పోర్ట్ 25 మాత్రమే టన్నెల్కు పంపండి, హోస్ట్ కాదు

పోర్ట్ ఆధారంగా ఎంచుకున్న నియమం బయటకు వెళ్లే SMTP మాత్రమే టన్నెల్ ద్వారా పంపుతుంది. పట్టిక, మూల చిరునామా మరియు తిరిగి వచ్చే మార్గం సరిపోలాలి, లేకపోతే ఏదీ పనిచేయదు.

Linux హోస్ట్ తన SMTP మాత్రమే టన్నెల్ ద్వారా పంపే ముందు నాలుగు విషయాలు సరిపోలాలి: ప్రత్యేక పట్టికలో మార్గం, ట్రాఫిక్ను ఎంచుకునే విధాన నియమం, peer అంగీకరించే మూల చిరునామా, మరియు అసమానతను తట్టుకునే తిరిగి వచ్చే మార్గం. ప్రతి ఒక్కటి దాని స్వంత వైఫల్య విధానంతో వేరే కాన్ఫిగరేషన్. క్రింది క్రమం వైఫల్యాన్ని నిజంగా తప్పు భాగం వైపు చూపిస్తుంది. ఇది పోర్ట్-నిర్దిష్ట రూటింగ్ పని, VPN డిఫాల్ట్ మార్గం కోసం అభ్యర్థన కాదు.

పోర్ట్ నియమం డిఫాల్ట్ మార్గం కాదు

స్థానికంగా సృష్టించిన TCPను గమ్యస్థాన పోర్ట్ 25 తో సరిపోల్చే నియమం ఆ ట్రాఫిక్ను మీరు పేరు పెట్టే పట్టికలోకి పంపుతుంది. నియమం దానంతట అదే ఏమీ సృష్టించదు: అది ఎంచుకుంటుంది, పట్టికలో ప్యాకెట్ను మోయగల మార్గం ఉండాలి. రెండూ కలిపితే ఒక ప్రోటోకాల్ యొక్క బయటకు వెళ్లే దిశ మాత్రమే కవర్ అవుతుంది, కాబట్టి ఇతర హోస్ట్లకు ఫార్వార్డింగ్, లోపలికి వచ్చే మెయిల్ కనెక్షన్లు మరియు IPv6 ఈ ఏర్పాటు వెలుపల ఉంటాయి. దీన్ని VPN డిఫాల్ట్ కాకుండా పోర్ట్-నిర్దిష్ట విధానం అని పిలవడం ఆ సరిహద్దును నిజాయితీగా ఉంచుతుంది.

wg-quick యొక్క రెండు సెట్టింగ్లు ముందస్తు షరతులు, విధానంలో భాగం కావు. AllowedIPs = 0.0.0.0/0 peerకు ఏకపక్ష IPv4 గమ్యాలను మోసుకెళ్లేందుకు అనుమతిస్తుంది, Table = off ఆ ప్రిఫిక్స్ కోసం wg-quick తన స్వంత డిఫాల్ట్ మార్గాన్ని ఇన్స్టాల్ చేయకుండా ఆపుతుంది. ఈ సూచనలను తన స్వంత మార్గ విధానాన్ని వర్తింపజేసే మేనేజర్తో కలపవద్దు, ఎందుకంటే ప్రధాన పట్టిక ఎవరిది అనే విషయంలో రెండూ ఏకీభవించవు.

మార్గం, ఎంపికకర్త మరియు కాపలాదారును రాయండి

మరేదీ ఉపయోగించని పట్టిక సంఖ్యను మరియు ఒక జత ప్రాధాన్యతలను ఎంచుకోండి, ఆపై అదే క్రమంలో మార్గం, ఎంపికకర్త మరియు కాపలాదారును వర్తింపజేయండి. క్రింది సంఖ్యలు ఉదాహరణలు, రిజర్వ్ చేసిన విలువలు కావు:

ip -4 route add default dev wg0 src 10.77.0.2 table 51825
ip -4 rule add priority 10000 iif lo ipproto tcp dport 25 lookup 51825
ip -4 rule add priority 10001 iif lo ipproto tcp dport 25 unreachable

iif lo నియమాన్ని స్థానిక మూల ట్రాఫిక్కు పరిమితం చేస్తుంది, ipproto tcp dport 25 కనెక్షన్ దిశను గుర్తిస్తుంది; ip-rule సూచన రెండు ఎంపికకర్తలను నమోదు చేస్తుంది. అవి ప్రస్తుత కెర్నల్స్ మరియు iproute2 విడుదలల్లో ఉన్నాయి, పాత వ్యవస్థలో నియమం పూర్తిగా తిరస్కరించబడుతుంది, ఇది ఏదీ సరిపోలని నియమం కంటే స్పష్టమైన వైఫల్యం.

