Kill switch lori router ti o bo FORWARD, OUTPUT ati IPv6

O wọle si router, o fi akojọ ofin kill switch lati inu ifiweranṣẹ forum ranṣẹ, ati LAN dẹkun lilọ kiri ni akoko ti tunnel ba ṣubu. Ọjọ meji lẹhinna router ṣi n ṣe imudojuiwọn igbasilẹ DNS agbara rẹ nipasẹ WAN deede, ati laptop alejo ṣi n de awọn oju-iwe IPv6. Awọn ihuwasi mejeeji jẹ deede, nitori awọn ofin ti a fi ranṣẹ bo ẹwọn kan ati idile adirẹsi kan, ati pe ko si ọkan ninu wọn ti o jẹ gbogbo router. Lilọ nipasẹ awọn ọna packet ni tẹlentẹle fihan gangan ohun ti a padanu.

Bẹrẹ ni router, kii ṣe ni laptop

Ilana ni ipele router wuni fun ọfiisi kekere nitori gbogbo ẹrọ ti o wa lẹhin rẹ jogun ihuwasi kanna ati pe ko si ẹnikan ti o le gbagbe lati tan switch lori alabara. O tun fun ọ ni aaye kan lati danwo lẹhin gbogbo imudojuiwọn firmware. Ohun ti ko fun ọ ni iboju aifọwọyi ti ijabọ router funrararẹ tabi ti idile adirẹsi keji, ati pe iwọnyi ni awọn aafo meji lẹhin pupọ julọ awọn imuṣiṣẹ ti o kuna.

Ṣaaju ki o to ṣatunṣe ohunkohun, kọ awọn otitọ mẹta sori iwe: orukọ interface WAN, orukọ afara LAN, ati adirẹsi ati ibudo ti opin VPN. Iwọ yoo nilo gbogbo mẹta ninu awọn ofin, ati wiwa awọn orukọ interface ni idi ti o wọpọ julọ ti akojọ ofin ti o dabi ẹni pe o tọ ko ṣe nkankan.

Rin awọn ọna mẹta ti packet le gba

Ijabọ lati laptop si intanẹẹti ni a dari lọ siwaju, nitorinaa o kọja ẹwọn FORWARD. Ijabọ ti router funrararẹ n ṣẹda, gẹgẹbi gbigbe DNS, awọn ibeere NTP, awọn imudojuiwọn DDNS ati ikanni iṣakoso VPN, kọja OUTPUT. Ijabọ iṣakoso ti a dari si router wa nipasẹ INPUT.

Nitori naa kill switch ti a kọ ninu FORWARD nikan ṣe aabo awọn alabara ati ko si ohun miiran. Tabili fihan idi ti jijo ninu iṣẹlẹ ibẹrẹ jẹ asọtẹlẹ kii ṣe ohun iyalẹnu.

Ninu pupọ julọ awọn apẹrẹ o ko nilo kill switch lori INPUT, ṣugbọn o nilo lati jẹ ki iwọle iṣakoso ṣiṣẹ lakoko ti tunnel wa ni isalẹ. Bibẹẹkọ, ni akoko akọkọ ti VPN ba kuna iwọ yoo wakọ lọ si ọfiisi pẹlu okun console.

Ṣeto awọn ofin ki tunnel le tun dide

Kill switch ti n ṣiṣẹ jẹ akojọ igbanilaaye ti o pari ni kiko, ati ilana ni ohun ti o jẹ ki o jẹ kill switch dipo biriki. Gba loopback laaye, opin VPN, awọn idahun fun awọn ṣiṣan ti a ti ṣeto ati interface tunnel ni akọkọ; kọ iyoku ni ikẹhin.

iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 51820 -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j REJECT

Opin gbọdọ jẹ adirẹsi ni aaye yii, kii ṣe orukọ olupin. Ni kete ti kiko ikẹhin ba dina DNS, ofin ti o darukọ orukọ olupin olupese ko le yanju mọ, ati tunnel ko tun bẹrẹ rara lẹhin atunbẹrẹ. Ti olupese ba yi awọn opin pada, yanju orukọ naa ṣaaju ki ilana naa to waye ki o tun ofin yẹn ṣe lati inu script kanna.

