Ṣé alábàáṣepọ̀ WireGuard kò lè dé ọ̀dọ̀ alábàáṣepọ̀ OpenVPN?

Àwọn ọ̀nà méjèèjì so pọ̀, olùbáṣepọ̀ kọ̀ọ̀kan dé ẹnubodè, àti ní àkókò tí ẹnìkan bá gbìyànjú àdírẹ́sì ẹnìkejì, àwọn pákẹ́tì máa ń pòórá. Kò sí ohun tí kò tọ́ nínú ìfọwọ́sowọ́pọ̀ méjèèjì, àti pé fífún àwọn kọ́kọ́rọ́ lẹ́ẹ̀kan sí i kò yí i padà. Ẹnubodè ń gbé àwọn pákẹ́tì IP ìṣàkóso tí a kò fi ààbò bo láàárín méjì nínú àwọn ojú-ọ̀nà rẹ̀, nítorí náà àwọn ìlànà kò ní láti yé ara wọn rárá; ohun tí wọ́n nílò ni ohun mẹ́ta tí kò sí ìfọwọ́sowọ́pọ̀ tí ó ń fúnni. Ìbòòmù ibi tí ó ń lọ lórí alábàáṣepọ̀ orísun, ẹ̀tọ́ orísun ní ẹnubodè àti ọ̀nà ìpadàbọ̀ ní ẹ̀gbẹ́ òkè. Àmì àrùn náà jẹ́ ọ̀kan náà fún mẹ́tẹ̀ẹ̀ta, ìdí nìyẹn tí wọ́n fi ń ṣe àyẹ̀wò wọn pọ̀.

Àmì àrùn náà ń ṣe àìní ẹ̀yà kan ní ẹ̀ẹ̀kan

Àpẹẹrẹ yìí ń lo adágún WireGuard 10.71.0.0/24 lórí wg1 àti adágún OpenVPN 10.72.0.0/24 lórí tun1, méjèèjì ń parí ní ẹnubodè kan. Ìbéèrè tí a ń dán wò ń lọ láti 10.71.0.5 sí HTTPS lórí 10.72.0.30. Gbogbo ìgbésẹ̀ tí ó wà nísàlẹ̀ ni ó jẹ́ nípa ìṣàn kan náà yẹn. Ìdánwò kọ̀ọ̀kan ní àmì ìkùnà ọ̀tọ̀ọ̀tọ̀ bí ó tilẹ̀ jẹ́ pé olùlò ń rí wọn bákan náà, àti pé ní àkókò kan ẹ̀yà kan ṣoṣo nínú mẹ́ta ni ó máa ń ṣàkù.

Bẹ̀rẹ̀ pẹ̀lú ìjẹ́rìí pé àwọn adágún méjèèjì wà ní ẹnubodè yìí gan-an àti pé ìtọ́jú-ọ̀nà ṣíṣe ní namespace tí àwọn ọ̀nà ń gbé. Ẹnubodè tí ó ń parí àwọn ìlànà méjèèjì ní namespace ọ̀tọ̀ọ̀tọ̀ kò ń gbé ohunkóhun lọ láàárín wọn, ó sì tọ́ láti yọ èyí kúrò kí a tó kà ìṣètò peer kankan.

Fẹ̀ ìbòòmù ibi tí ẹ̀ka ń lọ

Lórí alábàáṣepọ̀ WireGuard, àkọsílẹ̀ peer tí ó wà gbọ́dọ̀ yan ẹnubodè fún ibi tí OpenVPN ń lọ, èyí sì túmọ̀ sí pé àfikún ibi tí ó ń lọ gbọ́dọ̀ farahàn nínú àkọsílẹ̀ tí a gbà láàyè ti peer yẹn. Fífikún rẹ̀ kò ṣẹ̀dá ọ̀nà kejì; ó ń yí i padà irú peer tí alábàáṣepọ̀ yàn nígbà tí ó ń wá àdírẹ́sì yẹn, àti pẹ̀lú wg-quick ọ̀nà sábà máa ń tẹ̀lé àkọsílẹ̀ náà fúnrarẹ̀.

