Drejto vetëm portën 25 në tunel, jo hostin

Katër gjëra duhet të përputhen përpara se një host Linux të dërgojë vetëm SMTP-në e vet përmes një tuneli: një rrugë në një tabelë të dedikuar, një rregull politike që zgjedh trafikun, një adresë burimi që peer-i do të pranojë, dhe një rrugë kthimi që i qëndron asimetrisë. Secila është një konfigurim i veçantë me mënyrën e vet të dështimit. Rendi më poshtë është ai që bën që një dështim të tregojë pjesën që është vërtet e gabuar. Është punë rrugëtimi specifike për portën, jo një kërkesë për një rrugë të parazgjedhur VPN.

Rregulli i portës nuk është rrugë e parazgjedhur

Një rregull që përputh TCP-në e krijuar lokalisht me portën e destinacionit 25 e dërgon atë trafik në një tabelë që ju e emërtoni. Rregulli nuk krijon asgjë vetvetiu: ai zgjedh, dhe tabela duhet të mbajë një rrugë që mund të mbajë paketën. Kombinimi i të dyjave mbulon vetëm drejtimin dalës të një protokolli, prandaj përcjellja për hoste të tjerë, lidhjet e postës hyrëse dhe IPv6 mbeten jashtë këtij rregullimi. Ta quash politikë specifike për portën në vend të parazgjedhur VPN e mban atë kufi të ndershëm.

Dy cilësime të wg-quick janë parakushte, jo pjesë e politikës. AllowedIPs = 0.0.0.0/0 lejon peer-in të mbajë destinacione arbitrare IPv4, dhe Table = off e pengon wg-quick të instalojë rrugën e vet të parazgjedhur për atë prefiks. Mos i përziej këto udhëzime me një menaxher që zbaton politikën e vet të rrugëve, sepse të dy nuk do të bien dakord se kujt i përket tabela kryesore.

Shkruaj rrugën, përzgjedhësin dhe rojën

Zgjidhni një numër tabele dhe një palë prioritete që asgjë tjetër nuk i përdor, pastaj aplikoni rrugën, përzgjedhësin dhe rojën në atë rend. Numrat më poshtë janë shembuj, jo vlera të rezervuara:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo e kufizon rregullin te trafiku me origjinë lokale, dhe ipproto tcp dport 25 identifikon drejtimin e lidhjes; referenca e ip-rule dokumenton të dy përzgjedhësit. Ato ekzistojnë në kernel-et dhe versionet aktuale të iproute2, dhe në një sistem më të vjetër rregulli refuzohet plotësisht, që është një dështim më i qartë se një rregull që ngarkohet dhe nuk përputhet me asgjë.

Rregulli unreachable në prioritetin tjetër është roja. Pa të, një rrugë që mungon në tabelën 51825 bie në parazgjedhjen e zakonshme, dhe posta del përmes lidhjes fizike gjatë një ndërprerjeje të tunelit, që është pikërisht rasti që politika ishte ndërtuar për ta parandaluar.

Adresa e burimit duhet të përputhet

Preferenca src e rrugës plotëson një burim vetëm për lidhjet që nuk kanë lidhur një të vetin. Nuk është përkthim, dhe nuk anulon një lidhje të qartë, prandaj një daemon i lidhur me adresën fizike vazhdon të dërgojë nga ajo adresë. Nëse gjeni pikërisht këtë, ndryshoni cilësimin e vetë daemon-it ose dizajnoni një politikë përkthimi të qëllimshme, sepse një masquerade e përgjithshme e vonë është një zgjidhje tjetër me pasoja të tjera.

Në portë, peer-i i klientit duhet të autorizojë burimin që merr në të vërtetë, domethënë 10.77.0.2/32 dhe jo një prefiks të gjerë destinacioni. Kopjimi i 0.0.0.0/0 të klientit në çdo peer të portës ngatërron cili peer zotëron cilin trafik. Porta gjithashtu ka nevojë për përcjellje, një politikë firewalls që lejon rrjedhën dhe një rrugë kthimi, përfshirë përkthimin dalës kur ana e sipërme nuk mund të rrugëtojë një adresë private tuneli.

Kontrollo rrugën e kthimit, pastaj këmbënguljen

Lexoni kërkimet përpara se t'i besoni çdo gjëje, sepse tregojnë cilën tabelë dhe cilin burim merr secili drejtim. Një destinacion në portën 25 dhe i njëjti destinacion në portën 443 mjaftojnë:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Kërkimi i parë duhet të përmendë wg0 dhe burimin e synuar, dhe i dyti duhet të mbajë lidhjen e zakonshme sipër. Kur aplikacioni lidh adresën e vet, shtoni from me atë adresë në kërkim. Drejtimi i përgjigjes që arrin wg0 dhe pastaj hidhet lokalisht tregon filtrimin e rrugës së kundërt IPv4, sepse një rregull vetëm për portën dalëse nuk e bën kërkimin e kundërt të zgjedhë tunelin.

Aty ku rrugëtimi asimetrik lejohet, një mënyrë e lirshme e kufizuar në ndërfaqe përmes net.ipv4.conf.wg0.rp_filter=2 mund të jetë e përshtatshme, dhe ia vlen të kontrollohet së pari maksimumi efektiv i vlerave all dhe i ndërfaqes. Mos e çaktivizoni validimin globalisht si shkurtore. Pastaj dorëzoni tabelën, prioritetet dhe rojën atij që zotëron konfigurimin, dhe hapni lidhje të reja pas një rilidhjeje për të konfirmuar se zgjedhja vazhdon të qëndrojë. Mbani mend se përgjigjet e një dëgjuesi lokal SMTP mbartin portën e burimit 25 dhe jo portën e destinacionit 25, që është një çështje politike e veçantë.