DNS ஊட்டும் nftables தொகுப்பிலிருந்து WireGuard வரை: கையளிப்பு எவ்வாறு செயல்படுகிறது

பெயர்கள் முகவரிகளாகத் தீர்க்கப்படுகின்றன, அந்த முகவரிகள் பின்னர் வழிமாற்றத்தைப் பாதிக்கும் ஃபயர்வால் தொகுப்பில் சேரலாம், இது ப்ராக்ஸி இல்லாமல் பெயர் அடிப்படையிலான ஸ்டியரிங் சாத்தியமாக்குகிறது. சிக்கல் என்னவென்றால், நான்கு கூறுகள் சரியாகக் கையளிக்க வேண்டும்: தீர்வி, தொகுப்பு, புதிய ஓட்டத்தைக் குறிக்கும் வகைப்படுத்தி, அதைச் சுமக்கும் இணை. ஒவ்வொரு கையளிப்பும் வெவ்வேறு விதமாகத் தோல்வியடைகிறது, ஒவ்வொன்றும் அதன் சொந்த நேரத்தை வைத்திருக்கிறது.

வடிவமைப்பை உள்ளமைவாக அல்ல, சங்கிலியாகக் கருதுங்கள். ஒவ்வொரு படியிலும் கேள்வி எது என்பது, எந்தக் கூறு முடிவைக் கொண்டுள்ளது, அதன் உள்ளீடு இல்லாதபோது என்ன நடக்கிறது என்பதே.

DNS பதில் என்ன செய்ய முடியும், என்ன செய்ய முடியாது

dnsmasq பதில்களிலிருந்து முகவரிகளை nftables தொகுப்புக்கு நகலெடுக்க முடியும், இது ஊட்டுதல், வழிமாற்ற முடிவு அல்ல. அந்த விருப்பம், dnsmasq கையேட்டில் ஆவணப்படுத்தப்பட்டுள்ளது, குடும்பம், அட்டவணை மற்றும் தொகுப்பைக் குறிப்பிடுகிறது, அதன் முன்னிலை 4# A பதிவுகளை மட்டுமே தேர்ந்தெடுக்கிறது, எனவே v6 இலக்குகளுக்கு தனி ஏற்பாடு தேவை. தொகுப்பு ஏற்கனவே இருக்க வேண்டும், ஏனெனில் தீர்வி ஃபயர்வால் உரிமையாளர் உருவாக்கிய ஒன்றில் உறுப்புகளைச் சேர்க்கிறது. அந்தப் படியில் எதுவும் இடைமுகம், அட்டவணை அல்லது இணையைத் தேர்ந்தெடுக்கவில்லை.

வாடிக்கையாளரும் பெயருக்கு அந்தத் தீர்வியைப் பயன்படுத்த வேண்டும். சொந்தமாக மறையாக்கப்பட்ட DNS உள்ள பயன்பாடு, அல்லது கொள்கைக்கு முந்தைய தேக்ககப் பதில், தொகுப்பில் எந்தப் பதிவையும் உருவாக்காமல் இணைகிறது.

தொகுப்பு உள்ளீடு, வழி அல்ல

தொகுப்பில் உள்ள உறுப்பு பொருத்த நிபந்தனை. ஏதாவது அதைப் பார்த்து, இந்தப் பொட்டலம் புதிய ஓட்டத்தைத் தொடங்குகிறது என முடிவெடுத்து, ஓட்டத்தைச் சுரங்கப்பாதை வழியாக அனுப்பும் கொள்கையைப் பயன்படுத்த வேண்டும். Linux இல் இது பொதுவாகக் குறியை வைக்கக்கூடிய வழிமாற்றத் திறன் கொண்ட வெளியீட்டுப் பாதை, குறிக்கப்பட்ட பொட்டலங்களை தனி அட்டவணைக்கு அனுப்பும் விதி, அந்த அட்டவணையில் WireGuard சாதனத்தை நோக்கிய வழி ஆகியவற்றைக் குறிக்கிறது. உறுப்பினர் நிலை மட்டும் இவற்றில் எதையும் நிறுவுவதில்லை.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

இணை மக்கள் மறக்கும் இரண்டாவது பரப்பு சோதனையைப் பயன்படுத்துகிறது. WireGuard அனுமதிக்கப்பட்ட முகவரிகளில் இலக்கு உள்ள இணைக்கு மட்டுமே பொட்டலத்தை மறையாக்குகிறது, எனவே இணையின் பட்டியல் அந்த முன்னொட்டை விலக்கினால் இடைமுகத்திற்கான கொள்கை வழி போதாது. பட்டியலை மேலாளர் தற்செயலாக உருவாக்கும் வழியை நம்பாமல் வழிமாற்ற உரிமையாளரின் கட்டுப்பாட்டில் வைத்திருங்கள்.