Ṣe afiwe apẹrẹ naa ninu FORWARD fun ijabọ awọn alabara, ki o si gbe ofin iṣakoso ti o han gbangba lori kiko. Jẹ ki ofin iṣakoso yẹn jẹ dín ṣugbọn o le de ọdọ, ki o si fi idi rẹ mulẹ nipa ṣiṣi igba SSH keji ṣaaju ki o to pa akọkọ. Tiipa ara rẹ ni ita lakoko iyipada kill switch jẹ ohun ti o wọpọ to lati gbero fun. Lorí router ti n ṣiṣẹ WireGuard, allowed-ips ti peer ni o pinnu ohun ti o wọ inu tunnel, lakoko ti awọn ofin wọnyi pinnu ohun ti a gba laaye lati jade laisi rẹ.

IPv6 nilo ilẹkun tirẹ

Gbogbo ohun ti o wa loke jẹ IPv4. Ti LAN rẹ ba ni IPv6 ti n ṣiṣẹ ati pe tunnel gbe IPv4 nikan, gbogbo ẹrọ ti o bo ni ọna taara si intanẹẹti ti awọn ofin tuntun rẹ ko ri rara. Laptop stack-meji yoo fẹran rẹ, ati kill switch yoo dabi ẹni ti o bajẹ nikan fun ẹni ti n danwo pẹlu IPv4.

ip6tables -A FORWARD -i br-lan -j REJECT
ip6tables -A OUTPUT -o eth0 -j REJECT
ip6tables -A OUTPUT -o lo -j ACCEPT

Ilana tun ṣe pataki nibi: igbanilaaye loopback gbọdọ wa ṣaaju kiko WAN, bibẹẹkọ awọn iṣẹ agbegbe lori router bẹrẹ lati kuna ni awọn ọna ajeji. Ti nẹtiwọọki ko ba lo IPv6 rara, pipa rẹ lori WAN ati LAN rọrun ati pe ko fi nkankan silẹ lati gbagbe.

Diẹ ninu awọn alabara VPN n fi ipa-ọna aiyipada sori ẹrọ fun IPv4 nikan ati fi ipa-ọna aiyipada IPv6 ti o wa tẹlẹ silẹ laini fọwọkan. Ṣayẹwo tabili ipa-ọna lẹhin ti tunnel ti sopọ dipo ro pe alabara ti ṣe itọju rẹ.

Fi ẹri rẹ pẹlu tunnel ti o wa ni isalẹ

Duro tunnel lati router ki o danwo lati awọn aaye mẹta ni ilana yii:

# systemctl stop wg-quick@wg0
# ip route get 203.0.113.1
# curl -m 5 -sS http://example.com || echo blocked
# iptables -vnL OUTPUT | head
# ip6tables -vnL OUTPUT | head

Wiwa ipa-ọna sọ fun ọ nibiti packet yoo lọ, ati awọn counter sọ fun ọ boya awọn ofin rẹ ti baamu rara. Ofin ti ko ni packet lẹhin idanwo ti o kuna ko daabobo nkankan, ati idi ti o wọpọ ni orukọ interface ti o yatọ si eyi ti o tẹ. Danwo ijabọ ti router ṣẹda ni gbangba, nitori idanwo lati ẹgbẹ LAN ko le lo OUTPUT.

Pinnu ipo ikuna ṣaaju ki o to nilo rẹ. Fail-closed n pa awọn alabara mọ laini intanẹẹti titi tunnel yoo fi pada; fail-open n mu iwọle WAN deede pada o si ba idi jẹ fun ijabọ ti o ṣe pataki fun ọ. Ọna blackhole si adagun VPN pẹlu metric giga jẹ ipele keji ti o wulo fun awọn apẹrẹ fail-closed, nitori o ye nigbati ipa-ọna tunnel ba parẹ dipo ki o pada si aiyipada.

Gba eto naa nikan nigbati alabara LAN, ibeere ti router ṣẹda ati ibeere IPv6 gbogbo wọn kuna pẹlu tunnel ni isalẹ, ati pe awọn mẹta tun ṣiṣẹ lẹhin ti o ba dide.