ఒక పరీక్షా LAN కి దాని సొంత WireGuard నిష్క్రమణను ఎలా ఇవ్వాలి

మూడు డిజైన్లు ఒకే ప్రయోగశాల సమస్యను పరిష్కరిస్తాయి: చిన్న LAN ఒక WireGuard సహచరుడి ద్వారా బయటకు వెళ్లాలి, గేట్వే తన సాధారణ పై లింక్ను నిలుపుకుంటుంది. రూటర్ డిఫాల్ట్ మార్గాన్ని సొరంగంలోకి మార్చడం ఆకర్షణీయమైన చిన్న మార్గం, కానీ అది పెట్టె సొంత నిర్వహణ మార్గాన్ని మరియు అది ఫార్వర్డ్ చేసే మిగతా అన్నింటినీ విచ్ఛిన్నం చేస్తుంది. ఆసక్తికరమైన ఎంపిక ఒక ఇంటర్ఫేస్ మరియు ఒక ప్రిఫిక్స్కు పరిమితమైన విధాన ఆధారిత రౌటింగ్. మీ వద్ద నిజంగా ఉన్న యంత్రం గురించి మూడు ప్రశ్నలకు జవాబు ఇచ్చి వాటి మధ్య ఎంచుకోండి.

నిష్క్రమణ ఎక్కడ నివసిస్తుందో నిర్ణయించండి

మొదటి ప్రశ్న: ఈ హోస్ట్ మరేదైనా కోసం కూడా ఫార్వర్డ్ చేస్తుందా? అంకిత ప్రయోగశాల గేట్వే డిఫాల్ట్గా అన్నింటినీ తిరస్కరించే ఫార్వర్డింగ్ విధానంతో జీవించగలదు. ఉత్పత్తి బాధ్యతలున్న రూటర్ అలా చేయలేదు, మరియు నిర్వహిత ఫైర్వాల్పై పోటీ నియమాల సముదాయాన్ని పెట్టడం అంతరాయాలు షెడ్యూల్ చేయబడే సరైన మార్గం. రెండవది: రీబూట్ల మధ్య రెండు విధాన వస్తువులను మరియు వాటి క్రమాన్ని మీరు కలిగి ఉండగలరా? మూడవది: మీ సహచరుడు మీ సొరంగ మూల చిరునామాను అనుమతిస్తాడా మరియు ఇంటర్నెట్ నిష్క్రమణ ఇస్తాడా? ప్రైవేట్ నెట్వర్క్ను మాత్రమే బహిర్గతం చేసే సహచరుడు వేరే ఉత్పత్తి, ఏ స్థానిక రౌటింగ్ మార్పు దాన్ని సరిచేయదు. ఏదైనా జవాబు కాదు అయితే, నిష్క్రమణను బదులుగా పేరు స్థలంలో లేదా ఒకసారి ఉపయోగించే వర్చువల్ యంత్రంలో పెట్టండి.

పేరు స్థలం లేదా VM జ్ఞాపకాన్ని ఖర్చు చేస్తుంది మరియు మీకు శుభ్రమైన పేలుడు వ్యాసార్థాన్ని ఇస్తుంది. విధాన ఆధారిత రౌటింగ్ రెండు నియమాలను ఖర్చు చేస్తుంది మరియు డీబగ్ చేయడానికి ఒకే పెట్టెను వదిలిస్తుంది.

మీ మూలాన్ని అనుమతించే నిష్క్రమణను ఎంచుకోండి

ఈ ప్రయోగశాలలో చాలా వైఫల్యాలు ఒక ఫైర్వాల్ నియమం కూడా ఉనికిలోకి రాకముందే జరుగుతాయి. నిష్క్రమణ నిర్వాహకుడు అనువాదం తర్వాత మీ ప్యాకెట్లు మోసే మూల చిరునామాను అంగీకరించాలి, ఈ డిజైన్లో అది LAN ప్రిఫిక్స్ కాదు, సొరంగ చిరునామా. అందుకే మాస్కరేడింగ్ మొదటి నుంచీ డిజైన్లో భాగం, తర్వాత చేరిక కాదు.

నిర్వాహకుడితో మూడు విషయాలు నిర్ధారించండి: సహచరుడు మీ సొరంగ చిరునామాను అనుమతిస్తాడు, అది తనపై ముగియకుండా IPv4 ఫార్వర్డ్ చేస్తుంది, మరియు నిష్క్రమణ NAT వర్తింపజేస్తుంది. మొదటిది లేకుండా మీ ప్యాకెట్లు చేరి మాయమవుతాయి. మూడవది లేకుండా అవి ప్రైవేట్ మూలంతో బయటకు వెళ్లి తదుపరి అడుగులో చనిపోతాయి. తర్వాత wg-quick తన సొంత డిఫాల్ట్ మార్గాన్ని ఇన్స్టాల్ చేయడం లేదని తనిఖీ చేయండి, దాన్ని Table = off నిరోధిస్తుంది; ఆ సెట్టింగ్ మార్గాల సృష్టిని అణచివేస్తుంది, సహచరుడి AllowedIPs తనిఖీలను లేదా దాని DNS నిర్వహణను కాదు.