குறிகள், அட்டவணைகள் மற்றும் இணைப் பரப்பு

குறிகள் பகிரப்பட்ட பெயரிடம், எனவே மதிப்பும் மறைப்பும் அவற்றைப் பயன்படுத்தும் மற்ற அனைத்துடனும் ஒப்புக்கொள்ளப்பட வேண்டும். குறிக்கப்பட்ட போக்குவரத்தை தனி அட்டவணைக்கு அனுப்பும் விதிக்கு அந்த அட்டவணையில் பொருந்தும் வழி இல்லாதபோது வரையறுக்கப்பட்ட முடிவு தேவை, ஏனெனில் பதிலில்லாத தேடல் அடுத்த விதிக்குச் சென்று பொட்டலத்தை இயற்பியல் இடைமுகத்தில் இருந்து வெளியே அனுப்பக்கூடும். தனி அட்டவணைக்குள் உள்ள blackhole இயல்பு வழி அந்த அமைதியான தப்பியோட்டத்தைக் கண்கூடாக வீழ்த்தலாக மாற்றுகிறது. வடிவமைப்பு இன்னும் செய்ய முடியாதது, தொகுப்பில் ஒருபோதும் நுழையாத இலக்கிற்கு தோல்வியில் மூடிக்கொள்வதே.

சுரங்கப்பாதையின் சொந்த வெளிப்பொட்டலங்கள் வகைப்படுத்தியைத் தவிக்க வேண்டும். WireGuard கருவிகள் அதே நோக்கத்திற்காக ஒரு சாக்கெட் குறியை வழங்குகின்றன, அதைப் பயன்படுத்துவது மறைத்தொகுப்பு தான் கட்டும் இடைமுகத்திற்குத் திரும்பி வழிமாற்றப்படுவதைத் தடுக்கிறது.

ஒவ்வொரு ஆயுளையும் தனித்தனியாக சோதியுங்கள்

மூன்று சேமிப்பகங்கள் மூன்று அட்டவணைகளின்படி முதிர்ச்சியடைகின்றன: தீர்வியின் தேக்ககம், தொகுப்பின் உறுப்புகள் மற்றும் கண்காணிக்கப்படும் இணைப்பு. அவற்றை அந்த வரிசையில் சோதித்து, ஒவ்வொன்றும் வேண்டியபோது நகர்கிறதா எனப் பாருங்கள். கீழே உள்ள கட்டளைகள் எதையும் மாற்றாமல் தீர்வி, தொகுப்பு, இணைப்பு அட்டவணை மற்றும் கொள்கை விதிகளைப் படிக்கின்றன.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

உறுப்பைச் சேர்க்கும் புதிய தேடல் ஊட்டுதல் செயல்படுவதை நிரூபிக்கிறது, அதன் பதிலை விட நீண்டு வாழும் பழைய உறுப்பு பதிவு செய்யத்தக்க ஆயுள் முரண்பாடு. இணைப்பு அட்டவணையில் எதிர்பார்க்கப்பட்ட குறியுடன் புதிய இணைப்பு தோன்றுவது வகைப்படுத்தி இயங்கியதைக் காட்டுகிறது, பழைய இணைப்பு அதன் மூலக் குறியைத் தக்கவைப்பது குறையல்ல, சரியான நடத்தை. விதிகளின் பட்டியல் கொள்கைத் தேடல் உள்ளதா என்பதற்குப் பதிலளிக்கிறது, இது அது பொருந்தியதா என்பதிலிருந்து வேறுபட்ட கேள்வி. நான்கு வெளியீடுகளையும் அந்த வரிசையில் படியுங்கள், தோல்வியடைந்த கையளிப்பு தானே வெளிப்படும்.

ஒரு குறிப்பிட்ட பெயர் எப்போதும் ஒரே பாதையைப் பயன்படுத்த வேண்டும் என்பது தேவையெனில், DNS ஊட்டும் தொகுப்பால் அதை நிரூபிக்க முடியாது, ஏனெனில் பகிரப்பட்ட முகவரிகள் மற்ற பெயர்களையும் சுமக்கின்றன. ப்ராக்ஸி அல்லது பயன்பாட்டு மட்டக் கருவியே அந்த உத்தரவாதத்திற்கான கருவி.