Korzystanie z WireGuard z ochroną dostępu do stron internetowych
Problem
Załóżmy, że ochrona dostępu do stron internetowych jest połączona z WireGuard przy użyciu wg-quick z wiersza polecenia lub jako usługi. W takim przypadku połączenie internetowe może zostać utracone, gdy włączone są interfejsy ochrony dostępu do stron internetowych i WireGuard. Jest to spowodowane regułą dodaną do nftables przez wg-quick, gdy wywoływany jest interfejs. Załóżmy, że interfejs to wg0 z adresem IP 10.10.10.2 . Reguła jest dodawana do tabeli wg-quick-wg0, chain preraw i wygląda tak:
iifname != "wg0" ip daddr 10.10.10.2 fib saddr type != local drop |
Celem tej reguły jest zapewnienie pewnej ochrony przed problemami z konfiguracją i szkodliwymi pakietami.
Obejście
W poprawnie skonfigurowanym i zabezpieczonym systemie reguła nftables nie powinna być konieczna. Skonfigurowanie wg-quick tak, aby nie pozostawiać tej reguły, powinno rozwiązać problemy z połączeniem. Można na przykład edytować plik konfiguracyjny interfejsu, którego dotyczy problem, a w sekcji [Interfejs] dodać następujące działanie PostUp:
PostUp = nft flush chain wg-quick-wg0 preraw |
Należy pamiętać, że nazwa wg-quick-wg0 dotyczy tylko interfejsu “wg0” i należy ją odpowiednio zmienić dla innych interfejsów. Jeśli nadal chcesz uzyskać pewien poziom ochrony, możesz zastąpić regułę słabszą, na przykład taką:
PostUp = nft flush chain wg-quick-wg0 preraw; nft 'add rule wg-quick-wg0 preraw iifname != "wg0" iif != "lo" ip daddr 10.10.10.2 fib saddr type != local drop' |
Pamiętaj, że wszystkie wzmianki o „wg0” należy zaktualizować, jeśli interfejs nie jest interfejsem „wg0”. Ponadto konieczna jest aktualizacja adresu IP, jeśli to nie adres 10.10.10.2.