Set na nftables na pinapakain ng DNS papuntang WireGuard: paano gumagana ang paghahatid

Nareresolba ang mga pangalan sa mga address, at ang mga address na iyon ay maaaring mapunta sa set ng firewall na kalaunan ay nakakaapekto sa ruta, na nagpapangyari ng pagpapagabay batay sa pangalan nang walang proxy. Ang bitag ay kailangang tama ang paghahatid ng apat na bahagi: ang tagalutas, ang set, ang tagauri na nagmamarka ng bagong daloy, at ang kapareha na nagdadala nito. Iba-iba ang pagpalya ng bawat paghahatid at bawat isa ay may sariling oras.

Ituring ang disenyo bilang kadena at hindi bilang pagsasaayos. Ang tanong sa bawat hakbang ay aling bahagi ang nagmamay-ari ng desisyon at ano ang nangyayari kapag nawawala ang input nito.

Ano ang kaya at hindi kaya ng sagot ng DNS

Makakakopya ang dnsmasq ng mga address mula sa mga sagot papunta sa isang set na nftables, na isang pagpapakain at hindi desisyon sa ruta. Ang opsyong iyon, na dokumentado sa manwal ng dnsmasq, ay nagsasaad ng pamilya, talahanayan at set, at ang nangungunang 4# nito ay pumipili lamang ng mga talaang A, kaya kailangan ng sariling kaayusan ang mga patutunguhang v6. Dapat umiiral na ang set, dahil nagdaragdag ang tagalutas ng mga elemento sa isang bagay na ginawa ng may-ari ng firewall. Walang pumipili ng interface, talahanayan o kapareha sa hakbang na iyon.

Kailangan ding gamitin ng kliyente ang tagalutas na iyon para sa pangalan. Ang aplikasyong may sariling naka-encrypt na DNS, o ang sagot na naka-cache mula bago pa umiral ang patakaran, ay kumokonekta nang walang ginagawang anumang entry sa set.

Input ang set, hindi ruta

Ang elemento sa set ay kundisyon ng pagtutugma. May dapat tumingin dito, magpasyang nagsisimula ng bagong daloy ang packet na ito, at ilapat ang patakarang nagpapadala ng daloy sa tunel. Sa Linux, karaniwang nangangahulugan ito ng daang palabas na may kakayahang magruta at makakapaglagay ng marka, ng tuntuning nagpapadala ng mga markadong packet sa nakalaang talahanayan, at ng rutang tumuturo sa aparatong WireGuard sa talahanayang iyon. Ang pagiging miyembro lamang ay walang naipapasok sa mga iyon.

nft add set inet vpn_select office_v4 { type ipv4_addr\; }
ip rule add fwmark 0x40 table 200
ip route add default dev wg0 table 200
wg show wg0 allowed-ips

Naglalapat ang kapareha ng pangalawang pagsusuri sa saklaw na nakakalimutan ng mga tao. Naka-encrypt lamang ang WireGuard ng packet para sa kaparehang kasama sa pinapayagang address ang patutunguhan, kaya hindi sapat ang rutang patakaran papasok sa interface kapag hindi kasama ng listahan ng kapareha ang prefix na iyon. Panatilihin ang listahan sa ilalim ng kontrol ng may-ari ng ruta sa halip na umasa sa anumang paggawa ng ruta na gagawin ng tagapamahala.

Mga marka, talahanayan at saklaw ng kapareha

Ang mga marka ay pinagsasaluhang namespace, kaya ang halaga at ang mask ay dapat parehong napagkasunduan sa anumang iba pang gumagamit sa mga ito. Ang tuntuning nagpapadala ng markadong trapiko sa nakalaang talahanayan ay nangangailangan ng tinukoy na resulta kapag walang tugmang ruta sa talahanayang iyon, dahil ang hindi nasagot na paghahanap ay maaaring magpatuloy sa susunod na tuntunin at ilabas ang packet sa pisikal na interface. Ang default na rutang blackhole sa loob ng nakalaang talahanayan ay ginagawang nakikitang pagbagsak ang tahimik na pagtakas na iyon. Ang hindi pa rin kaya ng disenyo ay ang magsara kapag nabigo para sa patutunguhang hindi kailanman nakapasok sa set.

Kailangang makatakas sa tagauri ang sariling panlabas na packet ng tunel. Nagbibigay ang mga kasangkapan ng WireGuard ng marka ng socket para sa eksaktong layuning iyon, at pinipigilan ng paggamit nito ang encapsulation na maruta pabalik sa interface na itinatayo nito.

Subukan ang bawat habang-buhay nang hiwalay

Tatlong imbakan ang tumatanda ayon sa tatlong iskedyul: ang cache ng tagalutas, ang mga elemento ng set at ang sinusubaybayang koneksyon. Subukan ang mga ito sa ganoong pagkakasunod-sunod at tingnan kung gumagalaw ang bawat isa kapag dapat. Ang mga utos sa ibaba ay nagbabasa ng tagalutas, set, talahanayan ng koneksyon at mga tuntunin ng patakaran nang walang binabago.

dig +short office.example
nft list set inet vpn_select office_v4
conntrack -L -d 10.60.8.15
ip rule show

Ang sariwang paghahanap na nagdaragdag ng elemento ay nagpapatunay na gumagana ang pagpapakain, samantalang ang lumang elemento na nabubuhay nang mas matagal kaysa sa sagot nito ay hindi pagkakatugma ng habang-buhay na dapat itala. Ang bagong koneksyon na lumilitaw sa talahanayan ng koneksyon na may inaasahang marka ay nagpapakita na tumakbo ang tagauri, at ang lumang koneksyon na nagpapanatili ng orihinal na marka ay tamang pag-uugali at hindi depekto. Ang listahan ng tuntunin ay sumasagot kung umiiral ang paghahanap ng patakaran, na ibang tanong sa kung tumugma ito. Basahin ang apat na output sa ganoong pagkakasunod-sunod at ang palpak na paghahatid ay magbubunyag ng sarili.

Kapag ang pangangailangan ay ang isang partikular na pangalan ay laging gumagamit ng isang landas, hindi ito mapapatunayan ng set na pinapakain ng DNS, dahil may dalang ibang pangalan ang pinagsasaluhang address. Ang proxy o mekanismong nasa antas ng aplikasyon ang kasangkapan para sa garantiya na iyon.