Vikundi vya rika vya WireGuard kwenye hub: umiliki wa chanzo na sera

Hub inayoendesha WireGuard inaweza kutenganisha vikundi vya rika bila kiolesura au jedwali la uelekezaji tofauti kwa kila kikundi. Taratibu mbili hufanya kazi hiyo, na kuzichanganya ndiyo sababu ya kawaida ya sera kuonekana sahihi na kutofanya chochote. Tabaka moja huamua nani anaweza kudai anwani ya chanzo. Lingine huamua pakiti hiyo inaruhusiwa kwenda wapi.

Kazi mbili, zimetenganishwa

Tabaka la handaki hujibu swali jembamba: ufunguo wa rika hili uliidhinisha anwani hii ya ndani ya chanzo. Tabaka la upelekaji hujibu swali pana zaidi: pakiti hii inaweza kutoka kuelekea lengo hilo. Hakuna hujibu swali la lingine, na hakuna peke yake ni sera kamili ya ufikiaji.

Utenganishaji huo ndiyo sababu rika linaweza kuthibitishwa, kupewa anwani sahihi na bado lisifikie mwenyeji ambaye halipaswi kufikia. Pia hueleza kinyume chake: kanuni ya ngome inayoruhusu kila kitu haithibitishi chochote kuhusu nani anaweza kudai anwani gani.

Buni tabaka zote mbili pamoja, kisha jaribu zote mbili. Mpangilio ulio sahihi kwenye tabaka moja na ambao haujajaribiwa kwenye lingine hushindwa kwa wazi au kwa kufungwa kulingana na thamani chaguo-msingi.

Mpe kila rika anwani yake mwenyewe tu

Rika wenye wenyeji wengi hukushawishi kupeana kipimo chote cha kikundi upande wa seva. Ruhusa hiyo ni dai la anwani ya chanzo, kwa hivyo mteja aliyeathiriwa au aliyesanidiwa vibaya anaweza kuwasilisha anwani yoyote katika kipimo na handaki litakubali. Toa /32 kwa kila rika kwa anwani yake ya ndani. Weka vipimo vya vikundi kwenye wateja pekee, ambako vinaeleza malengo ambayo mteja huyo anaweza kufikia badala ya vyanzo anavyoweza kutumia.

Ngome kisha hulinganisha chanzo ambacho inaweza kukiamini. Kanuni iliyoandikwa kwa kipimo cha kikundi bado ni upangaji wa manufaa, na inakuwa na maana pale tu ambapo hakuna rika moja linaloweza kudai anwani inayomilikiwa na mwanachama mwingine.

Andika sera ya upelekaji inayotenganisha vikundi

Trafiki ya kuvutia hapa huingia na kutoka kupitia kiolesura kimoja cha handaki, kwa hivyo hupita njia ya upelekaji na si njia ya kuingiza ya mwenyeji. Kanuni ni za mnyororo uliopo wa upelekaji wa msimamizi yeyote wa ngome anayemiliki mwenyeji, na ni vipande si seti kamili ya kanuni.

iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept
iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept
iifname "wg0" oifname "wg0" drop

Kanuni mbili za kwanza huruhusu trafiki ndani ya kila kikundi. Ya mwisho huzuia kila kitu kingine kinachopita kiolesura hicho, na hiyo ndiyo huzalisha utenganishaji kati ya vikundi. Ongeza kanuni za wazi kwa familia nyingine ya anwani ikiwa unazihitaji, kwa sababu drop iliyoandikwa kwa IPv4 hairuhusu wala haielezi tabia ya IPv6.

Mpangilio huamua ikiwa sera inatumika

Mpangilio wa kanuni ni muhimu zaidi kuliko kipande chenyewe. Kanuni ya jumla inayokubali miunganisho iliyoanzishwa na kuwekwa kabla ya maingizo haya huruhusu mtiririko wa zamani kati ya vikundi kuendelea, kwa hivyo utenganishaji unatumika kwa miunganisho mipya pekee. Amua ni ipi ya matokeo hayo mawili unayotaka kabla ya kupakia upya.

Uamuzi wa kukubali pia si wa mwisho kila wakati kati ya minyororo kwenye ndoano hiyo hiyo. Ikiwa mnyororo mwingine wa msingi unaendeshwa baadaye, sera inayofaa ni mchanganyiko, kwa hivyo kagua vihesabu na si faili uliyohariri. Vihesabu ni ushahidi wa bei nafuu unaopatikana. Kanuni isiyo na hesabu ya pakiti hailingani, na kanuni inayolingana wakati mnyororo wa baadaye unakubali inakuambia kuwa drop iko mahali pasipofaa.

Jaribu matriki, si idadi ya faili

Jenga matriki ndogo ya matokeo yanayotarajiwa na kagua kila seli. Kikundi A hadi kikundi A kinapaswa kufanya kazi, kikundi B hadi kikundi B kinapaswa kufanya kazi, na A hadi B hakipaswi, pande zote mbili na kwa familia zote mbili za anwani ikiwa unaziauni.

nft list ruleset
wg show wg0 allowed-ips
ping -c 2 10.66.10.5
conntrack -L -s 10.66.20.7 2>/dev/null | head

Mbili za kwanza zinaonyesha kilichosanidiwa. Ping kutoka mwanachama wa kikundi kisichofaa inaonyesha kinachotokea kwa kweli. Orodha ya conntrack inaonyesha ikiwa mtiririko wa zamani bado unakubaliwa, na hivyo ndivyo mabadiliko ya utenganishaji yanavyoshindwa kuingia katika nguvu kimya kimya.

Huduma za mwenyeji kwenye hub na ufikiaji wa LAN iliyo nyuma yake ni njia tofauti zenye sera tofauti. Andika ni zipi kati yao matriki inashughulikia, kwa sababu jaribio linalokagua trafiki ya rika-kwa-rika pekee haliambii chochote kuhusu yoyote kati yao.