Jinsi ya kuipa LAN moja ya majaribio njia yake ya kutoka WireGuard

Miundo mitatu hutatua tatizo moja la maabara: LAN ndogo lazima itoke kupitia mwenza wa WireGuard huku lango lenyewe likihifadhi kiungo chake cha kawaida cha juu. Njia ya mkato inayovutia ni kuhamisha njia ya kawaida ya kipanga njia ndani ya handaki, lakini hiyo huvunja njia ya usimamizi ya sanduku yenyewe na kila kitu kingine kinachopitisha. Chaguo la kuvutia ni uelekezaji wa kisera uliowekwa kwenye kiolesura kimoja na kiambishi kimoja. Chagua kati yao kwa kujibu maswali matatu kuhusu mashine uliyonayo kweli.

Amua mahali njia ya kutoka inapoishi

Swali la kwanza: je, mwenyeji huyu hupitisha kwa kitu kingine pia? Lango maalum la maabara linaweza kuishi na sera ya upitishaji inayotupa kila kitu kwa msingi. Kipanga njia chenye majukumu ya uzalishaji hakiwezi, na kuweka seti ya kanuni pinzani juu ya ukuta wa moto unaosimamiwa ndiyo njia ambayo hitilafu hupangwa. La pili: je, unaweza kumiliki vitu viwili vya sera na mpangilio wao katika kuanzisha upya? La tatu: je, mwenza uliyenaye huidhinisha anwani ya chanzo cha handaki lako na hutoa njia ya kutoka mtandaoni? Mwenza anayefichua mtandao wa kibinafsi pekee ni bidhaa nyingine, na hakuna mabadiliko ya uelekezaji wa ndani yanayorekebisha hilo. Ikiwa jibu lolote ni hapana, weka njia ya kutoka katika nafasi ya majina au katika mashine pepe ya kutupwa.

Nafasi ya majina au VM hugharimu kumbukumbu na hukupa eneo safi la mlipuko. Uelekezaji wa kisera hugharimu kanuni mbili na hukuacha sanduku moja la kurekebisha hitilafu.

Chagua njia ya kutoka inayoidhinisha chanzo chako

Hitilafu nyingi katika maabara hii hutokea kabla ya kanuni moja ya ukuta wa moto kuwepo. Opereta wa njia ya kutoka lazima akubali anwani ya chanzo ambayo pakiti zako hubeba baada ya tafsiri, na katika muundo huu hiyo ni anwani ya handaki na si kiambishi cha LAN. Ndiyo sababu ufichaji ni sehemu ya muundo tangu mwanzo na si nyongeza ya baadaye.

Thibitisha mambo matatu na opereta: mwenza huidhinisha anwani ya handaki lako, hupitisha IPv4 badala ya kuishia kwake mwenyewe, na hutumia NAT ya kutoka. Bila la kwanza pakiti zako hufika na kutoweka. Bila la tatu hutoka na chanzo cha kibinafsi na hufa kwenye hatua inayofuata. Kisha angalia kwamba wg-quick haiweki njia yake ya kawaida, jambo ambalo Table = off huzuia; mpangilio huo hukandamiza uundaji wa njia, si ukaguzi wa AllowedIPs wa mwenza wala utunzaji wake wa DNS.

Vitu viwili vya sera hufanya uelekezaji

Uelekezaji unahitaji jedwali na kanuni. Jedwali huhifadhi njia mbili: kiambishi cha LAN kitokeacho kwenye kiolesura cha LAN na njia ya kawaida itokeayo kwenye handaki. Kanuni hupeleka trafiki inayofika kwenye kiolesura cha LAN na kubeba kiambishi hicho ndani ya jedwali. Tumia kichaguzi cha iif pamoja na ulinganisho wa chanzo, kwa sababu pakiti za WireGuard za lango lenyewe huzaliwa ndani na kamwe hazilingani na kiolesura kinachoingia.

Mlinzi huja kabla ya utafutaji, si baada yake. Mpangilio huo ndio sifa yote ya usalama ya muundo.

Mlinzi ni kanuni ya pili kwenye kichaguzi hicho ambacho hukumu yake ni unreachable. Mpe kipaumbele cha nambari cha juu zaidi ili utafutaji ushinde bado wakati handaki iko juu. Njia ya handaki inapotoweka, utafutaji hurudisha chochote na mlinzi husimamisha utafutaji badala ya kuuacha uanguke kwenye njia ya kawaida ya WAN kwenye jedwali kuu.

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

Funga pengo la kurudi nyuma kabla ya kulifungua

Sakinisha mlinzi kwanza na utafutaji baadaye. Kufanya kinyume huacha dirisha la sekunde kadhaa ambapo trafiki ya mteja wa majaribio inaweza kufikia kiungo cha juu.

Kichujio hukamilisha picha. Kwenye ndoano ya forward kubali mwelekeo kutoka LAN kuelekea handaki kwa kiambishi cha majaribio na mwelekeo wa kurudi ulioimarishwa, kisha tupa kila kitu kingine; NAT ya kiambishi hicho kwenye kiolesura cha handaki huenda katika postrouting. Kuacha policy drop kwenye mnyororo wa upitishaji ndiko kunakobadilisha njia iliyokosekana kuwa ukimya badala ya uvujaji. Uchujaji wa njia ya kinyume unahitaji hali legevu kwenye kiolesura cha handaki, kwa sababu chanzo cha umma kinachofika kimefunguliwa kina njia yake bora ya kinyume upande wa WAN. Linux huchukua ya juu kati ya thamani ya all na ile ya kiolesura, kwa hiyo kuweka kiolesura cha handaki si sawa na kudhoofisha uthibitishaji kila mahali.

Thibitisha kwa kisa cha kushindwa

Uliza kernel swali sahihi kwa kutaja anwani ya chanzo ya mteja na kiolesura anachofikia. Utafutaji bila zote mbili hujibu swali lingine na utaonekana sahihi katika hali zote mbili. Kisha angalia vihesabu vya ukuta wa moto, hali ya uhamishaji ya mwenza na huduma ya mteja mwenyewe.

Jaribu kuondoa ipasavyo. Simamisha handaki ukiacha kanuni na kichujio mahali pake: mteja anapaswa kukwama na trafiki ya lango lenyewe inapaswa kuendelea kufanya kazi. Kisha simamisha mwenza bila kugusa kiolesura cha ndani, na hiki ndicho kisa kinachonasa miundo inayotegemea uwepo wa njia pekee. Hatimaye anzisha upya na uangalie tena mpangilio wa kanuni, kwa sababu ndoano ya uondoaji inayoondoa mlinzi hurudisha muundo wote kwenye jedwali kuu. Andika nambari ya jedwali, vipaumbele na majina ya kiolesura kwenye tikiti ya mabadiliko, kwa sababu mtu anayefuata kuongeza kanuni ndiye atakayevunja hii.