DNS ఫీడ్ చేసే nftables సెట్ నుండి WireGuard వరకు: హ్యాండ్ ఆఫ్ ఎలా పనిచేస్తుంది

పేర్లు చిరునామాలుగా పరిష్కరించబడతాయి, ఆ చిరునామాలు తర్వాత రూటింగ్‌ను ప్రభావితం చేసే ఫైర్‌వాల్ సెట్‌లోకి చేరవచ్చు, ఇది ప్రాక్సీ లేకుండా పేరు ఆధారిత స్టీరింగ్ సాధ్యమవుతుంది. ఇబ్బంది ఏమిటంటే నాలుగు భాగాలు సరిగ్గా హ్యాండ్ ఆఫ్ చేయాలి: రిజాల్వర్, సెట్, కొత్త ప్రవాహాన్ని గుర్తించే వర్గీకర్త, మరియు దాన్ని మోసుకెళ్లే పీర్. ప్రతి హ్యాండ్ ఆఫ్ వేరే విధంగా విఫలమవుతుంది మరియు ప్రతిదీ తన సమయాన్ని ఉంచుకుంటుంది.

డిజైన్‌ను కాన్ఫిగరేషన్‌గా కాకుండా గొలుసుగా చూడండి. ప్రతి అడుగులో ప్రశ్న ఏమిటంటే ఏ భాగం నిర్ణయాన్ని కలిగి ఉంది మరియు దాని ఇన్‌పుట్ లేనప్పుడు ఏమి జరుగుతుంది.

DNS సమాధానం ఏమి చేయగలదు, ఏమి చేయలేదు

dnsmasq సమాధానాల నుండి చిరునామాలను nftables సెట్‌కు కాపీ చేయగలదు, ఇది ఫీడింగ్, రూటింగ్ నిర్ణయం కాదు. ఆ ఎంపిక, dnsmasq మాన్యువల్‌లో నమోదు చేయబడింది, కుటుంబం, పట్టిక మరియు సెట్‌ను పేర్కొంటుంది, దాని ప్రారంభ 4# A రికార్డులను మాత్రమే ఎంచుకుంటుంది, కాబట్టి v6 గమ్యాలకు సొంత ఏర్పాటు అవసరం. సెట్ ముందే ఉండాలి, ఎందుకంటే రిజాల్వర్ ఫైర్‌వాల్ యజమాని సృష్టించిన దానికి అంశాలను జోడిస్తుంది. ఆ అడుగులో ఏదీ ఇంటర్‌ఫేస్, పట్టిక లేదా పీర్‌ను ఎంచుకోదు.

క్లయింట్ కూడా పేరు కోసం ఆ రిజాల్వర్‌ను ఉపయోగించాలి. సొంత ఎన్‌క్రిప్టెడ్ DNS ఉన్న యాప్, లేదా విధానానికి ముందు కాష్ చేసిన సమాధానం, సెట్‌లో ఎలాంటి ఎంట్రీని సృష్టించకుండా కనెక్ట్ అవుతుంది.

సెట్ ఇన్‌పుట్, రూట్ కాదు

సెట్‌లోని అంశం సరిపోలిక షరతు. ఏదో దాన్ని చూసి, ఈ ప్యాకెట్ కొత్త ప్రవాహాన్ని ప్రారంభిస్తుందని నిర్ణయించి, ప్రవాహాన్ని సొరంగం ద్వారా పంపే విధానాన్ని వర్తింపజేయాలి. Linux లో ఇది సాధారణంగా గుర్తు పెట్టగల రూటింగ్ సామర్థ్యం ఉన్న అవుట్‌పుట్ మార్గం, గుర్తించిన ప్యాకెట్‌లను ప్రత్యేక పట్టికకు పంపే నియమం, మరియు ఆ పట్టికలో WireGuard పరికరం వైపు చూపే మార్గం అని అర్థం. కేవలం సభ్యత్వం వీటిలో ఏదీ ఇన్‌స్టాల్ చేయదు.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

పీర్ ప్రజలు మరచిపోయే రెండవ కవరేజ్ తనిఖీని వర్తింపజేస్తుంది. WireGuard అనుమతించిన చిరునామాల్లో గమ్యం ఉన్న పీర్‌కు మాత్రమే ప్యాకెట్‌ను ఎన్‌క్రిప్ట్ చేస్తుంది, కాబట్టి పీర్ జాబితా ఆ ప్రిఫిక్స్‌ను తొలగిస్తే ఇంటర్‌ఫేస్‌కు విధాన మార్గం సరిపోదు. జాబితాను మేనేజర్ యాదృచ్ఛికంగా సృష్టించే మార్గంపై ఆధారపడకుండా రూటింగ్ యజమాని నియంత్రణలో ఉంచండి.

