyeeleeyay ama si khaldan loo habeeyay waxa uu soo bandhigi karaa cinwaan kasta oo baaxadda ku jira tunnel-kuna wuu aqbali doonaa. U qoondee /32 asaag kasta cinwaankiisa gudaha. Baaxadda kooxaha ku dhig macmiillada oo keliya, halkaas oo ay sharraxaan meelaha uu macmiilkaas gaadhi karo halkii ay ka ahaan lahaayeen ilaha uu isticmaali karo.

Markaas firewall-ku wuxuu la mid noqdaa isha uu ku kalsoonaan karo. Qaanuunka loo qoray baaxadda kooxdu weli waa kooxayn faa'iido leh, wuxuuna macne yeeshaa oo keliya marka aanay jirin asaag keliya oo codsan kara cinwaanka xubin kale.

Qor siyaasadda gudbinta ee kala soocda kooxaha

Taraafikada xiisaha leh halkan waxa ay ka soo gashaa oo ka baxdaa isla interface tunnel-ka, sidaas darteed waxa ay dhex martaa wadada gudbinta ee ma aha wadada gelinta martigeliyaha. Qaanuunnadu waxa ay ka tirsan yihiin silsiladda gudbinta ee jirta ee maareeyaha firewall-ka ee leh martigeliyaha, waana qaybo ma aha koox qaanuun buuxa.

iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept
iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept
iifname "wg0" oifname "wg0" drop

Laba qaanuun ee ugu horreeya waxa ay ogolaadaan taraafikada gudaha koox kasta. Kan ugu dambeeya waxa uu xannibaa wax kasta oo kale ee dhex mara interface-kaas, taasina waa waxa abuura gooni-ahaanshaha kooxaha dhexdooda. Ku dar qaanuunno cad oo ku saabsan qoyska cinwaanka kale haddii aad u baahan tahay, sababtoo ah drop loo qoray IPv4 ma ogolaana ma qeexo hab-dhaqanka IPv6.

Nidaamka ayaa go'aamiya haddii siyaasaddu khusayso

Nidaamka qaanuunnadu waxa uu ka muhiimsan yahay qaybta laftiisa. Qaanuun guud oo aqbala xidhiidhyada la aasaasay oo la dhigay ka hor gelitaannadan waxa uu u ogolaadaa qulqulka hore ee kooxaha dhexdooda inuu sii socdo, sidaas darteed gooni-ahaanshahu waxa uu khusayaa oo keliya xidhiidhyada cusub. Go'aanso mid ka mid ah labada natiijo ee aad rabto ka hor inta aanad dib u soo rarin.

Xukunka aqbalaadda sidoo kale had iyo jeer ma aha mid kama dambays ah silsiladaha dhexdooda isla jillaabta. Haddii silsilad saldhig ah oo kale ay mar dambe shaqeyso, siyaasadda waxtarka leh waa isku-dhafka, sidaas darteed baadh tirtiraayaasha ee ma aha faylka aad tafatirtay. Tirtiraayaashu waa caddaynta ugu jaban ee la heli karo. Qaanuunka aan lahayn tiro baakad ah ma mid noqdo, qaanuunka mid noqda inta silsilad dambe aqbalaayo waxa uu kuu sheegayaa in drop-ku meel khaldan ku yaal.

Tijaabi matrix-ka, ee ma aha tirada faylalka

Dhis matrix yar oo natiijooyin la filayo ah oo hubi unug kasta. Koox A ilaa koox A waa inuu shaqeeyaa, koox B ilaa koox B waa inuu shaqeeyaa, A ilaa B-na waa in aanu shaqayn, labada jiho iyo labada qoys cinwaan haddii aad taageerto.

nft list ruleset
wg show wg0 allowed-ips
ping -c 2 10.66.10.5
conntrack -L -s 10.66.20.7 2>/dev/null | head

Labada ugu horreeya waxa ay muujinayaan waxa la habeeyay. Ping-ka xubin ka tirsan kooxda khaldan waxa uu muujinayaa waxa dhab ahaan dhaca. Liiska conntrack waxa uu muujinayaa haddii qulqul hore weli la aqbalayo, sidaas oo kalena isbeddelka gooni-ahaanshaha si aamusan ayuu ugu guuldareystaa inuu dhaqan galo.

Adeegyada martigeliyaha ee hubka iyo gelitaanka LAN ka dambeeya waa waddooyin gaar ah oo leh siyaasad gaar ah. Diiwaangeli mid ka mid ah ay matrix-ku daboolayo, sababtoo ah imtixaan kaliya tijaabiya taraafikada asaag-ilaa-asaag waxba kama sheegayo midkoodna.