Si t'i japësh një LAN-i testues daljen e vet WireGuard

Tre modele zgjidhin të njëjtin problem laboratori: një LAN i vogël duhet të dalë përmes një partneri WireGuard, ndërsa porta vetë ruan lidhjen e saj të zakonshme lart. Shkurtesa joshëse është të zhvendosësh rrugën e paracaktuar të ruterit brenda tunelit, por kjo thyen rrugën e vetë menaxhimit të kutisë dhe gjithçka tjetër që ajo përcjell. Opsioni interesant është rrugëtimi i bazuar në politikë, i kufizuar në një ndërfaqe dhe një prefiks. Zgjidh midis tyre duke u përgjigjur tre pyetjeve për makinën që ke vërtet.

Vendos ku jeton dalja

Pyetja e parë: a përcjell ky host edhe për diçka tjetër? Një portë laboratori e dedikuar mund të jetojë me një politikë përcjelljeje që hedh gjithçka si parazgjedhje. Një ruter me detyra prodhimi nuk mundet, dhe vendosja e një grupi rregullash konkurrues mbi një firewall të menaxhuar është pikërisht mënyra se si planifikohen ndërprerjet. E dyta: a mund të zotërosh dy objekte politike dhe renditjen e tyre përgjatë rindezjeve? E treta: a e autorizon partneri që ke adresën burimore të tunelit tënd dhe a ofron dalje në internet? Një partner që ekspozon vetëm një rrjet privat është produkt tjetër, dhe asnjë ndryshim lokal rrugëtimi nuk e rregullon atë. Nëse ndonjë përgjigje është jo, vendos daljen në një hapësirë emrash ose në një makinë virtuale të përdorur një herë.

Hapësira e emrave ose VM kushton memorie dhe të jep një rreze të pastër shpërthimi. Rrugëtimi i bazuar në politikë kushton dy rregulla dhe të lë një kuti për korrigjim.

Zgjidh daljen që autorizon burimin tënd

Shumica e dështimeve në këtë laborator ndodhin para se të ekzistojë edhe një rregull i vetëm firewall-i. Operatori i daljes duhet të pranojë adresën burimore që mbajnë paketat e tua pas përkthimit, dhe në këtë model është adresa e tunelit, jo prefiksi i LAN-it. Prandaj maskimi i përket modelit që nga fillimi dhe jo si shtesë e vonë.

Konfirmo tre gjëra me operatorin: partneri autorizon adresën e tunelit tënd, ai përcjell IPv4 në vend që të përfundojë mbi vete, dhe aplikon NAT daljeje. Pa të parën, paketat e tua mbërrijnë dhe zhduken. Pa të tretën, ato dalin me një burim privat dhe vdesin në hapin tjetër. Pastaj verifiko që wg-quick nuk instalon rrugën e vet të paracaktuar, gjë që Table = off e pengon; ajo cilësim shtyp krijimin e rrugëve, jo kontrollet AllowedIPs të partnerit ose trajtimin e tij të DNS.

Dy objekte politike bëjnë drejtimin

Drejtimi kërkon një tabelë dhe një rregull. Tabela mban dy rrugë: prefiksin e LAN-it jashtë ndërfaqes LAN dhe një të paracaktuar jashtë tunelit. Rregulli dërgon në tabelë trafikun që arrin në ndërfaqen LAN dhe mban atë prefiks. Përdor zgjedhësin iif bashkë me përputhjen e burimit, sepse paketat WireGuard të portës vetë lindin lokalisht dhe nuk përputhen kurrë me një ndërfaqe hyrëse.

Rojtari vjen para kërkimit, jo pas tij. Ai rend është e gjithë vetia e sigurisë e modelit.

Rojtari është rregulli i dytë mbi të njëjtin zgjedhës, verdikti i të cilit është unreachable. Jepi një përparësi numerike më të lartë që kërkimi të vazhdojë të fitojë ndërsa tuneli është lart. Kur rruga e tunelit zhduket, kërkimi nuk kthen asgjë dhe rojtari e ndalon kërkimin në vend që ta lërë të bjerë në rrugën e paracaktuar WAN të tabelës kryesore.

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

Mbyll boshllëkun e tërheqjes para se ta hapësh

Instalo fillimisht rojtarin dhe pastaj kërkimin. Ta bësh të kundërt lë një dritare disa sekondash gjatë së cilës trafiku i një klienti testues mund të arrijë lidhjen lart.

Filtri e plotëson pamjen. Në grepën forward prano drejtimin nga LAN në tunel për prefiksin testues dhe drejtimin e kthimit të vendosur, pastaj hidh gjithçka tjetër; NAT-i për atë prefiks në ndërfaqen e tunelit shkon në postrouting. Pikërisht lënia e policy drop në zinxhirin e përcjelljes është ajo që e kthen një rrugë që mungon në heshtje në vend të një rrjedhjeje. Filtrimi i rrugës së kundërt kërkon modalitet të lirshëm në ndërfaqen e tunelit, sepse një burim publik që arrin i dekapsuluar e ka rrugën e tij më të mirë të kundërt në anën WAN. Linux merr më të lartën nga vlera all dhe ajo për ndërfaqe, kështu që vendosja e ndërfaqes së tunelit nuk është e njëjtë me dobësimin e vërtetimit kudo.

Provojeni me rastin e dështimit

Bëj kernelit një pyetje të saktë duke përmendur adresën burimore të klientit dhe ndërfaqen nga e cila vjen. Një kërkim pa të dyja përgjigjet një pyetjeje tjetër dhe do të duket i saktë në të dyja rastet. Pastaj shiko numëruesit e firewall-it, gjendjen e transferimit të partnerit dhe shërbimin e vetë klientit.

Testoje heqjen si duhet. Ndal tunelin duke i lënë rregullin dhe filtrin në vend: klienti duhet të ngecë dhe trafiku i portës vetë duhet të vazhdojë të punojë. Pastaj ndal partnerin pa prekur ndërfaqen lokale, dhe ky është rasti që kap modelet që mbështeten vetëm në praninë e rrugës. Më në fund rindiz dhe rikontrollo rendin e rregullave, sepse një grep shmontimi që heq rojtarin ia kthen të gjithë modelin tabelës kryesore. Shëno numrin e tabelës, përparësitë dhe emrat e ndërfaqeve në biletën e ndryshimit, sepse personi tjetër që shton një rregull është ai që do ta thyejë këtë.