తదుపరి ప్రాధాన్యతలోని unreachable నియమం కాపలాదారు. అది లేకుంటే, పట్టిక 51825 లో లేని మార్గం సాధారణ డిఫాల్ట్లోకి పడిపోతుంది, టన్నెల్ అంతరాయం సమయంలో మెయిల్ భౌతిక లింక్ ద్వారా బయటకు వెళ్తుంది, ఇది విధానం నిరోధించడానికి నిర్మించిన సరైన సందర్భం.

మూల చిరునామా సరిపోలాలి

మార్గం యొక్క src ప్రాధాన్యత తమ స్వంత మూలాన్ని బంధించని కనెక్షన్లకు మాత్రమే మూలాన్ని నింపుతుంది. ఇది అనువాదం కాదు, స్పష్టమైన బైండింగ్ను రద్దు చేయదు, కాబట్టి భౌతిక చిరునామాకు బద్ధమైన డీమన్ ఆ చిరునామా నుండే పంపుతూనే ఉంటుంది. అలాగే కనిపిస్తే, డీమన్ స్వంత సెట్టింగ్ను మార్చండి లేదా ఉద్దేశపూర్వక అనువాద విధానాన్ని రూపొందించండి, ఎందుకంటే ఆలస్యంగా చేసిన సర్వవ్యాప్త masquerade వేరే పరిణామాలతో కూడిన వేరే పరిష్కారం.

గేట్వేలో, క్లయింట్ peer నిజంగా పొందే మూలాన్ని అధికారం ఇవ్వాలి, అది విశాల గమ్య ప్రిఫిక్స్ కాకుండా 10.77.0.2/32. క్లయింట్ 0.0.0.0/0 విలువను ప్రతి గేట్వే peerలోకి కాపీ చేయడం ఏ peer ఏ ట్రాఫిక్ కలిగి ఉందో గందరగోళపరుస్తుంది. గేట్వేకు ఫార్వార్డింగ్, ప్రవాహాన్ని అనుమతించే ఫైర్వాల్ విధానం, మరియు తిరిగి వచ్చే మార్గం కూడా అవసరం, అప్స్ట్రీమ్ ప్రైవేట్ టన్నెల్ చిరునామాను రూట్ చేయలేనప్పుడు బయటకు వెళ్లే అనువాదం సహా.

తిరిగి వచ్చే మార్గాన్ని చూడండి, తర్వాత స్థిరత్వం

ఏదైనా నమ్మే ముందు లుకప్లను చదవండి, ఎందుకంటే ప్రతి దిశకు ఏ పట్టిక మరియు ఏ మూల లభిస్తుందో అవి చూపుతాయి. పోర్ట్ 25లో ఒక గమ్యం మరియు పోర్ట్ 443లో అదే గమ్యం సరిపోతాయి:

ip -4 route get 198.51.100.25 ipproto tcp dport 25
ip -4 route get 198.51.100.25 ipproto tcp dport 443

మొదటి లుకప్ wg0 మరియు ఉద్దేశించిన మూలాన్ని పేర్కొనాలి, రెండవది సాధారణ అప్లింక్ను నిలుపుకోవాలి. అప్లికేషన్ తన స్వంత చిరునామాను బంధించినప్పుడు, ఆ చిరునామాతో from ఎంపికలో చేర్చండి. wg0 కు చేరుకుని తర్వాత స్థానికంగా విస్మరించబడే ప్రత్యుత్తర దిశ IPv4 రివర్స్-పాత్ ఫిల్టరింగ్ను సూచిస్తుంది, ఎందుకంటే బయటకు వెళ్లే పోర్ట్కు మాత్రమే ఉన్న నియమం రివర్స్ లుకప్ను టన్నెల్ ఎంచుకునేలా చేయదు.

అసమాన రూటింగ్ అనుమతించబడిన చోట, net.ipv4.conf.wg0.rp_filter=2 ద్వారా ఇంటర్ఫేస్-పరిమిత సడలిన మోడ్ సరిపోవచ్చు, మరియు ముందుగా all మరియు ఇంటర్ఫేస్ విలువల ప్రభావవంతమైన గరిష్ఠాన్ని తనిఖీ చేయడం విలువైనది. షార్ట్కట్గా ధృవీకరణను ప్రపంచవ్యాప్తంగా నిలిపివేయవద్దు. ఆపై పట్టిక, ప్రాధాన్యతలు మరియు కాపలాదారును కాన్ఫిగరేషన్ యజమానికి అప్పగించి, తిరిగి కనెక్ట్ అయిన తర్వాత కొత్త కనెక్షన్లను తెరిచి ఎంపిక ఇంకా నిలిచి ఉందని నిర్ధారించండి. స్థానిక SMTP శ్రోత యొక్క ప్రత్యుత్తరాలు గమ్య పోర్ట్ 25 కాకుండా మూల పోర్ట్ 25ను మోసుకెళ్తాయని గుర్తుంచుకోండి, అది వేరే విధాన ప్రశ్న.

సంబంధిత వ్యాసాలు