Verwendung von WireGuard mit Web-Schutz

Problem

Angenommen, der Web-Schutz (WAP) wird über die Befehlszeile oder als Dienst mithilfe von wg-quick mit WireGuard kombiniert. In diesem Fall kann die Internetverbindung unterbrochen werden, wenn sowohl WAP- als auch WireGuard-Schnittstellen aktiviert sind. Dies wird durch eine Regel verursacht, die von wg-quick zu nftables hinzugefügt wird, wenn eine Schnittstelle aufgerufen wird. Angenommen, die Schnittstelle ist wg0 mit der IP-Adresse 10.10.10.2. Die Regel wird der Tabelle wg-quick-wg0, chain preraw hinzugefügt und sieht wie folgt aus:

Diese Regel soll einen gewissen Schutz vor Konfigurationsproblemen und bösartigen Paketen bieten.

Behelfslösung

Auf einem ordnungsgemäß konfigurierten und gesicherten System ist die nftables-Regel normalerweise nicht erforderlich. Wenn Sie wg-quick so konfigurieren, dass diese Regel nicht beibehalten wird, sollten die Verbindungsprobleme behoben werden. Sie können z. B. die Konfigurationsdatei für die betroffene Schnittstelle bearbeiten und im Abschnitt [Interface] die folgende PostUp-Aktion hinzufügen:

Beachten Sie, dass der Name wg-quick-wg0 nur für die “wg0”-Schnittstelle gilt und für andere Schnittstellen entsprechend geändert werden muss. Wenn Sie dennoch ein gewisses Maß an Sicherheit benötigen, können Sie die Regel durch eine schwächere ersetzen, z. B. wie folgt:

Denken Sie daran, dass alle Instanzen von „wg0“ aktualisiert werden müssen, wenn die Schnittstelle nicht „wg0“ heißt. Außerdem müssen Sie die IP-Adresse aktualisieren, wenn sie nicht 10.10.10.2 lautet.