AllowedIPs = 10.71.0.0/24, 10.72.0.0/24

Fi àwọn ìlà kọ́kọ́rọ́ àti opin àfojúsùn gidi sílẹ̀ láìfọwọ́ kàn wọ́n, kí o sì rántí pé olùdarí tí ó ń lo Table = off kò gba ọ̀nà kankan láti inú àkọsílẹ̀ yìí rárá. Nínú irú ipò bẹ́ẹ̀, àfikún kan náà gbọ́dọ̀ wà nínú tábìlì ọ̀nà ẹ̀rọ náà látọ̀wọ́ ẹni tí ó ní í, àti pé ọ̀nà tí ó ṣàkù níbẹ̀ dà bí àfikún tí a gbà láàyè tí ó ṣàkù gan-an.

Pa ẹ̀tọ́ orísun mọ́ ní ẹnubodè

Àkọsílẹ̀ peer alábàáṣepọ̀ yìí ní ẹnubodè gbọ́dọ̀ máa ní àdírẹ́sì orísun alábàáṣepọ̀ yẹn gan-an. Àwọn àdírẹ́sì tí a gbà láàyè ni a ń yẹ̀wò ní ẹ̀gbẹ́ méjèèjì: wọ́n ń yan peer fún ìrìnnà tí ó ń jáde, wọ́n sì ń jẹ́rìí pé orísun pákẹ́tì tí ó ń wọlé jẹ́ ti peer tí ó fi ránṣẹ́. Fífi adágún OpenVPN sínú àkọsílẹ̀ ẹ̀ka nítorí pé ẹ̀ka fẹ́ dé ọ̀dọ̀ rẹ̀ ni àṣìṣe tí ó ń ta ìrìnnà lọ sọ́dọ̀ alábàáṣepọ̀ tí kò tọ́.

AllowedIPs = 10.71.0.5/32

Ka àkọsílẹ̀ yẹn gẹ́gẹ́ bí ìkéde ẹ̀tọ́ kì í ṣe ìrọ̀rùn ọ̀nà. Ohunkóhun mìíràn tí alábàáṣepọ̀ gbọ́dọ̀ dé ni ó jẹ́ ti àkọsílẹ̀ ibi tí ó ń lọ ti alábàáṣepọ̀, kì í ṣe ti èròǹgbà ẹnubodè nípa ohun tí a gbà láàyè fún peer yìí láti ránṣẹ́.

Fún ẹ̀gbẹ́ OpenVPN ní ọ̀nà ìpadàbọ̀

Ibi tí ó ń lọ nílò ọ̀nà padà sí orísun WireGuard ní báyìí, àti fún àwọn alábàáṣepọ̀ adágún ó sábà máa ń dé gẹ́gẹ́ bí ọ̀nà tí a ti tipa ọ̀dọ̀ olùsìn OpenVPN. Tipa rẹ̀ sí àwọn alábàáṣepọ̀ tí ó yẹ kí wọ́n ní i nìkan, kí o sì jẹ́rìí lórí alábàáṣepọ̀ pé a gbà á kíkún, kí o má ṣe rò pé a ti lo ìtọ́nisọ́nà náà.

push "route 10.71.0.0 255.255.255.0"

Pínpín ọ̀nà kì í ṣe àṣẹ. Nígbà tí ibi tí ó ń lọ wà lẹ́yìn alábàáṣepọ̀ OpenVPN mìíràn, kì í ṣe nínú adágún, ẹ̀tọ́ LAN ti alábàáṣepọ̀ yẹn fúnra rẹ̀ àti àwọn ohun tí ó nílò fún ìtọ́jú-ọ̀nà ń darapọ̀ mọ́ àpẹẹrẹ náà, àti pé ọ̀nà tí a tipa jẹ́ ìlàlẹ̀ àkọ́kọ́ nìkan. Tún ohun tí a nílò ṣe gẹ́gẹ́ bí àwòrán kí o tó fi àwọn ìtọ́nisọ́nà kún: ipa wo ni ó ní àfikún wo, àti ipa wo ni ó ń tọ́jú-ọ̀nà sí i.

