Seti ya nftables inayolishwa na DNS hadi WireGuard: jinsi uhamishaji unavyofanya kazi

Majina hutatuliwa kuwa anwani, na anwani hizo zinaweza kuingia kwenye seti ya ukuta wa moto ambayo baadaye huathiri uelekezaji, jambo linalowezesha uelekezaji kwa msingi wa jina bila proksi. Mtego ni kwamba vipengele vinne lazima vihamishe kwa usahihi: kitatuzi, seti, kiainishi kinachoweka alama kwenye mtiririko mpya, na mwenzi anayeubeba. Kila uhamishaji unashindwa kwa namna tofauti na kila mmoja unaweka muda wake.

Chukulia muundo kama mnyororo badala ya usanidi. Swali katika kila hatua ni kipengele gani kinamiliki uamuzi na nini hutokea pale pembejeo yake haipo.

Jibu la DNS linaweza kufanya nini na haliwezi kufanya nini

dnsmasq inaweza kunakili anwani kutoka majibu kwenda kwenye seti ya nftables, jambo ambalo ni ulishaji na si uamuzi wa uelekezaji. Chaguo hilo, lililoandikwa katika mwongozo wa dnsmasq, hutaja familia, jedwali na seti, na 4# yake ya mwanzo huchagua rekodi za A pekee, kwa hiyo maeneo ya v6 yanahitaji mpangilio wake. Seti lazima iwe tayari ipo, kwa sababu kitatuzi huongeza vipengele kwenye kitu kilichoundwa na mmiliki wa ukuta wa moto. Hakuna kinachochagua kiolesura, jedwali au mwenzi katika hatua hiyo.

Mteja pia lazima atumie kitatuzi hicho kwa jina. Programu yenye DNS yake iliyosimbwa, au jibu lililohifadhiwa kabla ya sera kuwepo, huunganisha bila kuunda kumbukumbu yoyote kwenye seti.

Seti ni pembejeo, si njia

Kipengele katika seti ni sharti la ulinganifu. Kitu lazima kiangalie, kiamue kwamba pakiti hii inaanzisha mtiririko mpya, na kutumia sera inayotuma mtiririko kupitia handaki. Kwenye Linux hii kwa kawaida humaanisha njia ya kutoka yenye uwezo wa uelekezaji inayoweza kuweka alama, kanuni inayotuma pakiti zilizo na alama kwenye jedwali maalum, na njia katika jedwali hilo kuelekea kifaa cha WireGuard. Uanachama pekee hauendi chochote kati ya hivyo.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

Mwenzi hutumia ukaguzi wa pili wa ufunikaji ambao watu huusahau. WireGuard husimba pakiti kwa mwenzi ambaye anwani zake zilizoruhusiwa zinajumuisha lengwa pekee, kwa hiyo njia ya sera kuingia kwenye kiolesura haitoshi wakati orodha ya mwenzi inaondoa kiambishi hicho. Weka orodha chini ya udhibiti wa mmiliki wa uelekezaji badala ya kutegemea uundaji wa njia wowote ambao msimamizi atafanya.

Alama, majedwali na ufunikaji wa mwenzi

Alama ni nafasi ya majina inayoshirikiwa, kwa hiyo thamani na kifuniko vyote vinapaswa kukubaliana na kila kitu kingine kinachovitumia. Kanuni inayotuma trafiki iliyowekwa alama kwenye jedwali maalum inahitaji matokeo yaliyofafanuliwa wakati jedwali hilo halina njia inayolingana, kwa sababu utafutaji usiojibiwa unaweza kuendelea hadi kanuni inayofuata na kuutuma pakiti nje kupitia kiolesura halisi. Njia chaguo-msingi ya blackhole ndani ya jedwali maalum hugeuza upoteaji huo wa kimya kuwa utupaji unaoonekana. Kile ambacho muundo bado hauwezi ni kufunga wakati wa kushindwa kwa lengwa ambalo halikuingia kwenye seti kamwe.

Pakiti za nje za handaki yenyewe lazima ziepuke kiainishi. Zana za WireGuard hutoa alama ya soketi kwa madhumuni hayo hasa, na kuitumia huzuia usimbaji kuelekezwa tena kwenye kiolesura kinachojengwa.

Jaribu kila muda wa maisha kivyake

Hifadhi tatu huzeeka kwa ratiba tatu: akiba ya kitatuzi, vipengele vya seti na muunganisho unaofuatiliwa. Vizijaribu kwa mpangilio huo na uone kama kila kimoja kinasogea inapopaswa. Amri zilizo hapa chini husoma kitatuzi, seti, jedwali la miunganisho na kanuni za sera bila kubadilisha chochote.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

Utafutaji mpya unaoongeza kipengele huthibitisha ulishaji unafanya kazi, wakati kipengele cha zamani kinachoishi zaidi ya jibu lake ni kutokulingana kwa muda wa maisha kunakostahili kuandikwa. Muunganisho mpya unaotokea kwenye jedwali la miunganisho ukiwa na alama inayotarajiwa huonyesha kiainishi kilifanya kazi, na muunganisho wa zamani unaohifadhi alama yake ya awali ni tabia sahihi na si hitilafu. Orodha ya kanuni hujibu kama utafutaji wa sera upo kabisa, ambalo ni swali tofauti na kama ulilingana. Soma matokeo manne kwa mpangilio huo na uhamishaji ulioshindwa utajidhihirisha.

Pale sharti ni kwamba jina fulani litumie njia moja kila wakati, seti inayolishwa na DNS haiwezi kuthibitisha hilo, kwa sababu anwani zinazoshirikiwa hubeba majina mengine pia. Proksi au utaratibu wa ngazi ya programu ndicho chombo cha dhamana hiyo.