గుర్తులు, పట్టికలు మరియు పీర్ కవరేజ్

గుర్తులు భాగస్వామ్య నామస్థలం, కాబట్టి విలువ మరియు మాస్క్ రెండూ వాటిని ఉపయోగించే మిగతా అన్నింటితో అంగీకరించాలి. గుర్తించిన ట్రాఫిక్‌ను ప్రత్యేక పట్టికకు పంపే నియమానికి ఆ పట్టికలో సరిపోలే మార్గం లేనప్పుడు నిర్వచిత ఫలితం అవసరం, ఎందుకంటే జవాబు లేని శోధన తదుపరి నియమానికి కొనసాగి ప్యాకెట్‌ను భౌతిక ఇంటర్‌ఫేస్ నుండి బయటకు పంపవచ్చు. ప్రత్యేక పట్టిక లోపల blackhole డిఫాల్ట్ మార్గం ఆ నిశ్శబ్ద తప్పించుకోవడాన్ని కనిపించే పతనంగా మారుస్తుంది. డిజైన్ ఇంకా చేయలేనిది, సెట్‌లోకి ఎప్పుడూ రాని గమ్యం కోసం వైఫల్యంలో మూసుకోవడం.

సొరంగం సొంత బయటి ప్యాకెట్లు వర్గీకర్త నుండి తప్పించుకోవాలి. WireGuard సాధనాలు సరిగ్గా ఆ ఉద్దేశ్యం కోసం సాకెట్ గుర్తును అందిస్తాయి, దాన్ని ఉపయోగించడం ఎన్‌క్యాప్సులేషన్ తాను నిర్మిస్తున్న ఇంటర్‌ఫేస్‌లోకి తిరిగి రూట్ అవ్వకుండా నిరోధిస్తుంది.

ప్రతి ఆయుర్దాయాన్ని విడిగా పరీక్షించండి

మూడు నిల్వలు మూడు షెడ్యూల్ల ప్రకారం పాతబడతాయి: రిజాల్వర్ కాష్, సెట్ అంశాలు మరియు ట్రాక్ చేసిన కనెక్షన్. వాటిని ఆ క్రమంలో పరీక్షించి, ప్రతిదీ కావాల్సినప్పుడు కదులుతుందో లేదో చూడండి. క్రింది ఆదేశాలు ఏమీ మార్చకుండా రిజాల్వర్, సెట్, కనెక్షన్ పట్టిక మరియు విధాన నియమాలను చదువుతాయి.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

అంశాన్ని జోడించే తాజా శోధన ఫీడింగ్ పనిచేస్తుందని నిరూపిస్తుంది, తన సమాధానం కంటే ఎక్కువ కాలం జీవించే పాత అంశం రాయదగిన ఆయుర్దాయ అసమతుల్యత. కనెక్షన్ పట్టికలో ఆశించిన గుర్తుతో కొత్త కనెక్షన్ కనిపించడం వర్గీకర్త పనిచేసిందని చూపిస్తుంది, పాత కనెక్షన్ తన అసలు గుర్తును ఉంచుకోవడం లోపం కాదు, సరైన ప్రవర్తన. నియమాల జాబితా విధాన శోధన ఉందా అని సమాధానం ఇస్తుంది, ఇది అది సరిపోలిందా అనే ప్రశ్నకు భిన్నమైనది. నాలుగు అవుట్‌పుట్‌లను ఆ క్రమంలో చదవండి, విఫలమైన హ్యాండ్ ఆఫ్ తనను తాను వెల్లడిస్తుంది.

ఒక నిర్దిష్ట పేరు ఎల్లప్పుడూ ఒకే మార్గాన్ని ఉపయోగించాలని అవసరమైతే, DNS ఫీడ్ చేసే సెట్ దాన్ని నిరూపించలేదు, ఎందుకంటే భాగస్వామ్య చిరునామాలు ఇతర పేర్లను కూడా మోస్తాయి. ప్రాక్సీ లేదా అప్లికేషన్ స్థాయి యాంత్రికత్వం ఆ హామీకి సాధనం.