Gbà ìsìn kan ṣoṣo tí o gbèrò láti gbà láàyè

Nígbà tí ìtọ́jú-ọ̀nà ti ṣíṣe àti àwọn adágún méjèèjì lè gba ọ̀nà, ìbéèrè tí ó kù ni ti ìlànà. Kọ òfin fún ìṣàn pàtó, kì í ṣe fún orísìí ojú-ọ̀nà lápapọ̀, wo rẹ̀ ṣáájú kí o tó lò ó, kí o sì pa ọ̀nà ìpadàbọ̀ tí ó ń tọ́jú ipò mọ́ kí àwọn ìdáhùn má bàa dí gẹ́gẹ́ bí asopọ̀ tuntun. Ìdánwò gbígbẹ kò ná ohunkóhun, ó sì ń fi hàn gan-an ohun tí a óò fi kún.

sudo ufw --dry-run route allow in on wg1 out on tun1 proto tcp from 10.71.0.5 to 10.72.0.30 port 443

Ìwọ̀nyí ni òfin fún ìrìnnà tí a ti tọ́jú-ọ̀nà, tí ó yàtọ̀ sí òfin ìgbọ́ràn ẹnubodè fún àwọn ìsìn VPN méjèèjì. Ṣíṣí àwọn ibodè UDP ìta kò fi àṣẹ fún ìbéèrè inú, àti fífi àṣẹ fún ìbéèrè inú kò béèrè SSH tí kò ní ààlà sí ẹnubodè tàbí àṣẹ àkọ́kọ́ lórí ìtọ́jú-ọ̀nà. Ògiri-iná ibi tí ó ń lọ fúnra rẹ̀ àti àdírẹ́sì ìgbọ́ràn gbọ́dọ̀ bára wọn mu pẹ̀lú, nítorí ìsìn tí a so mọ́ loopback ń kọ pákẹ́tì tí a fi ìṣọ́ra jùlọ tọ́jú-ọ̀nà sí pẹ̀lú. Ìlànà tí ó ń bo ẹ̀gbẹ́ kan ṣoṣo ti ìjíròrò sábà máa ń kùnà pẹ̀lú ìbéèrè tí ó ṣàṣeyọrí àti ìdáhùn tí ó dákẹ́, èyí tí ó jẹ́ èsì tí ó dàrú jùlọ nínú mẹ́ta.

Àwọn ọ̀nà alápàrọ̀ sábà máa ń túmọ̀ sí pé a kò nílò ìtumọ̀ orísun, èyí tí ó ń pa àdírẹ́sì WireGuard mọ́ ní ibi tí ó ń lọ, tí ó sì ń jẹ́ kí àwọn àkọsílẹ̀ ṣeé kà. Má ṣe fi masquerading kíkún kún un nítorí pé àwọn ìlànà méjì wà nínú, kí o má sì yọ òfin ìtumọ̀ tí ó wà kúrò láìmọ ohun tí ó gbára lé e. Lẹ́yìn náà, jẹ́rìí ìṣàn kan náà láti ìbẹ̀rẹ̀ dé òpin, kí o sì dán orísun tàbí ibodè kan tí a kò gbà láàyè wò pẹ̀lú: ìfọwọ́sowọ́pọ̀ tí ó ń ṣiṣẹ́ ní ẹ̀gbẹ́ kọ̀ọ̀kan kò fi ọ̀nà àgbélébù tàbí ìyàtọ̀ hàn.