రెండు విధాన వస్తువులు దిశానిర్దేశం చేస్తాయి

దిశానిర్దేశానికి పట్టిక మరియు నియమం అవసరం. పట్టికలో రెండు మార్గాలు ఉంటాయి: LAN ఇంటర్ఫేస్ నుండి బయటకు వెళ్లే LAN ప్రిఫిక్స్ మరియు సొరంగం నుండి బయటకు వెళ్లే డిఫాల్ట్. LAN ఇంటర్ఫేస్కు వచ్చి ఆ ప్రిఫిక్స్ మోసే ట్రాఫిక్ను నియమం పట్టికలోకి పంపుతుంది. మూల సరిపోలికతో పాటు iif ఎంపికను ఉపయోగించండి, ఎందుకంటే గేట్వే సొంత WireGuard ప్యాకెట్లు స్థానికంగా పుడతాయి మరియు వచ్చే ఇంటర్ఫేస్తో ఎప్పుడూ సరిపోలవు.

కాపలాదారు అన్వేషణకు ముందు వస్తాడు, తర్వాత కాదు. ఆ క్రమమే డిజైన్ మొత్తం భద్రతా లక్షణం.

కాపలాదారు అదే ఎంపికపై రెండవ నియమం, దాని తీర్పు unreachable. సొరంగం పైన ఉన్నప్పుడు అన్వేషణ గెలుస్తూనే ఉండేలా దానికి ఎక్కువ సంఖ్యా ప్రాధాన్యత ఇవ్వండి. సొరంగ మార్గం మాయమైనప్పుడు అన్వేషణ ఏమీ తిరిగి ఇవ్వదు మరియు కాపలాదారు అన్వేషణను ఆపేస్తాడు, దాన్ని ప్రధాన పట్టికలోని WAN డిఫాల్ట్కు పడిపోనివ్వడు.

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

వెనుకకు తిరిగే ఖాళీని తెరవకముందే మూయండి

మొదట కాపలాదారును, తర్వాత అన్వేషణను ఇన్స్టాల్ చేయండి. దీన్ని తిరగబడి చేస్తే కొన్ని సెకన్ల కిటికీ మిగులుతుంది, అందులో పరీక్షా క్లయింట్ ట్రాఫిక్ పై లింక్ను చేరుకోగలదు.

ఫిల్టర్ చిత్రాన్ని పూర్తి చేస్తుంది. forward హుక్లో పరీక్షా ప్రిఫిక్స్ కోసం LAN నుండి సొరంగం దిశను మరియు స్థాపిత తిరిగి వచ్చే దిశను అంగీకరించి, మిగతా అన్నింటినీ విస్మరించండి; ఆ ప్రిఫిక్స్ NAT సొరంగ ఇంటర్ఫేస్కు postrouting లోకి వెళ్తుంది. ఫార్వర్డ్ చైన్పై policy drop వదలడమే గల మార్గాన్ని లీక్ కాకుండా మౌనంగా మారుస్తుంది. రివర్స్-పాత్ ఫిల్టరింగ్కు సొరంగ ఇంటర్ఫేస్పై వదులుగా మోడ్ కావాలి, ఎందుకంటే డీక్యాప్సులేషన్ తర్వాత వచ్చే పబ్లిక్ మూలానికి దాని ఉత్తమ రివర్స్ మార్గం WAN వైపు ఉంటుంది. Linux all మరియు ప్రతి ఇంటర్ఫేస్ విలువలలో ఎక్కువది తీసుకుంటుంది, కాబట్టి సొరంగ ఇంటర్ఫేస్ సెట్ చేయడం అన్నిచోట్లా ధృవీకరణను బలహీనపరచడంతో సమానం కాదు.

వైఫల్య సందర్భంతో దాన్ని నిరూపించండి

క్లయింట్ మూల చిరునామా మరియు అది వచ్చే ఇంటర్ఫేస్ను పేర్కొంటూ కెర్నల్ను ఖచ్చితమైన ప్రశ్న అడగండి. రెండూ లేకుండా అన్వేషణ వేరే ప్రశ్నకు జవాబు ఇస్తుంది మరియు రెండు సందర్భాలలో సరైనదిగా కనిపిస్తుంది. తర్వాత ఫైర్వాల్ కౌంటర్లు, సహచరుడి బదిలీ స్థితి మరియు క్లయింట్ సొంత సేవను చూడండి.

తొలగింపును సరిగ్గా పరీక్షించండి. నియమం మరియు ఫిల్టర్ స్థానంలో ఉంచి సొరంగాన్ని ఆపండి: క్లయింట్ నిలిచిపోవాలి మరియు గేట్వే సొంత ట్రాఫిక్ పని కొనసాగించాలి. తర్వాత స్థానిక ఇంటర్ఫేస్ను తాకకుండా సహచరుడిని ఆపండి, మార్గం ఉనికిపై మాత్రమే ఆధారపడే డిజైన్లను పట్టుకునేది ఈ సందర్భమే. చివరగా రీబూట్ చేసి నియమాల క్రమాన్ని మళ్లీ తనిఖీ చేయండి, ఎందుకంటే కాపలాదారును తొలగించే డిస్మాంటిల్ హుక్ మొత్తం డిజైన్ను ప్రధాన పట్టికకు తిరిగి ఇస్తుంది. పట్టిక సంఖ్య, ప్రాధాన్యతలు మరియు ఇంటర్ఫేస్ పేర్లను మార్పు టికెట్పై నమోదు చేయండి, ఎందుకంటే తదుపరి నియమం జోడించే వ్యక్తి దీన్ని విచ్ఛిన్నం చేసేవాడు.