Elekeza tu bandari 25 kwenye handaki, si mwenyeji

Mambo manne yanapaswa kuoana kabla mwenyeji wa Linux kutuma SMTP yake tu kupitia handaki: njia katika jedwali maalum, kanuni ya sera inayochagua trafiki, anwani ya chanzo ambayo peer atakubali, na njia ya kurudi inayostahimili kutokuwiana. Kila kimoja ni usanidi tofauti na hali yake ya kushindwa. Mpangilio ufuatao ndio unaofanya hitilafu ielekee sehemu ambayo kweli ni mbaya. Hii ni kazi ya uelekezaji mahususi kwa bandari, si ombi la njia chaguo-msingi ya VPN.

Kanuni ya bandari si njia chaguo-msingi

Kanuni inayolinganisha TCP iliyoundwa ndani na bandari lengwa 25 hutuma trafiki hiyo kwenye jedwali unalotaja. Kanuni yenyewe haiunda chochote: huchagua, na jedwali linapaswa kuwa na njia inayoweza kubeba pakiti. Kuchanganya vyote viwili hufunika mwelekeo wa kutoka wa itifaki moja tu, kwa hiyo upelekaji kwa wenyeji wengine, miunganisho ya barua inayoingia na IPv6 hubaki nje ya mpango huu. Kuiita sera mahususi kwa bandari badala ya chaguo-msingi la VPN kunahifadhi mpaka huo kwa uaminifu.

Mipangilio miwili ya wg-quick ni masharti ya awali, si sehemu ya sera. AllowedIPs = 0.0.0.0/0 huruhusu peer kubeba maeneo yoyote ya IPv4, na Table = off huzuia wg-quick kusakinisha njia yake ya chaguo-msingi kwa kiambishi hicho. Usichanganye maagizo haya na msimamizi anayetumia sera yake ya njia, kwa sababu wawili hawatakubaliana nani anamiliki jedwali kuu.

Andika njia, kichaguzi na mlinzi

Chagua namba ya jedwali na jozi ya vipaumbele ambavyo hakuna kingine kinatumia, kisha tekeleza njia, kichaguzi na mlinzi kwa mpangilio huo. Namba zilizo hapa chini ni mifano, si thamani zilizotengwa:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo huzuia kanuni kwa trafiki inayotoka ndani, na ipproto tcp dport 25 hutambua mwelekeo wa muunganisho; marejeleo ya ip-rule huandika wachaguzi wote wawili. Zipo katika kerneli na matoleo ya iproute2 ya sasa, na kwenye mfumo wa zamani kanuni hukataliwa kabisa, ambayo ni hitilafu iliyo wazi zaidi kuliko kanuni inayopakiwa na hailingani na chochote.

Kanuni ya unreachable kwenye kipaumbele kinachofuata ni mlinzi. Bila hiyo, njia inayokosekana katika jedwali 51825 huanguka kwenye chaguo-msingi la kawaida, na barua hutoka kupitia kiungo halisi wakati handaki linapokatika, jambo ambalo ndilo hali ambayo sera ilijengwa kuizuia.

Anwani ya chanzo lazima ilingane

Upendeleo wa src wa njia hujaza chanzo tu kwa miunganisho ambayo haikufunga chake. Hii si tafsiri, na haibatalishi ufungaji wa wazi, kwa hiyo daemon iliyofungwa kwa anwani halisi huendelea kutuma kutoka anwani hiyo. Ikiwa ndiyo unayokuta, badilisha mpangilio wa daemon yenyewe au buni sera ya tafsiri ya makusudi, kwa sababu masquerade ya jumla ya kuchelewa ni suluhisho lingine lenye matokeo mengine.

Kwenye lango, peer ya mteja inapaswa kuidhinisha chanzo anachopokea kweli, yaani 10.77.0.2/32 badala ya kiambishi kipana cha lengo. Kunakili 0.0.0.0/0 ya mteja kwenye kila peer ya lango huchanganya ni peer gani inamiliki trafiki gani. Lango pia linahitaji upelekaji, sera ya firewall inayoruhusu mtiririko, na njia ya kurudi, ikiwa ni pamoja na tafsiri ya kutoka wakati upande wa juu hauwezi kuelekeza anwani ya faragha ya handaki.

Angalia njia ya kurudi, kisha uthabiti

Soma utafutaji kabla ya kuamini kitu chochote, kwa sababu unaonyesha jedwali gani na chanzo gani kila mwelekeo hupata. Lengo moja kwenye bandari 25 na lile lile lengo kwenye bandari 443 vinatosha:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

Utafutaji wa kwanza unapaswa kutaja wg0 na chanzo kinachokusudiwa, na wa pili unapaswa kuhifadhi kiungo cha kawaida cha juu. Wakati programu inafunga anwani yake, ongeza from na anwani hiyo kwenye utafutaji. Mwelekeo wa jibu unaofikia wg0 kisha hutupwa ndani unaonyesha uchujaji wa njia ya nyuma ya IPv4, kwa sababu kanuni ya bandari ya kutoka pekee haifanyi utafutaji wa nyuma kuchagua handaki.

Ambapo uelekezaji usio na ulinganifu unaruhusiwa, hali legevu iliyozuiliwa kwa kiolesura kupitia net.ipv4.conf.wg0.rp_filter=2 inaweza kufaa, na inafaa kuangalia kwanza kiwango cha juu kinachofaa cha all na thamani za kiolesura. Usizime uthibitishaji kwa jumla kama njia ya mkato. Kisha kabidhi jedwali, vipaumbele na mlinzi kwa anayemiliki usanidi, na fungua miunganisho mipya baada ya kuunganisha tena ili kuthibitisha kwamba uchaguzi bado unashikilia. Kumbuka kwamba majibu kutoka kwa msikilizaji wa SMTP wa ndani hubeba bandari ya chanzo 25 na si bandari lengwa 25, jambo ambalo ni swali la sera tofauti.